Microsoft ha creado una herramienta para escanear routers MikroTik para saber si están o no infectados TrickBot

Detectar si tu router MikroTik está afectado por TrickBot

TrickBot es una amenaza de seguridad que ha estado muy presente en los últimos años. Se trata de una botnet que se distribuye normalmente a través del correo electrónico mediante la técnica del Phishing o mediante otro malware que previamente ha infectado a la víctima. Lo que hace a partir de ese momento es conectarse a un servidor controlado por el atacante y permite enviar cargas útiles maliciosas al equipo infectado.

Esta amenaza ha afectado a una gran variedad de dispositivos IoT y también a routers. Hace que ese equipo atacado actúe como un proxy entre el dispositivo y el servidor de los atacantes. En los últimos tiempos, los atacantes han utilizado TrickBot para poner en riesgo los routers MikroTik.

Para acceder a ellos, principalmente se basaban en utilizar credenciales predeterminadas. Por ello es importante que siempre cambies los datos de acceso que vienen de fábrica cuando compras un router. Pueden realizar ataques de fuerza bruta para tener el control de los dispositivos. Pero también han explotado vulnerabilidades como la CVE-2018-14847.

RouterOS Scanner

El problema es que hay cientos de miles de routers MikroTik que siguen siendo vulnerables. Por ello desde Microsoft han lanzado una herramienta llamada routeros-scanner con la que los administradores pueden analizar dispositivos de esta marca para saber si están infectados o no con TrickBot y poder tomar medidas lo antes posible.

Básicamente lo que hace el script es conocer la versión del dispositivo y si es o no vulnerable a un fallo determinado, comprobar tareas programadas, reglas de redirección de tráfico, envenenamiento de caché DNS, cambio en los puertos predeterminados, archivos sospechosos o proxies. Esto ayudará a saber si ese equipo en concreto está en peligro.

Actualizar firmware routers MikroTik: RouterOS

Lo primero que debes hacer es asegurarte de contar con la última versión del router. Por parte de los investigadores de seguridad recomiendan contar con versiones de RouterOS superiores a 6.45.6. Tener siempre los dispositivos actualizados es imprescindible de cara a estar protegidos y evitar problemas.

Además, también es importante cambiar la contraseña que viene predeterminada en el router. Es esencial que utilices una clave nueva, que sea segura y cuente con todo lo necesario para que sea muy difícil de averiguar a través de los métodos que utilizan los piratas informáticos, como es la fuerza bruta.

Otro consejo que indican los investigadores de seguridad es bloquear el puerto 8291 de acceso externo, así como cambiar el puerto predeterminado SSH, que es el 22, por otro distinto. Una recomendación más es una VPN para acceder de forma remota y restringir el acceso remoto al router.

En definitiva, como has podido ver Microsoft ha lanzado una herramienta para verificar si un router MikroTik está afectado por TrickBot. No obstante, es importante que sigas una serie de consejos para evitar que puedan sufrir algún tipo de ataque cibernético.

Fuentes:

https://www.microsoft.com/security/blog/2022/03/16/uncovering-trickbots-use-of-iot-devices-in-command-and-control-infrastructure/

https://www.bleepingcomputer.com/news/security/microsoft-creates-tool-to-scan-mikrotik-routers-for-trickbot-infections/

https://www.redeszone.net/noticias/seguridad/microsoft-herramienta-detectar-trickbot-mikrotik/