Si tu operador es Orange y estás intentando navegar, pero no puedes hacerlo, seguramente sea culpa del hackeo de la cuenta de RIPE del operador. El RIPE es uno de los cinco registros regionales de Internet que hay en el mundo, y es el que corresponde a Europa, Oriente Medio y partes de Asia Central. En la madrugada de hoy, un usuario en Twitter citando a Orange, ha puesto unas capturas de pantalla del panel de administración del RIPE del operador, ha decidido modificar los objetos de ruta, se podría decir que han tirado el operador entero, y seguramente tengas problemas a la hora de navegar por Internet. La contraseña del operador Orange en RIPE era ripeadmin.

Un empleado de Orange España con un PC llamado Diego estaba infectado con el malware infostealer Raccoon.

• Diego accedió a la plataforma RIPE access.ripe.net con el email adminripe-ipnt@orange.es y la contraseña "ripeadmin", por supuesto sin doble factor de autenticación.

El Empleado del mes de Orange

El RIPE es un organismo europeo que se encarga de supervisar la asignación y registro de los números de recursos de Internet, es decir, las direcciones IP y los sistemas autónomos. Los operadores registran en la base de datos de RIPE la información necesaria para que en los rangos de direcciones IP no existan duplicados y el tráfico de la red llegue al host correcto. El atacante ha entrado en la cuenta de Orange en el RIPE y modificado los prefijos de red provocando que las otras redes rechazasen el tráfico procedente de Orange. La red del operador ha quedado desconectada del resto y sus usuarios no podían navegar.

Durante el día de hoy, algunos clientes del operador Orange han empezado a dar la voz de alarma, porque no pueden navegar con normalidad, sobre todo si intentan visitar webs extranjeras, donde el routing es totalmente necesario para llegar hasta ellas. Parece ser que un ciberdelincuente ha conseguido entrar en el panel de administración de RIPE, cambiar las credenciales de acceso, y hacer algunos cambios críticos que directamente han ocasionado que el operador deje de funcionar con normalidad.

¿Qué ha pasado con la cuenta de RIPE de Orange?

Un ciberdelincuente ha conseguido hacerse con el control total de la cuenta de RIPE de Orange, y como Orange no tenía activada la autenticación en dos pasos que sí tenemos disponible en RIPE, para proporcionar una autenticación fuerte. Por lo tanto, al no tener esta segunda forma de autenticación, han podido entrar fácilmente con las credenciales robadas desde septiembre.

Al acceder directamente con permisos de administrador, el ciberdelincuente puede modificar cualquier dato crítico para el buen funcionamiento de la red, y eso es justo lo que ha pasado.

Se desconoce si Orange ya ha tomado el control de la cuenta de RIPE en estos momentos, pero lo que sí podemos afirmar, es que hay una caída importante en el tráfico de su AS. En Twitter el operador Orange ya ha contactado con el ciberdelincuente, para conseguir el acceso a la cuenta de RIPE lo antes posible.

¿Qué han cambiado y por qué Orange tiene problemas?

Además de dar aviso a Orange, y pidiendo que se pongan en contacto con esa persona, ha realizado una modificación muy importante: ha cambiado los objetos ruta del protocolo BGP. Lo que ha ocurrido es que han anunciado un prefijo BGP desde un AS que no es el correcto, así que el resto de AS están denegando este tráfico ya que no esperan obtener esos prefijos por ahí. Básicamente lo que han hecho es tirar todo el operador porque ahora el sistema autónomo de Orange no puede comunicarse con otros, ya que no sabe cómo hacerlo.

Parece ser que también han activado el protocolo RPKI (Resource Public Key Infraestructure), este protocolo permite que los operadores puedan proporcionar sus recursos (sus rutas) de forma verificada gracias a certificados digitales. Activando la funcionalidad de RPKI, se puede hacer que el enrutamiento en Internet sea más seguro. Al tener configurado el RPKI, al proporcionar unos prefijos con origen otro AS, el resto de los otros sistemas autónomos (AS) de diferentes proveedores, están dando un error en el ROA (Route Origin Authorization) de los diferentes prefijos, ya que no lo aceptan, marcándolo como inválido. Básicamente toda la red de Orange está siendo rechazada por el resto de redes, porque está devolviendo un mensaje de RPKI inválido, así que hasta que Orange no solucione el problema, no podrán llegar hasta los diferentes destinos.

En estos instantes, el protocolo BGP está funcionando como debería, propagando todas las rutas, y haciendo que poco a poco todo el tráfico de Orange esté cayendo en picado, porque el resto de AS no saben qué está pasando, y se está quedando aislado. En Cloudflare Radar puedes ver en tiempo real lo que está pasando:

Si el operador Orange no se hace con el control de RIPE de nuevo, muy pronto el operador caerá por completo, ya que todos los prefijos de BGP no serán válidos, al cambiar tanto los objetos como también el RPKI. Parece ser que a las 14.00 ha habido una gran cantidad de anuncios BGP, y se sigue propagando. Hay que tener en cuenta que, cuando lo solucionen, se tardará en volver a la normalidad porque el protocolo BGP tendrá que volver a restablecer absolutamente todo, y el resto de AS deben aceptar los prefijos de BGP y validarlos, pero es que el RPKI tardará bastante más tiempo, por lo que la incidencia durará varias horas hasta que se solucione por completo.

Otros operadores pueden estar afectados (por el tráfico)

Otros operadores que dependen de Orange también podrían estar afectados, como Jazztel o Simyo. Además, puede que cierto tráfico de red de Grupo Masmóvil, Movistar, e incluso operadores pequeños como los WISP puedan tener problemas de navegación, porque el tráfico de red se quedará sin llegar a su destino.

Orange en este caso no ha sufrido un hijack típico, como los que han ocurrido en el pasado, sino que este ataque es bastante más elaborado, ya que han accedido directamente a RIPE para hacer los cambios y tirar la red entera al operador, lo cual es bastante grave. A nivel de ciberseguridad ha sido un ataque bastante serio, ya que directamente se han hecho con las credenciales del RIPE, pero es que a nivel de red es totalmente catastrófico porque afecta a todo el tráfico del operador.

¿Qué debe hacer ahora Orange?

Lo primero que debe hacer Orange en este caso, es comunicarse urgentemente con RIPE y volver a hacerse con el control total de su cuenta. Una vez dentro, lógicamente debe cambiar la contraseña y activar la autenticación en dos pasos urgentemente, para que esto no vuelva a pasar. Una vez que ya tengan acceso total a la cuenta de RIPE, deberán hacer los siguientes cambios:

1. Deben eliminar el prefijo inválido que han metido con un AS que no es el correcto.
2. Esperar hasta que se propague tanto el protocolo BGP, como también el RPKI, lo que puede tardar horas hasta que todo vuelva a la normalidad.

Como podéis ver, lo cierto es que este ataque es muy grave, porque directamente han tirado toda la red de Orange por el simple hecho de hackear la cuenta del RIPE.

• Mark Sokolovsky creador del Raccon Stealer

Fuentes:

https://www.redeszone.net/noticias/redes/hackean-cuenta-ripe-orange-clientes-sin-internet/

https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/

https://www.ripe.net/publications/news/ripe-ncc-access-security-breach-investigation