La mayoría de los usuarios de Internet confían en que sus routers dirigen el tráfico correctamente, sin sospechar nunca que los propios indicadores de la web podrían estar siendo manipulados. Una red "en la sombra" sofisticada ha estado secuestrando silenciosamente conexiones domésticas a Internet al comprometer routers vulnerables y alterar sus configuraciones de DNS. 

La mayoría de los usuarios de internet confían en que sus routers dirigen el tráfico correctamente, sin sospechar nunca que los mismos indicadores de la web podrían estar siendo manipulados.

Una red sofisticada de "sombra" ha estado secuestrando silenciosamente conexiones domésticas a internet al comprometer routers vulnerables y alterar sus configuraciones DNS.

En lugar de utilizar los servidores de un proveedor de servicios legítimo, estos dispositivos infectados envían todas las consultas de tráfico web a resolutores maliciosos alojados por Aeza International, una empresa de hosting "bulletproof" previamente sancionada por el gobierno de EE.UU.

Esta redirección silenciosa permite a los actores de amenazas manipular selectivamente qué sitios web pueden alcanzar los usuarios, a menudo dirigiéndolos hacia plataformas de publicidad fraudulenta o estafas maliciosas.

Aunque sitios populares como Google suelen resolverse correctamente para evitar sospechas, objetivos específicos activan una cadena de redirección compleja.

Esto implica un Sistema de Distribución de Tráfico (TDS) secundario basado en HTTP que analiza las características del dispositivo de la víctima antes de entregar la carga final.

Los analistas de Infoblox identificaron esta campaña generalizada después de relacionar informes dispersos de usuarios sobre comportamientos de internet "insólitos" con patrones DNS anómalos.

Observaron que los actores de amenazas apuntan principalmente a modelos de routers antiguos, alterando fundamentalmente la cadena de confianza para todos los dispositivos en la red doméstica.

Las víctimas reportaron problemas extraños, como la incapacidad de acceder a Google Sheets o redirecciones persistentes en el navegador, asumiendo a menudo que sus computadoras —y no sus routers— eran las culpables.

La técnica de evasión EDNS0

El aspecto más técnicamente intrigante de esta campaña es su método de evasión sigiloso. Los analistas de seguridad inicialmente tuvieron dificultades para replicar las respuestas DNS maliciosas porque los servidores ilegítimos no respondían a consultas estándar.

El avance llegó cuando descubrieron que los resolutores en la sombra solo respondían si el protocolo Extension Mechanisms for DNS (EDNS0) estaba explícitamente deshabilitado.

Dado que EDNS0 es una extensión de protocolo estándar utilizada por casi todos los resolutores legítimos modernos para manejar tamaños de paquetes más grandes y funciones de seguridad, las herramientas de escaneo de seguridad estándar lo incluyen automáticamente.

Al configurar sus servidores para ignorar estas consultas estándar, los atacantes hicieron que su infraestructura fuera invisible para escaneos automatizados y la mayoría de los investigadores de seguridad.

Este filtro simple pero efectivo permitió que la red maliciosa operara sin ser detectada durante años, sirviendo direcciones IP correctas a los investigadores mientras entregaba respuestas secuestradas a víctimas reales que usaban equipos antiguos, no compatibles o configuraciones específicas.

Para mitigar esta amenaza, debes auditar las configuraciones de tu router en busca de ajustes DNS no autorizados.

Actualizar el firmware del router a las últimas versiones es crítico, al igual que reemplazar hardware obsoleto que ya no recibe parches de seguridad para evitar la infección inicial.