Investigadores descubren un botnet de 14.000 routers (mayoría Asus) infectados con el malware KadNap, que persiste tras reiniciar y se usa como proxies anónimos para ciberdelincuencia.

Miles de routers están siendo utilizados sin que sus propietarios lo sepan para formar parte de una red diseñada para facilitar actividades de ciberdelincuencia.

Así lo han descubierto investigadores de Lumen Technologies, que han detectado un botnet compuesto por alrededor de 14.000 routers y otros dispositivos de red, la mayoría de la marca ASUS, que funcionan como nodos dentro de un sistema de proxies anónimos.

El malware responsable ha sido bautizado como KadNap y ha logrado infectar los dispositivos aprovechando vulnerabilidades que los propietarios no han corregido mediante actualizaciones.

Según explicó el investigador Chris Formosa, del laboratorio de seguridad Black Lotus Labs de Lumen, la elevada presencia de routers de Asus se debe probablemente a que los operadores del botnet han encontrado un exploit fiable para vulnerabilidades presentes en esos modelos.

Los investigadores detectaron por primera vez esta red en agosto del año pasado, cuando contaba con unos 10.000 dispositivos comprometidos. Desde entonces ha seguido creciendo hasta situarse en los actuales 14.000 routers infectados.

La mayoría de los equipos afectados se encuentra en Estados Unidos, aunque también se han identificado dispositivos comprometidos en países como Taiwán, Hong Kong y Rusia.

Uno de los aspectos que más llama la atención de KadNap es su arquitectura. Este malware utiliza un diseño peer-to-peer basado en la tecnología Kademlia, que se apoya en tablas hash distribuidas para ocultar las direcciones IP de los servidores que controlan la red.

Este sistema hace que el botnet sea mucho más difícil de detectar y desmantelar mediante los métodos tradicionales. Las tablas hash distribuidas se utilizan desde hace tiempo para crear redes resistentes a interrupciones o intentos de bloqueo.

Los dispositivos comprometidos están siendo utilizados para transportar tráfico dentro de Doppelganger, un servicio de proxies de pago que canaliza la conexión de sus clientes a través de conexiones domésticas reales.

Gracias a la buena reputación de estas direcciones IP y a su ancho de banda, el sistema permite navegar por sitios web de forma anónima y acceder a páginas que, de otro modo, podrían estar restringidas.

Para los usuarios que sospechen que su router puede estar infectado, los investigadores recomiendan comprobar los registros del dispositivo en busca de indicadores de infección. En caso de confirmarse, la única forma de eliminar el malware es realizar un restablecimiento de fábrica, ya que un simple reinicio no basta para eliminar el script que vuelve a activar la infección.