El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advierte que hackers estatales rusos han estado explotando routers vulnerables de oficinas pequeñas y hogares desde 2024 para sobrescribir sus configuraciones DHCP y DNS. El grupo APT28 (asociado al GRU, la inteligencia militar rusa) está secuestrando dispositivos TP-Link y MicroTik para redirigir el tráfico de red hacia servidores controlados por los atacantes. Según el NCSC, el objetivo principal es robar credenciales de Outlook, aunque también podrían usarse para otros fines maliciosos. Los atacantes modifican las configuraciones de los routers para interceptar y manipular el tráfico, lo que les permite capturar información sensible sin que las víctimas lo detecten fácilmente. 

• El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) advierte que hackers estatales rusos han estado explotando routers vulnerables de oficinas pequeñas y hogares desde 2024 para sobrescribir sus configuraciones DHCP y DNS. El grupo responsable, conocido como APT28 (vinculado al GRU, la inteligencia militar rusa), está redirigiendo el tráfico de red hacia servidores controlados por los atacantes.
• Según el NCSC, los dispositivos afectados incluyen modelos de TP-Link y MicroTik, que son comúnmente utilizados en entornos domésticos y empresariales. Los hackers aprovechan estas vulnerabilidades para robar credenciales de Outlook, interceptar comunicaciones y potencialmente lanzar ataques más amplios en redes comprometidas.
• La técnica empleada implica modificar las configuraciones DNS de los routers, lo que permite a los atacantes redirigir a los usuarios a sitios falsos que imitan servicios legítimos, como Microsoft Outlook, para capturar información confidencial. El NCSC recomienda a los usuarios y administradores de redes actualizar el firmware de sus dispositivos, cambiar las contraseñas predeterminadas y monitorear el tráfico sospechoso.
• Este tipo de ataques subraya la importancia de proteger la infraestructura de red básica, ya que los routers comprometidos pueden convertirse en puntos de entrada para campañas de ciberespionaje más sofisticadas.

  Los routers afectados incluyen modelos populares de marcas como Cisco, Netgear, Asus y TP-Link, aunque el NCSC no ha revelado una lista completa. Los atacantes modifican la configuración DHCP para asignar direcciones IP maliciosas y alteran los servidores DNS para interceptar comunicaciones sensibles, como credenciales de inicio de sesión o datos financieros. 

 

¿Cómo protegerte?

  El NCSC recomienda a los usuarios y administradores de redes que: 

• - Actualicen el firmware de sus routers a la última versión disponible. 
• - Cambien las contraseñas predeterminadas por credenciales fuertes y únicas. 
• - Desactiven servicios remotos como Telnet o SSH si no son necesarios. 
• - Monitoricen el tráfico de red en busca de comportamientos sospechosos. 
• - Utilicen servidores DNS seguros, como los de Cloudflare (1.1.1.1) o Google (8.8.8.8).

 El NCSC también advierte que esta campaña podría ser parte de una operación más amplia para espiar a gobiernos, empresas y ciudadanos del Reino Unido y otros países aliados. Hasta el momento, no se ha confirmado si los atacantes han logrado comprometer redes críticas, pero las autoridades instan a la vigilancia constante. Si sospechas que tu router ha sido comprometido, el NCSC sugiere restablecerlo a la configuración de fábrica y seguir los pasos de seguridad mencionados anteriormente. Además, se recomienda reportar incidentes a las autoridades locales de ciberseguridad.

Fuentes:
https://www.tomshardware.com/tech-industry/cyber-security/ncsc-says-russian-gru-hackers-are-hijacking-tp-link-and-mikrotik-routers