Cuando tu router Asus se convierte en un espía: la operación WrtHug
Si eres de los que nunca cambia el router que viene con la conexión de fibra, quizás deberías empezar a planteártelo. Acaba de salir a la luz una campaña de pirateo masivo que afecta a miles de routers Asus, y lo peor es que los responsables (presumiblemente un grupo vinculado a China) todavía no han mostrado sus cartas sobre qué pretenden hacer con estos dispositivos comprometidos.
El hackeo silencioso que nadie vio venir
Los investigadores de SecurityScorecard han detectado esta operación, bautizada como «WrtHug», que se está cebando con siete modelos específicos de routers Asus. El denominador común: todos están descatalogados y ya no reciben actualizaciones de seguridad. Es como dejar la puerta de casa entreabierta en un barrio donde sabes que hay ladrones.
Lo más inquietante es que, hasta ahora, no está claro qué hacen los atacantes una vez tienen el control del router. No están robando dinero ni pidiendo rescates. Simplemente… esperan. Y en ciberseguridad, esa calma chicha es precisamente lo que más miedo da.
Una red fantasma para operaciones encubiertas
Según apuntan los expertos, estos routers comprometidos probablemente estén siendo utilizados como parte de lo que se conoce como redes ORB (Operational Relay Box), infraestructuras que los hackers usan principalmente para realizar espionaje ocultando su verdadera identidad.
«Tener este nivel de acceso permite al atacante usar cualquier router comprometido como mejor le convenga», explican desde SecurityScorecard. «Nuestra experiencia con redes ORB sugiere que estos dispositivos suelen usarse para operaciones encubiertas y espionaje, no para ataques DDoS u otras actividades maliciosas evidentes típicas de las botnets.»
Es como tener un ejército de topos infiltrados que, en lugar de causar caos inmediato, se dedican a observar, recopilar información y esperar órdenes. Los dispositivos comprometidos están principalmente concentrados en Taiwán, con grupos más pequeños en Corea del Sur, Japón, Hong Kong, Rusia, Europa Central y Estados Unidos. Un mapa que, curiosamente, coincide con zonas de interés geopolítico para China.
China y su historial de redes fantasma
No es la primera vez que vemos algo así. El gobierno chino lleva años construyendo estas enormes redes ORB. En 2021, el gobierno francés alertó a empresas y organizaciones nacionales sobre APT31 (uno de los grupos de amenazas más activos de China) que estaba utilizando routers hackeados para realizar reconocimiento. El año pasado se descubrieron al menos tres campañas similares operadas por China.
Y no son los únicos. Los hackers rusos también han hecho sus pinitos con estas técnicas. En 2018, actores del Kremlin infectaron más de 500.000 routers domésticos y de pequeñas oficinas con un malware sofisticado conocido como VPNFilter.
¿Por qué los routers son el objetivo perfecto?
Los routers domésticos son el escondite ideal para hackers. Son dispositivos baratos que suelen ejecutar versiones de Linux capaces de correr malware que opera en segundo plano. Los atacantes pueden entonces iniciar sesión en estos routers para realizar actividades maliciosas.
La genialidad está en que, en lugar de operar desde infraestructuras e IPs conocidas como hostiles, las conexiones provienen de dispositivos aparentemente inofensivos con direcciones de buena reputación. Es como si un ladrón operara desde la casa del vecino que todo el mundo considera una persona respetable: los sistemas de seguridad le dan luz verde automáticamente.
El truco del certificado que todos aceptamos
Durante el proceso de infección de WrtHug, los dispositivos abren un cuadro de diálogo en los dispositivos conectados que instruye a los usuarios a instalar un certificado TLS autofirmado. Los routers Asus, como los de muchos otros fabricantes, requieren por defecto que los usuarios acepten estos certificados para cifrar las conexiones entre el usuario y el dispositivo.
Y aquí está el quid de la cuestión: estamos tan acostumbrados a dar clic en «Aceptar» ante estos avisos que raramente sospechamos que algo va mal. Los certificados autofirmados no cumplen con las especificaciones TLS porque sus usuarios no pueden ser verificados, y no hay forma de revocarlos una vez que se detectan como maliciosos.
La campaña WrtHug aprovecha la funcionalidad proporcionada por AICloud, un servicio propietario de Asus que permite a los usuarios acceder a archivos almacenados en máquinas locales desde Internet. Una puerta trasera perfecta si sabes cómo forzarla.
¿Está mi router infectado?
Los modelos de router Asus que SecurityScorecard ha identificado como objetivos son:
- Asus Wireless Router 4G-AC55U
- Asus Wireless Router 4G-AC860U
- Asus Wireless Router DSL-AC68U
- Asus Wireless Router GT-AC5300
- Asus Wireless Router GT-AX11000
- Asus Wireless Router RT-AC1200HP
- Asus Wireless Router RT-AC1300GPLUS
- Asus Wireless Router RT-AC1300UHP
La forma más sencilla de determinar si tu router ha sido comprometido es inspeccionar el certificado autofirmado. El certificado utilizado por los atacantes tiene un año de caducidad de 2122 (sí, has leído bien, un siglo entero), un período de tiempo que ningún certificado válido tendría jamás. Tanto el emisor como el sujeto en el certificado muestran CN=a,OU=a,O=a,L=a,ST=a,C=aa, una secuencia que destaca por su falta de elaboración.
Mejor prevenir que curar
Si estás usando routers que ya no reciben actualizaciones de seguridad, deberías considerar seriamente reemplazarlos por modelos que reciban parches regulares. No es un gasto, es una inversión en seguridad.
Y si no puedes cambiar el router ahora mismo, al menos desactiva AICloud, las capacidades de administrador remoto, SSH, UPnP, reenvío de puertos y otros servicios innecesarios. Es una buena precaución incluso para usuarios de otros modelos de router.
En un mundo donde cada dispositivo conectado es una potencial puerta de entrada para atacantes, mantener actualizado tu router es tan importante como cerrar la puerta de casa cuando sales. La diferencia es que, con el router, el ladrón puede entrar sin que te des cuenta y quedarse a vivir durante años.
