Los enrutadores usados ​​​​a menudo vienen cargados de secretos de la empresa – Ars Technica

sabes que se supone que debes Limpie su teléfono inteligente O tu portátil antes de revenderlo o dárselo a tu primo. Después de todo, hay una gran cantidad de datos personales valiosos que deben mantenerse bajo su control. Las empresas y otras organizaciones deben seguir el mismo enfoque, eliminando su información de las computadoras, servidores y equipos de red para que no caiga en las manos equivocadas. Sin embargo, en la Conferencia de Seguridad RSA en San Francisco la próxima semana, los investigadores de la firma de seguridad ESET Resultados actuales Explica que más de la mitad de los enrutadores empresariales usados ​​que compraron para probarlos habían sido dejados completamente intactos por sus dueños anteriores. Los dispositivos estaban llenos de información de red, credenciales y datos confidenciales sobre las organizaciones a las que pertenecían.

Los investigadores compraron 18 enrutadores usados ​​en varios modelos de tres proveedores principales: Cisco, Fortinet y Juniper Networks. De estos, solo nueve fueron dejados por sus dueños y completamente accesibles, mientras que solo cinco fueron borrados correctamente. Dos estaban encriptados, uno murió y el otro era una copia exacta de otra máquina.

Los nueve dispositivos desprotegidos contenían credenciales para la VPN de la organización, credenciales para otro servicio de conexión de red segura o contraseñas de administrador raíz codificadas. Todos contenían suficientes metadatos para identificar al propietario u operador anterior del enrutador.

Ocho de los nueve dispositivos desprotegidos incluían claves de autenticación de enrutador a enrutador e información sobre cómo se comunicaba el enrutador con aplicaciones específicas utilizadas por el propietario anterior. Cuatro dispositivos expusieron las credenciales para conectarse a las redes de otras organizaciones, como socios de confianza, colaboradores u otros terceros. Tres de ellos contienen información sobre cómo una entidad de terceros se conectó a la red del propietario anterior. Y dos contienen directamente datos de clientes.

“El enrutador principal toca todo en la empresa, por lo que sé todo sobre las aplicaciones y el carácter de la empresa; hace que sea muy fácil hacerse pasar por la empresa”, dice Cameron Camp, investigador de seguridad de ESET que dirigió el proyecto. «En un caso, este gran grupo tenía información privilegiada sobre una firma de contabilidad muy grande y una relación directa entre pares con ella. Y ahí es donde para mí, comenzó a asustarme mucho, porque somos investigadores, somos Estoy aquí para ayudar, pero ¿dónde están el resto de estos enrutadores?»

El gran riesgo es que la gran cantidad de información en los dispositivos sea valiosa para los ciberdelincuentes e incluso para los piratas informáticos respaldados por el estado. Los inicios de sesión de aplicaciones corporativas, las credenciales de red y las claves de cifrado son muy valorados en los mercados de la web oscura y los foros forenses. Los atacantes también pueden vender información sobre personas para su uso en el robo de identidad y otros fraudes.

Los detalles sobre cómo funciona la red de una empresa y la estructura digital de la organización también son invaluables, ya sea que esté investigando un ataque de ransomware o planeando una campaña de espionaje. Por ejemplo, los enrutadores pueden detectar que una organización en particular está ejecutando versiones desactualizadas de aplicaciones o sistemas operativos que contienen vulnerabilidades explotables, esencialmente brindando a los piratas informáticos una hoja de ruta para posibles estrategias de ataque. Los investigadores incluso encontraron detalles en algunos enrutadores sobre la seguridad del edificio físico de las oficinas de los propietarios anteriores.

Debido a que los equipos usados ​​tienen descuento, es probable que los ciberdelincuentes inviertan en la compra de hardware usado para extraer información y acceder a la red y luego usar la información ellos mismos o revenderla. Los investigadores de ESET dicen que han debatido si publicar sus hallazgos, ya que no quieren dar nuevas ideas a los ciberdelincuentes, pero concluyen que crear conciencia sobre el tema es más urgente.

«Uno de mis mayores temores es que si alguien es malvado No Al hacerlo, es casi una mala práctica de piratería, porque sería fácil y obvio», dice Camp.

Dieciocho enrutadores son una pequeña muestra de los millones de dispositivos de red empresarial repartidos por todo el mundo en el mercado de reventa, pero otros investigadores dicen que también han visto los mismos problemas una y otra vez en su trabajo.

dice White Ford, director de ingeniería de Red Balloon Security, una empresa de seguridad de Internet de las cosas. “Estos dispositivos pueden contener grandes cantidades de información que los malos actores pueden usar para apuntar y llevar a cabo ataques”.

Al igual que en los hallazgos de ESET, Ford dice que los investigadores de Red Balloon encontraron contraseñas, otras credenciales e información de identificación personal. Algunos datos, como los nombres de usuario y los archivos de configuración, suelen estar en texto sin formato y son fácilmente accesibles, mientras que las contraseñas y los archivos de configuración suelen estar protegidos porque se almacenan como archivos mixtos. Hashes criptográficos. Pero Ford señala que incluso los datos fragmentados siguen estando en riesgo.

«Eliminamos los hash de contraseñas que se encontraron en un dispositivo y los dividimos fuera de línea; te sorprendería cuántas personas todavía basan sus contraseñas en sus gatos», dice. «E incluso cosas aparentemente inocuas como el código fuente, el historial de confirmaciones, las configuraciones de red, las reglas de enrutamiento, etc., pueden usarse para obtener más información sobre una organización, sus empleados y su topología de red».

Los investigadores de ESET señalan que las organizaciones pueden creer que son responsables al subcontratar dispositivos a empresas de terceros. Empresas de eliminación de desechos electrónicos, o incluso servicios de esterilización de dispositivos que afirman escanear grandes lotes de dispositivos empresariales para revenderlos. Pero en la práctica, estos terceros pueden no hacer lo que dicen. Camp también señala que más organizaciones pueden aprovechar el cifrado y otras características de seguridad que ya brindan los enrutadores convencionales para mitigar las consecuencias si los dispositivos sin borrar terminan en el mundo.

Camp y sus colegas intentaron ponerse en contacto con los antiguos propietarios de los enrutadores usados ​​que habían comprado para advertirles que sus dispositivos ahora estaban en libertad arrojando sus datos. Algunos estaban agradecidos por la información, pero otros parecían ignorar las advertencias o no proporcionaron ningún mecanismo por el cual los investigadores pudieran informar los hallazgos de seguridad.

«Utilizamos los canales de confianza que teníamos con algunas empresas, pero luego descubrimos que muchas otras empresas eran más difíciles de contactar», dice Camp. «muy atemorizante.»

Esta historia apareció originalmente Wired.com.