En días pasados se han detectado correos electrónicos que, mediante técnicas de Cross-site request forgery (XSRF) y Drive-by-pharming, explotan una vulnerabilidad en los ruteadores 2WIRE (usados principalmente por TELMEX Infinitum) y que permiten a un atacante remoto tomar control del equipo y (agregando lookups estáticos a los registros de DNS) redireccionar a los usuarios a sitios Web falsos de banca electrónica (principalmente BANAMEX).

Sistemas afectados

Los modelos donde se han realizado pruebas exitosas de la explotación de la vulnerabilidad son: 1070 Gateway, 2700HG Gateway y 2701HG Gateway, aunque no se descarta que otros modelos sean vulnerables.

¿Cómo verifico si mi ruteador está comprometido?

A continuación se enumeran los pasos que debes seguir para verificar si tu ruteador 2Wire ha sido comprometido:

1. Abre una ventana de tu navegador (puede ser Internet Explorer, Mozilla, etc.).

2. En la barra de dirección escribe o copia alguna de las siguientes direcciones (puede ser alguna de las siguientes dependiendo del modelo de tu ruteador):

http://192.168.1.254/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38

http://192.168.0.1/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38

http://home/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38

http://gateway.2wire.net/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38

http://172.16.0.1/xslt?PAGE=H04_POST&THISPAGE=H04&NEXTPAGE=J38

3. Si en la ventana de tu navegador se muestra un listado de direcciones IP asociadas a distintos dominios DNS (especialmente de banca electrónica) el ruteador muy probablemente ha sido comprometido.

A continuación se muestra un ejemplo de lo que podrías visualizar en el caso de que tu ruteador se encuentre comprometido:

4. Para solucionar temporalmente el problema se deben eliminar manualmente los registros ingresados con el botón de “REMOVE”.

Descargar: Documento que describe los pasos para borrar la tabla de DNS del 2WIRE.

Solución Permanente

Actualización del firmware del ruteador 2WIRE a la versión 5.29.135.5, la cual corrige las vulnerabilidades mencionadas.

Consulte a su ISP sobre como realizar ésta actualización.

Alerta de Vulnerabilidad publicada por UNAM-CERT.

Para más información consulte:

http://www.cert.org.mx/nota/?vulne=5534

Ultima Actualización: 23 de Julio del 2008