La grave amenaza de seguridad que esconde el internet de las cosas

La pregunta que lanza este artículo es una de las que más se han estado planteando muchos en la industria de la seguridad. Las redes de bots de internet de las cosas (IoT) son sistemas cruzados de dispositivos conectados con fallos de seguridad —como webcams y grabadoras de vídeo— que, tras ser atacados mediante un malware, son controlados por un único atacante. Esta práctica perversa acaparó la atención en 2016 cuando la botnet Mirai interrumpió el uso de Internet en la Costa Este de Estados Unidos, golpeando así al proveedor de alojamiento de Internet OVH y KrebsOnSecurity con ataques récord DDoS. Los investigadores estiman que el tamaño de Mirai varía de 800.000 dispositivos infectados a 2,5 millones.

Los ataques DDoS lanzados por Mirai mostraron que debemos tomar en serio las redes de bots basadas en IoT. Un solo ataque contra el proveedor de alojamiento de DNS, Dyn, por ejemplo, logró bloquear el acceso a docenas de sitios web muy populares, incluidos PayPal, Airbnb, Reddit y Netflix. Los daños no se limitaron solo a los grandes sitios web: las compañías más pequeñas que confiaron en Dyn para alojar los DNS para su dominio se vieron igualmente afectadas en el ataque. Una botnet IoT más grande que Mirai es una perspectiva aterradora. Hablaríamos de una botnet con más recursos a su disposición para lanzar ataques simultáneos contra varios proveedores de alojamiento de servidores DNS con capacidad para tumbar grandes porciones de Internet.

Pero Mirai ha sido sólo el comienzo. Estas botnets son baratas y fáciles de almacenar, gracias a los pobres o inexistentes controles de seguridad de la mayoría de los dispositivos IoT. De hecho, Spamhaus estima que los servidores de comando y control de las botnets (C2C) se duplicaron con creces, pasando de 393 en 2016 a 943 en 2017. Gartner prevé que existirán 20.400 millones de dispositivos IoT en uso en 2020, por lo que el potencial número de bots o redes zombi de las que los atacantes podrán abusar será sustancialmente mayor en los próximos años.

El malware para botnets de IoT continúa transformándose, ya que muchas nuevas botnets de IoT se han detectado de forma repentina. La botnet Reaper, que infecta dispositivos aprovechado varias vulnerabilidades conocidas en lugar de utilizar una lista de contraseñas comunes como Mirai, controla 28.000 dispositivos y aproximadamente 2 millones de ellos son atacables en función de las vulnerabilidades que explota. Una botnet reciente llamada Hide ‘n Seek tiene 24.000 bots y utiliza un nuevo método peer-to-peer para propagarse. La botnet Hajime ha infectado 300.000 dispositivos IoT. Mientras, la botnet Satori, basada en el código fuente de Mirai, se hizo con 280.000 bots en solo 12 horas. Otra variante de Mirai llamada Okiru se dirige a los procesadores ARC y podría infectar 1.500 millones de dispositivos según los cálculos de investigadores.

Entonces, ¿cómo de grande puede ser la próxima botnet importante? Esa es una pregunta difícil de responder con cierto grado de certeza. Pero muchas de las nuevas botnets mencionadas anteriormente tienen el potencial de crecer tanto o más que Mirai, y a medida que se producen dispositivos de IoT más inseguros, ese tamaño potencial solo va a aumentar. Si no se añade una mejor seguridad a los dispositivos IoT, solo se crearán botnets más grandes. No se trata de si un ataque de botnet superará a Mirai, sino de cuándo.

• ¿Cómo evitar lo que con gran probabilidad se avecina?

Es inaceptable que dispositivos IoT de calidad se comercialicen con servicios abiertos

Prevenir la próxima gran botnet IoT va a requerir un consenso y un esfuerzo concertado de los consumidores, los departamentos de TI y los fabricantes. Los consumidores y los departamentos de TI deben tener cuidado a la hora de proteger los dispositivos IoT que ya tienen desplegados, especialmente aquellos que ya no reciben actualizaciones de seguridad del fabricante o que nunca las recibieron. Cosas tan simples como bloquear el acceso entrante de Internet a un dispositivo IoT pueden ser de gran ayuda para evitar que se convierta en el siguiente host infectado.

Por su parte, los fabricantes deben comenzar a incorporar las consideraciones de seguridad al proceso de desarrollo de los dispositivos que venden. Debería ser totalmente inaceptable que los dispositivos IoT de calidad para el consumidor se comercialicen con servicios abiertos como Telnet y SSH habilitados por defecto. Si los consumidores no comienzan a exigir responsabilidad a los fabricantes de IoT, puede que sea hora de que gobiernos como los de EE UU o la Unión Europea deban tomar cartas en el asunto e intervengan en materia regulatoria. Las normativas que dictan los requisitos de seguridad de IoT que llegan desde un organismo gubernamental importante probablemente sean suficientes para influir en la industria y promover códigos de cumplimiento de mejores prácticas de seguridad para siempre.

Marc Laliberte es Information Security Threat Analyst de WatchGuard Technologies