Si tu operador es Orange y estás intentando navegar, pero no puedes hacerlo, seguramente sea culpa del hackeo de la cuenta de RIPE del operador. El RIPE es uno de los cinco registros regionales de Internet que hay en el mundo, y es el que corresponde a Europa, Oriente Medio y partes de Asia Central. En la madrugada del día 3 de enero de 2024, un usuario en Twitter citando a Orange, ha puesto unas capturas de pantalla del panel de administración del RIPE del operador, ha decidido modificar los objetos de ruta, se podría decir que han tirado el operador entero, y seguramente tengas problemas a la hora de navegar por Internet. A continuación, os explicamos todos los detalles de este grave suceso.
Durante el día del 3 de enero, algunos clientes del operador Orange han empezado a dar la voz de alarma a través de las redes sociales, porque no pueden navegar con normalidad, sobre todo si intentan visitar webs extranjeras, donde el routing es totalmente necesario para llegar hasta ellas. Parece ser que un ciberdelincuente ha conseguido entrar en el panel de administración de RIPE, cambiar las credenciales de acceso, y hacer algunos cambios críticos que directamente han ocasionado que el operador deje de funcionar con normalidad. Descubre cómo configurar Movistar Plus+ en un router neutro.
¿Qué ha pasado con la cuenta de RIPE de Orange?
Un ciberdelincuente ha conseguido hacerse con el control total de la cuenta de RIPE de Orange, todavía no se sabe muy bien cómo han conseguido acceder, pero se supone que Orange no tenía activada la autenticación en dos pasos que sí tenemos disponible en RIPE, para proporcionar una autenticación fuerte. Por lo tanto, al no tener esta segunda forma de autenticación, han podido entrar fácilmente con las credenciales robadas de alguna forma.
Al acceder directamente con permisos de administrador, el ciberdelincuente puede modificar cualquier dato crítico para el buen funcionamiento de la red, y eso es justo lo que ha pasado.
Snow@Ms_Snow_OwO@orange_es Meow meow meow! I have fixed your RIPE admin account security. Message me to get the new credentials :^) https://t.co/NKFFDWb0Ec02 de abril, 2024 • 13:02
44
50
Se desconoce si Orange ya ha tomado el control de la cuenta de RIPE en estos momentos, pero lo que sí podemos afirmar, es que hay una caída importante en el tráfico de su AS. En Twitter el operador Orange ya ha contactado con el ciberdelincuente, para conseguir el acceso a la cuenta de RIPE lo antes posible.
Orange España@orange_es@OladeMar17 Hola, @OladeMar17, hemos respondido a tu privado. Revísalo cuando puedas.
Un saludo ^ISM https://t.co/f2gzhDIpCB02 de abril, 2024 • 13:02
0
0
Como podéis ver, el ciberdelincuente ha conseguido su objetivo.
¿Qué han cambiado y por qué Orange tiene problemas?
Además de dar aviso a Orange, y pidiendo que se pongan en contacto con esa persona, ha realizado una modificación muy importante: ha cambiado los objetos ruta del protocolo BGP. Lo que ha ocurrido es que han anunciado un prefijo BGP desde un AS que no es el correcto, así que el resto de AS están denegando este tráfico ya que no esperan obtener esos prefijos por ahí. Básicamente lo que han hecho es tirar todo el operador porque ahora el sistema autónomo de Orange no puede comunicarse con otros, ya que no sabe cómo hacerlo.
Parece ser que también han activado el protocolo RPKI (Resource Public Key Infraestructure), este protocolo permite que los operadores puedan proporcionar sus recursos (sus rutas) de forma verificada gracias a certificados digitales. Activando la funcionalidad de RPKI, se puede hacer que el enrutamiento en Internet sea más seguro. Al tener configurado el RPKI, al proporcionar unos prefijos con origen otro AS, el resto de los otros sistemas autónomos (AS) de diferentes proveedores, están dando un error en el ROA (Route Origin Attestations) de los diferentes prefijos, ya que no lo aceptan, marcándolo como inválido. Básicamente toda la red de Orange está siendo rechazada por el resto de redes, porque está devolviendo un mensaje de RPKI inválido, así que hasta que Orange no solucione el problema, no podrán llegar hasta los diferentes destinos.
En estos instantes, el protocolo BGP está funcionando como debería, propagando todas las rutas, y haciendo que poco a poco todo el tráfico de Orange esté cayendo en picado, porque el resto de AS no saben qué está pasando, y se está quedando aislado. En Cloudflare Radar puedes ver en tiempo real lo que está pasando:
Si el operador Orange no se hace con el control de RIPE de nuevo, muy pronto el operador caerá por completo, ya que todos los prefijos de BGP no serán válidos, al cambiar tanto los objetos como también el RPKI. Parece ser que a las 14.00 ha habido una gran cantidad de anuncios BGP, y se sigue propagando. Hay que tener en cuenta que, cuando lo solucionen, se tardará en volver a la normalidad porque el protocolo BGP tendrá que volver a restablecer absolutamente todo, y el resto de AS deben aceptar los prefijos de BGP y validarlos, pero es que el RPKI tardará bastante más tiempo, por lo que la incidencia durará varias horas hasta que se solucione por completo.
Orange en este caso no ha sufrido un hijack típico, como los que han ocurrido en el pasado, sino que este ataque es bastante más elaborado, ya que han accedido directamente a RIPE para hacer los cambios y tirar la red entera al operador, lo cual es bastante grave. A nivel de ciberseguridad ha sido un ataque bastante serio, ya que directamente se han hecho con las credenciales del RIPE, pero es que a nivel de red es totalmente catastrófico porque afecta a todo el tráfico del operador. Podéis visitar nuestro tutorial sobre cómo monitorizar mi conexión con Uptime Kuma.
Otros operadores que dependen de Orange también podrían estar afectados, como Jazztel o Simyo. Además, puede que cierto tráfico de red de Grupo Masmóvil, Movistar, e incluso operadores pequeños como los WISP puedan tener problemas de navegación, porque el tráfico de red se quedará sin llegar a su destino.
¿Qué debe hacer ahora Orange?
Lo primero que debe hacer Orange en este caso, es comunicarse urgentemente con RIPE y volver a hacerse con el control total de su cuenta. Una vez dentro, lógicamente debe cambiar la contraseña y activar la autenticación en dos pasos urgentemente, para que esto no vuelva a pasar. Una vez que ya tengan acceso total a la cuenta de RIPE, deberán hacer los siguientes cambios:
- Deben eliminar el prefijo inválido que han metido con un AS que no es el correcto.
- Esperar hasta que se propague tanto el protocolo BGP, como también el RPKI, lo que puede tardar horas hasta que todo vuelva a la normalidad.
Como podéis ver, lo cierto es que este ataque es muy grave, porque directamente han tirado toda la red de Orange por el simple hecho de hackear la cuenta del RIPE.
Orange confirma el ataque, así les han hackeado
Teniendo en cuenta todas las evidencias en las redes sociales y diferentes webs que han informado del ataque a su cuenta de RIPE, el operador Orange ha publicado un comunicado en Twitter indicando que ha habido un incidente en el RIPE y que están intentando solucionarlo. Podéis ver el post oficial aquí:
Orange España@orange_esNOTA: La cuenta de Orange en el centro de coordinación de redes IP (RIPE) ha sufrido un acceso indebido que ha afectando a la navegación de algunos de nuestros clientes. El servicio está prácticamente restablecido02 de abril, 2024 • 13:02
162
44
Parece ser que un empleado de Orange fue infectado por un malware llamado Raccoon de tipo Infostealer, este malware lo que hace es recopilar todas las URL y las credenciales, para posteriormente robarlas y así obtener acceso privilegiado. En la siguiente captura de pantalla, se puede ver el nombre del PC con el malware, el sistema operativo que es Windows 10 Pro, que no usa antivirus y la fecha de la detección que es en septiembre de este año. También se puede ver que las credenciales del RIPE están disponibles, la contraseña que Orange usaba era «ripeadmin», una contraseña totalmente insegura para un acceso tan importante, además, no habían habilitado la autenticación en dos factores en RIPE para evitar accesos no autorizados.
Este ataque muestra que una sola infección de un empleado de una empresa de telecomunicaciones, puede tirar abajo el operador entero, con lo que las consecuencias pueden ser verdaderamente devastadoras. La persona que ha accedido a la cuenta del RIPE ha declarado que no tenía ninguna intención de atacar a Orange, que simplemente estaba investigando filtraciones públicas de datos de bots, y encontró la cuenta de Orange con la contraseña «ripeadmin«.
Snow@Ms_Snow_OwOFor those wondering how i acquired access to the account in the first place, let me just say that the password security was very questionable.
I was just looking into public leaks of bot data and came across the ripe account with the password «ripeadmin» and no 2FA, No SE at all https://t.co/5sYFF2PJEg02 de abril, 2024 • 13:02
238
50
Parece ser que este usuario no ha pedido dinero a Orange para recuperar la cuenta del RIPE, y que no tenía ninguna intención de provocar un corte de servicio de ninguna manera. Ha confirmado que el acceso ha sido devuelto a Orange correctamente. Esto lo ha hecho para evitar que un ciberdelincuente sea una amenaza real para el operador.
Con este ataque hemos aprendido varias lecciones:
- Un solo equipo infectado por un Infostealer puede comprometer la empresa entera.
- Hay que usar antivirus en los ordenadores finales, no intentar filtrarlo todo con Proxies y un antivirus a nivel de red.
- Usar contraseñas robustas, activar la autenticación en dos pasos siempre que esté disponible, y cambiar periódicamente las contraseñas que sean críticas, como la del RIPE.
Manuel Guerra hace otras recomendaciones como no usar el PC profesional para cosas de casa, y monitorizar activamente Internet para ver si sus credenciales se han robado:
Manu {G²}@CiberPoliESFinalmente se confirma que el acceso malicioso a la cuenta de Orange en RipeNCC, se realizó con unas contraseñas robadas a un empleado en septiembre de 2023 mediante el malware Raccoon.Lecciones aprendidas:
– Usar contraseñas robustas, «ripeadmin» no es una contraseña robusta.… https://t.co/hkpVo6vn4g https://t.co/f7eZCT8jIi https://t.co/5XxcqZzhh102 de abril, 2024 • 13:02
224
7
Parece ser que ahora mismo el tráfico de Internet de Orange es normal, por lo que la incidencia se ha solucionado por completo. Sin lugar a dudas, el año 2024 viene muy fuerte en cuanto a incidentes de ciberseguridad.
