Vazamento de senhas para mais de 515.000 servidores, roteadores e dispositivos de IoT

Pergunta: Para que Telnet é usado?

Resposta (Marko Zbirka): Telnet é um protocolo usado para fornecer o acesso remoto a dispositivos. O protocolo foi desenvolvido em 1969, para possibilitar o acesso remoto aos servidores. Hoje, ele é amplamente incluído nos dispositivos IoT (Internet das Coisas), porém é usado apenas em casos específicos, por exemplo, se o usuário precisar de acesso remoto e completo ao sistema subjacente do dispositivo, acessar remotamente as configurações avançadas ou depurar esse dispositivo.

Pergunta: Quais dispositivos geralmente usam o protocolo Telnet?

Resposta (Marko Zbirka): Geralmente vemos o uso do Telnet em roteadores, dispositivos IoT como câmeras IP, aparelhos inteligentes e até mesmo set-top boxes DVT2.

Pergunta: Como os usuários podem saber se a porta Telnet de seus dispositivos está exposta?

Resposta (Marko Zbirka): Os usuários podem verificar se a porta Telnet de seus dispositivos está exposta usando recursos como o Avast Wi-Fi Inspector, incluído em todas as versões do Avast Antivirus. O Wi-Fi inspector escaneia a rede, analisando se há dispositivos usando Telnet em busca de senhas vazadas, padrão ou fracas, alertando os usuários sobre isso para que possam alterá-las e, assim, proteger a sua rede. Ele também verifica senhas conhecidas por serem utilizadas em botnets de malware no passado, incluindo a botnet Mirai. Os usuários podem ainda verificar as configurações do roteador, efetuando o login na sua interface administrativa web, para ver se o Telnet está ativado no roteador. Caso o Telnet não estiver sendo usado ativamente, recomendamos desativá-lo completamente. Também recomendamos que os usuários verifiquem se o encaminhamento da porta e o UPnP estão ativados e, a menos que estejam sendo usados conscientemente, também devem ser desativados.

Pergunta: Onde os usuários podem alterar as suas credenciais Telnet?

Resposta (Marko Zbirka): Isto sempre depende do próprio dispositivo, por isso é importante que os usuários consultem o manual e sigam as práticas recomendadas, como alterar as credenciais de login padrão (nome do usuário e senha) ao configurar um novo dispositivo. Alguns dispositivos têm credenciais Telnet separadas, enquanto em outros dispositivos a porta Telnet pode ser acessada simplesmente ao fazer o login no próprio dispositivo. De qualquer forma, os usuários devem evitar o uso do mesmo nome de usuário e senha em vários dispositivos e contas. Os cibercriminosos muitas vezes tentam invadir outras contas quando colocam as mãos em dados violados, incluindo credenciais de login, pois sabem que inúmeras pessoas usam as mesmas credenciais de login em várias contas e dispositivos. De acordo com uma pesquisa da Avast, 51% dos brasileiros usam a mesma senha para proteger várias contas. Por fim, os usuários sempre devem atualizar o firmware e o software de seus dispositivos, para corrigir vulnerabilidades que possam ser potencialmente abusadas por criminosos cibernéticos.

Pergunta: O que alguém pode fazer com essas credenciais de login?

Resposta (Marko Zbirka):  Quando um cibercriminoso obtém acesso à porta Telnet com sucesso, ele pode baixar e instalar um malware e começar a abusar do dispositivo. Geralmente, os cibercriminosos usam os dispositivos conectados para criar uma botnet, a qual podem usar para realizar ataques DDoS em sites populares, minerar criptomoedas, escanear a internet e a rede na qual o dispositivo infectado se encontra para que outros dispositivos sejam infectados e atacados. Os usuários podem reconhecer que o dispositivo se tornou parte de uma botnet ao perceberem que ele está respondendo mais lentamente que o normal e se houver tráfego suspeito saindo do dispositivo.

Pergunta: É provável que outros cibercriminosos também estejam escaneando a internet, procurando por dispositivos com portas Telnet expostas?

Resposta (Marko Zbirka):  Sim! Existem 500 honeypots implementados em todo o mundo que foram programados com portas abertas, como TCP:23 (protocolo telnet), TCP:22 (protocolo ssh), TCP:80 (protocolo http), normalmente encontradas em dispositivos IoT, dessa forma, parecendo ser de dispositivos IoT usados para ataques. A proposta de um honeypot é capturar atividades de cibercriminosos e, em seguida, examinar os seus métodos de ataque. Eles existem para fazer com que os invasores pensem que os dispositivos que estão atacando são reais e possuem dados legítimos. Em 19 de janeiro de 2020, vimos cibercriminosos tentando acessar a porta Telnet dos nossos honeypots 347.476 vezes.

Pergunta: Qual a probabilidade de que esses dispositivos agora estejam usando um endereço IP e / ou credenciais de login diferentes?

Resposta (Marko Zbirka): Não é muito provável, já que muitos desses dispositivos são configurados e simplesmente usados. Assim, muitos usuários acessam os seus dispositivos enquanto o configuram, se possível, e depois nunca mais. De acordo com uma pesquisa da Avast, 35% dos brasileiros não sabem que o roteador tem uma interface administrativa web, na qual podem fazer o login para visualizar e alterar as configurações do roteador. Quando se trata de roteadores, os endereços IP às vezes mudam quando o roteador é reinicializado ou ao alternar de um Provedor de Serviços de Internet (ISP) para outro. Uma rede é tão segura quanto o seu link mais fraco e, por esse motivo, é muito importante seguir as práticas de segurança recomendadas.