Alerta de vírus ubnt 6.0.3 e descaso da ubnt

[Bruno]

assim... vou colocar um anexo, porque vc esta misturando tudo...
Anexo 66764

vc que ta misturando as coisas
ataque é uma coisa se defende com firewall
explorar falha de segurança pode se defender no firewall desde que vc saiba a onde esta a falha

[Bruno]

vc tem certeza de quem trata o endereçamento de ip é o firewall ????

[Bruno]

não sei ao certo seu o Cisco faz essa manobra uma vez ele sendo sua borda, pois suas regras já estão pré definidas para proteger ele mesmo... não sei se exite nele uma forma de criar regras para proteger o que vem depois dele, pelo menos nunca vi... provavelmente vc dever ter um mikrotik ai, eu te explico como é e vc tenta fazer no cisco, pois sinceramente não vi...

não preciso tentar fazer eu fiz meu irmao aki é CCNE cisco não sou amador não kkk
tenho firewall em forward no cisco

em sua vasta experiencia nunca mexeu com firewall em cisco ????

[Bruno]

opa desculpa tava com o skype ligado no escritorio e estou em casa

[Bruno]

kkk não adianta eu devo não estar sabendo explicar

[Bruno]

puts o home alem de falar que ele trabalha com uma rede separada para gerencia nos ubnt
uma rede privada ai não tem como a falha de segurança afetar ele

mais quando o ip publico é o mesmo de gerencia o firewall não vai proteger de falha de segurança

a solução é bem simples
trabalhar com ip de gerencia diferente do ip de conexão eu trabalho assim e o ardido ai tb porem ninguém comentou como trabalhava

acontece que se vc usar o ip publico pra gerencia vc esta refém de falhas do fabricante

se tu usar ip privados com firewall no core pra gerencia vc ta sossegado

[ShadowRed]

puts o home alem de falar que ele trabalha com uma rede separada para gerencia nos ubnt
uma rede privada ai não tem como a falha de segurança afetar ele

mais quando o ip publico é o mesmo de gerencia o firewall não vai proteger de falha de segurança

a solução é bem simples
trabalhar com ip de gerencia diferente do ip de conexão eu trabalho assim e o ardido ai tb porem ninguém comentou como trabalhava

acontece que se vc usar o ip publico pra gerencia vc esta refém de falhas do fabricante

se tu usar ip privados com firewall no core pra gerencia vc ta sossegado

@Bruno desiste cara, na boa eu estou com vergonha alheia dele, ele não tem conhecimento suficiente para entender o que você quer explicar. E quanto mais ele escreve, mais vergonha passa.

[FMANDU]

@ShadowRed Eu ia falar a mesma coisa, mas ja que você já disse!!! Bom, se a própria UBNT já reconheceu o problema, como que nosso amigo ai vem falar que a culpa é nossa. A verdade é que essas falhas já viraram rotina nessa empresa, antes era só problema no hardware e agora é no software.

[gutemberg]

Sim, entendi, então bloqueia os acessos externos a porta 22, 23, 80 e 443 vindos do link, ou seja semelhante a regra de bloqueio de ataques DNS, em IP > firewall > filter e então permitir somente o IP's desejado a acessa-las.. Valeu vou postar o script e cabar com a briga.

[jodrix]

Vixe, o tópico andou de ontem pra cá, não quero alimentar trols, mas rpassistencia, vc desrespeitou vários colegas de fórum, se quer respeito, trate seus colegas com respeito e assim terá respeito em outros tempos vc ja teria sido banido daqui.

Concordo com Bruno em vários pontos, nao adianta tratar a borda se o ataque vem de dentro, creio que a solução seria através de VRF de serviço, mas dai teria que ta com a rede com OSPF, MPLS, BGP e VRFs migrada, o que creio nao seja ao cenário da maioria dos provedores, e outra, tenho varias SXT na rede e nunca tive problemas, meritos do fabricante(Mikrotik). Mas o assunto e longo e tem muito pano pra manga. Vamos continuar debatendo mas RESPEITANDO os colegas.

[wld.net1]

O Problema é firewall SIM, eu provo... Mato a cobra e mostro o pau, quer pagar pra ver?
Independente de ser IP Público ou NAT, o Problema é firewall.
É que nós brasileiros estamos acostumados de só copiar e colar e nunca estudarmos, e colocamos a culpa nos fabricantes. Não adianta mudar as portas no equipamento final, não adianta colocar uma senha das galáxias. Faça um simples teste
Seus clientes usam IP Público... Vcs conseguem acessar as antenas deles só colocando o IP no Browser de qualquer lugar?
Se a resposta for sim, suas redes estão de pernas abertas, isso já é o bastante, vale para o NAT também.

Só que o problema não está só na borda colega mas sim no código da UBNT que está muito falho, mas de fato boas práticas são sempre bem vindas.

[wld.net1]

não é só firewall não
não adianta vc ter firewall na borda sendo que o ataque pode vim do cliente e ai como vc vai fazer ???? o cliente ta com um worm la virou zunbinet e esta atacando de dentro da sua rede ????

kkkkkkkkkkkkkkkk, aja regra velho pra fazer isso, mano sério já estou perdendo a paciência o último blackout foram mais de 600 dispositivos de uma rede que presto consultoria sério mano essas falhas estão osso!

[wld.net1]

Eu não entendo????
Como assim????
Quem é que está com vírus??? Eu ou vocês????
Me respeita cara... Coitado de vc é de seus clientes que caíram na mão de um AMADOR que é Você...
BICHO TEIMOSO.
Esqueça UBNT TEIMOSO, os equipamentos são ótimos, vc que é despreparo, desculpe em te dizer a verdade, aceite a realidade é vai estudar numa faculdade...

Rapaz, messa as palavras. O @Bruno conheço a alguns anos e sinceramente até agora o cara é muito bom no que faz, não é babando ou até mesmo coisa de fã boi mas o cara é bom mesmo.

[cassiodsn]

se a falha é somente em os de equipamentos ubnt e não afeta nem um outro e mesmo com uma atualização nova que deveria evitar se repetir oque acontecia em versões antigas não é o bastante para dizer que realmente é uma falha que não foi corrigida ? se eu pago caro em uma fechadura de marca que é a top de linha instalo ela na porta e depois descubro que qualquer chave abre a fechadura eu deveria gasta caro em um equipamento de alarme para ladrão não entra e continuar a usar a fechadura só pela marca ?
eu adoro a ubnt gosto muito mais assim pega! cliente não quer saber de desculpas se é isso ou aquilo quer é que funcione internet e a ubnt nessa nova atualização alguns equipamentos m2 e m5 loco airgrid tão apresentando comportamentos estranhos de travas reiniciando ate sumindo abas de configurações é só olhar o povo reclamando na comunidade isso é bug! não vírus e ai quem arca com a despesa de perde tempo tirando antena para reinstalar nem o novo ac5 prism ficou de fora! virus bug ta feio a coisa! sistema bom pode deixa a interface de gerenciamento aberta não tem ataque que invada o jeito é espera corrigi isso e ponto.

Notificação de Segurança AirOS - BrickerBot, 4/21/2017
Olá a todos,

Recebemos um pequeno número de relatórios em que os dispositivos da série airMAX M foram infectados com malware BrickerBot. Este malware não é específico ou orientado deliberadamente para o equipamento Ubiquiti. O ataque tem dois vetores:

Adivinhando credenciais de login fracas (nome de usuário e senha) em interfaces de gerenciamento abertas
Explorando uma vulnerabilidade antiga presente em muitos dispositivos baseados em Linux, que é corrigido em versões recentes do airOS para a série M
Levamos a segurança da rede muito a sério e queremos fornecer algumas orientações sobre como prevenir, detectar e livrar-se de infecções.

Os usuários de airOS são fortemente aconselhados a tomar as seguintes precauções:

Atualize todos os dispositivos airMAX para a versão mais recente do airOS
Não use credenciais de login padrão ou facilmente adivinháveis, como palavras curtas do dicionário
Não exponha interfaces de gerenciamento à Internet, a menos que necessário e protegido
Uma vez que o dispositivo foi comprometido, o malware carrega firmware não-genuíno para o dispositivo que maximiza o uso da CPU e altera a configuração do dispositivo, afetando o serviço.

Para detectar o malware, monitore os dispositivos airMAX para o seguinte:

100% de utilização da CPU e comportamento inesperado
Tempo de inatividade inexplicável
Processos / arquivos desconhecidos ou processos que se comportam anormalmente
Nome do dispositivo alterado para USED-DEFAULT-PASSWORD ou similar
Para recuperar com segurança todos os dispositivos airMAX que foram infectados, é altamente recomendável que os usuários redefinam o dispositivo para as configurações padrão de fábrica e fazer o upload de firmware genuíno airOS para o dispositivo via TFTP. Instruções para o fazer podem ser encontradas em:

Https://help.ubnt.com/hc/en-us/artic...mware-recovery

Observe que o usuário é capaz de proteger totalmente essa preocupação de segurança hoje usando a versão mais recente do airOS, usando credenciais de login fortes e evitando a exposição insegura das interfaces de gerenciamento à Internet.

Estaremos lançando uma atualização de segurança do airOS em breve que reforça o uso de credenciais de login fortes e fornece proteção adicional contra este e outros possíveis problemas de segurança.

A Ubiquiti dedica-se a proteger os nossos utilizadores de quaisquer riscos de segurança de rede e apoia-o fortemente com as seguintes medidas:

Diretor de Segurança dedicado focado 100% em vulnerabilidades de software Ubiquiti ( @ UBNT-rubens ) e apoiado por um forte grupo de engenheiros
Participação em programas de avaliação de vulnerabilidade de terceiros, como o HackerOne, onde damos recompensas substanciais
Investimento significativo reter terceira empresa de auditoria externa de segurança para rever nossas soluções de software com freqüência
Últimas atualizações de firmware

Recomendamos fortemente o uso do firmware mais recente para dispositivos airMAX. Faça o download do firmware mais recente para seus dispositivos no nosso site de download ( https://www.ubnt.com/download/ ). No momento da redação, os firmwares mais recentes são:

AirMAX M - v6.0.3

AirMAX AC - v8.0.2

Garantia adicional de que um firmware é genuíno pode ser obtido comparando o hash MD5 de um firmware ao hash para a mesma versão do firmware genuíno, listado na descrição de cada firmware no nosso site de download.

É altamente recomendável que os usuários não baixem firmware de outros locais que não o nosso site de download.

Obrigado.

Bom dia, rapaz já vi aberrações mais igual esta daqui foi a gota d'água!

"sistema bom pode deixa a interface de gerenciamento aberta não tem ataque que invada"


Eu como profissional em segurança da informação estou chocado com tanta candura, mais respeito sua opinião.

Seguimos...

[cassiodsn]

Vixe, o tópico andou de ontem pra cá, não quero alimentar trols, mas rpassistencia, vc desrespeitou vários colegas de fórum, se quer respeito, trate seus colegas com respeito e assim terá respeito em outros tempos vc ja teria sido banido daqui.

Concordo com Bruno em vários pontos, nao adianta tratar a borda se o ataque vem de dentro, creio que a solução seria através de VRF de serviço, mas dai teria que ta com a rede com OSPF, MPLS, BGP e VRFs migrada, o que creio nao seja ao cenário da maioria dos provedores, e outra, tenho varias SXT na rede e nunca tive problemas, meritos do fabricante(Mikrotik). Mas o assunto e longo e tem muito pano pra manga. Vamos continuar debatendo mas RESPEITANDO os colegas.

Caro colega, engano seu pensar que a Mikrotik é absoluta, para titulo de informação veja: https://wikileaks.org/ciav7p1/index.html.

Entenda uma coisa, nada é absoluto! mais a gente pode dificultar sim a entrada dos mais diversos tipos de ataque.

Abraço

[cassiodsn]

é que vc não entende certas coisas o problema de virus ou qualquer outro é falha de segurança e pra evitar isto vc ameniza com firewall

vc não pode defender um fabricante que deixa falha de segurança

tenta injetar algum código em cisco, juniper, OS x unix freebsd

tu não vai conseguir a não ser que vc libere isto se chama firewall
ex: invada qualquer deste servidor por ssh
não precisa de firewall não deixe a porta 22 open tu nunca vai conseguir
a não ser que a senha seja 123456

agora a ubnt deixou o motherfuck fazer estrago na porta 22

ninguem aki é loko em falar que firewall não se usa, se deve usar
existe diferença en ataque e invasão ataque vc bloqueia com firewall já invasão infestação é pq alguém deixou de fazer algo o primeiro foi o fabricante neste caso ubnt deixar falha na segurança depois o dono do provedor que poderia ter amenizado com firewall

amenizado pq a falha pode abrir uma porta que vc desconheça tipo ele rodar um telnet na porta 25955 vc nunca vai bloquear esta porta no seu firewall e vai passar entendeu ????

Caro Bruno, em momento nenhum a ubiquiti deixa falha de segurança, não nesta última notícia divulgada por eles, se é esperto vai entender o motivo do novo ataque.

Não defendo nem "a" e nem "b", mais se você analisar bem a ubiquiti divulgou um alerta falando que o Malware NÃO É ESPECÍFICO PARA O EQUIPAMENTO UBIQUITI e muito menos bug deles, apenas um botnet agressivo que compromete dispositivos de camera IP, DVR e etc... Sendo assim, o comunicado feito adverte os VETORES de ataque do botnet que são: Brute force de login e senha "fracas" e uma vulnerabilidade de dispositivos linux antiga!

Volto a frisar novamente! NADA É ABSOLUTO! qualquer fabricante esta vulnerável e eu posso provar isso pra você.

Até breve!

[pardall11]

Boa noite para quem tem asn a melhor solução é de cara bloqueio dá porta 22 utp e TCP direto no Bgp com isto inibe o primeiro ataque nao vai ter nenhum técnico de ti incomodado reclamando desta porta com isto o programa que roda o vírus nao inicia ok e vocês tem que desabilitar a chave de ssh em baixo dá opção de ativar o ssh com isto nao tem como o vírus ser estalado vou postar mais tarde ums print de como resolvo isto em minha rede e nao estou atualizando o rádio para 6.03 meus rádios estão quase todos na 5.6.9 a versão 6.0x tem tem troca do quernel e umas falha de segurança logo compartilho com vocês braço

[ShadowRed]

Quem estiver com problemas me fala que mostro com resolver... E acaba de vez com isso, assim vão ver como tenho razão, depois disso me excluam daqui... Obrigado

Aplicar regras de bloqueios no firewall para os serviços vulneráveis, só ter acesso por determinados IPs e manter os equipamentos ubiquiti isolados uns dos outros na rede, é básico e não precisa desse barulho todo não amigo.

O única coisa que eu vi em todas as suas postagens, foi você falando que firmwares acima da versão 5.6.4 não aceitava mais CT, e um usuário aqui do fórum mostrar que era possível e te ensinar, até agora só vi você recebendo informações.

Se quer defender o fabricante fique a vontade, se quiser ajudar e for algo diferente do que já foi descrito, poste suas regras.
Isso aqui é uma comunidade que troca informações e não fica falando que faz e acontece sem mostrar.

E se você não consegue explicar porque um equipamento ubiquiti é mais vulneráveis que outras marcas na mesma rede, fica difícil acreditar no seu conhecimento absurdo em segurança da informação.

No mais, não estou falando com você em tom agressivo, estou mostrando minha posição nesse assunto apenas.

E no fórum da ubiquiti tem o script que escaneia os equipamentos, remove o vírus e aplica o firmware que corrige a falha mais grave.
Para essa nova falha no firmware que aceita o brutal-force e não tem como ativar a proteção no próprio firmware, só resta bloquear no firewall e torcer para o usuário não executar o script malicioso de dentro de sua rede doméstica.

Aqui o que faço é usar o firmware 5.5.6 e rodar um script em iptables fazendo basicamente o que o mikrotik faz com dois cliques, permitir apenas os IPs que quero que acessem os serviço, tanto da LAN como da WAN.
Coisa que a ubiquiti já deveria ter implementado de forma nativa. Mas mesmo assim ainda tem risco, pelo simples fato dessa versão de kernel que ela usa ser vulnerável.
Não tenho problemas usando elas dessa forma, mas isso foi uma alteração que eu efetuei em cima de uma falha grotesca que o fabricante possui.

[gutemberg]

Muita teoria por aqui...

[ShadowRed]

Muita teoria por aqui...

Teoria não amigo, descrevi uma das várias possibilidades para aumentar a segurança nesses equipamentos, você quer os comandos para copiar e colar ? É isso ?