Detectada vulnerabilidad en equipos Ubiquiti [INACTIVE]

[ChiapasiP]

Sin querer me tope con esta informaciòn y estoy seguro que a mas de a uno de nosotros ,va a poner a actualizar nuestros equipos Ubquiti

Recientemente se ha detectado una vulnerabilidad en los equipos de Ubiquiti Networks (Nanostation, Loco, Bullet, Nanobridge, Powerbridge, Powerstation, Picostation, etc...) con las siguientes versiones de firmware:

Productos 802.11 - AirOS v3.6.1/v4.0 (las versiones previas no están afectadas)
Productos AirMax - AirOS v5.x (todas las versiones)

Esta vulnerabilidad permite el acceso al equipo sin password y la instalación de un virus denominado Skynet que se instala en la máquina Ubiquiti y comienza a enviar mensajes en el tráfico generado a través del puerto :80 (http://), redireccionando dicho tráfico a eterminadas páginas web y saturando la memoria del equipo inalámbrico, lo que ocasiona reinicios inexperados.
Las máquinas más expuestas son aquellas instaladas en redes con acceso público (Estaciones Base y CPE).

¿Cómo es el virus?
El virus es un script Linux que se instala en un directorio oculto y tras un reinicio del equipo, comienza a actuar.

¿Cómo detectar si el equipo Ubiquiti está infectado?
Intente abrir la página http://w.x.y.x/admin.cgi (donde w.x.y.z es la dirección IP del equipo Ubiquiti)
Si la página no se abre, el equipo ha sido infectado, ya que el virus la renombra como adm.cgi

¿Cómo proceder si mi equipo NO está infectado?
Actualice inmediatamente la versión de firmware de sus equipos Ubiquiti, puede descargar las versiones firmware que han eliminado la vulnerabilidad en la siguiente dirección:
http://ubnt.com/support/downloads

¿Cómo proceder si mi equipo SI está infectado?
Existen tres opciones:
1) Ubiquiti se ha comprometido a lanzar antes de 24 horas, una herramienta para eliminar el virus de una forma fácil y rápida.
2) Resetear el equipo a "Valores de Fábrica".
3) Eliminar el script Skynet manualmente siguiendo las instrucciones que detallamos a continuación:
Acceder al equipo mediante SSH y ejecutar los siguientes comandos:
rm /etc/persistent/rc.poststart
rm -rf .skynet
save
reboot

Una vez quitado el script skynet (virus) mediante el procedimiento descrito, renombrar el fichero adm.cgi al nombre originar admin.cgi y proceder a actualizar la versión de firmware a la última disponible para el equipo en la siguiente dirección:
http://ubnt.com/support/downloads
Puede encontrar más información en el foro de Ubqiuiti:
http://www.ubnt.com/forum/showthread.php?t=45169

Esta info la encontre en esta pagina http://www.ryohnosuke.com/foros/t1591/ espero les sea util

[gregory733]

Excelente informacion!

Muchas Gracias!

[ChiapasiP]

A qui hay algo mas de informacion y algunas reglas de firewall que pueden servir

http://gregsowell.com/?p=3428