DEV Community

Cover image for El GRU ruso secuestra routers TP-Link domésticos en una operación global: NSA y 16 países urgen reiniciar el tuyo
lu1tr0n
lu1tr0n

Posted on • Originally published at elsolitario.org

El GRU ruso secuestra routers TP-Link domésticos en una operación global: NSA y 16 países urgen reiniciar el tuyo

#security #cybersecurity #programming #webdev

Resumen ejecutivo: El 7 de abril de 2026, el FBI emitió una alerta pública (PSA I-260407) cosellada por la NSA y agencias de 16 países adicionales, advirtiendo que el grupo APT28 —la unidad de hackers militares del GRU ruso— está comprometiendo routers domésticos TP-Link y de otras marcas para interceptar tráfico cifrado, secuestrar resoluciones DNS y robar credenciales de Outlook, correos corporativos y datos de navegación. El Departamento de Justicia de EE. UU. ya tomó acción judicialmente autorizada para desmantelar parte de la red. Y aunque sea la operación más grande hasta la fecha, no es la primera: en febrero de 2024, la misma unidad militar perdió control de cientos de routers Ubiquiti tras una operación similar. Esta vez los objetivos somos nosotros.

¿Qué pasó?

En un movimiento sin precedentes por su amplitud diplomática, el PSA del FBI I-260407 fue cosellado por:

  • U.S. National Security Agency (NSA)
  • NCSC del Reino Unido (vía advisory paralelo)
  • Y los servicios de seguridad de Canadá, República Checa, Dinamarca, Estonia, Finlandia, Alemania, Italia, Letonia, Lituania, Noruega, Polonia, Portugal, Rumania, Eslovaquia y Ucrania

La operación rusa lleva activa desde al menos 2024 y, según la propia nota de prensa de la NSA, ha «comprometido indiscriminadamente un amplio grupo de víctimas estadounidenses y globales».

Quiénes son: APT28, el brazo cibernético del GRU

La atribución técnica es inequívoca: el actor es la Unit 26165 / 85th Main Special Service Center (85th GTsSS) del GRU, la Dirección Principal de Inteligencia del Estado Mayor del Ministerio de Defensa de Rusia.

La industria de seguridad le conoce por una decena de alias —cada vendor le puso el suyo:

  • APT28 (Mandiant, el más usado en prensa)
  • Fancy Bear (CrowdStrike, popular en medios)
  • Forest Blizzard (Microsoft, antes Strontium)
  • Sofacy / Sednit (ESET / Kaspersky)
  • Pawn Storm (Trend Micro)
  • BlueDelta, Iron Twilight, TA422, FROZENLAKE, Fighting Ursa

Activo desde al menos 2007, este grupo es responsable de operaciones que van desde el hackeo del Comité Nacional Demócrata de EE. UU. en 2016 hasta el reciente abuso de la zero-day CVE-2023-23397 en Microsoft Outlook.

La cadena de ataque: cómo tu router se convierte en arma

Según el desglose técnico de la propia NSA, el ataque sigue cinco pasos bien diferenciados:

Paso 1: Compromiso del router

Los actores explotan vulnerabilidades en routers SOHO (small-office/home-office). En el caso de TP-Link, la falla específica utilizada es CVE-2023-50224. Los routers con firmware desactualizado y/o credenciales por defecto son los blancos preferidos.

Paso 2: Modificación de DHCP y DNS

Una vez dentro, los atacantes modifican la configuración DHCP/DNS del router para apuntar las consultas DNS hacia resolvers controlados por el GRU.

Paso 3: Herencia silenciosa por dispositivos conectados

Cuando tu laptop, teléfono, smart TV o consola se conecta al router comprometido, hereda automáticamente la configuración DNS maliciosa por el protocolo DHCP. No hay alerta, no hay advertencia. Tú sigues navegando aparentemente normal.

Paso 4: DNS spoofing dirigido

Los resolvers del atacante responden con resultados falsificados para servicios específicos —notablemente Microsoft Outlook Web Access, según menciona la propia advisory. Otras peticiones siguen funcionando correctamente para no levantar sospechas.

Paso 5: Adversary-in-the-Middle (AitM) contra TLS

Cuando intentas conectarte al sitio falsificado, recibes un warning del navegador sobre el certificado SSL/TLS. Si lo aceptas (la mayoría de gente lo hace por costumbre cuando el sitio «siempre ha funcionado»), los atacantes ven todo el tráfico descifrado: contraseñas, tokens de autenticación, correos, datos de navegación.

«El GRU ha cosechado contraseñas, tokens de autenticación, e información sensible incluyendo correos e información de navegación normalmente protegida por SSL/TLS.»
— FBI PSA I-260407

La precuela: cuando el FBI hackeó al GRU para limpiar tus dispositivos

Esta no es la primera vez que el FBI golpea a APT28 en su infraestructura de routers. El 15 de febrero de 2024, el Departamento de Justicia anunció la Operation Dying Ember: una operación judicialmente autorizada que neutralizó cientos de routers Ubiquiti EdgeRouter que el GRU había convertido en plataforma de espionaje global.

Los detalles del caso anterior —según la cobertura de The Hacker News basada en los documentos judiciales— son ilustrativos del modus operandi:

  • MooBot, un botnet basado en Mirai operado por cibercriminales no estatales, infectó routers Ubiquiti que aún tenían las contraseñas de admin por defecto.
  • Hackers del GRU se apoderaron del botnet instalando sus propios scripts y herramientas, transformándolo en «una plataforma global de ciberespionaje» (DOJ).
  • Los routers comprometidos servían para alojar páginas de phishing falsas (una replica del login de Yahoo!), proxy de tráfico malicioso, y exfiltración de credenciales NTLMv2.
  • Para encontrar nuevos routers vulnerables, los atacantes hacían escaneos de internet con un número de versión específico de OpenSSH como parámetro de búsqueda.
  • La campaña aprovechaba además la zero-day CVE-2023-23397 en Outlook para exfiltrar credenciales.

El FBI emitió comandos remotos a los routers comprometidos para copiar evidencia, eliminar el malware y modificar reglas de firewall que bloquearan el regreso del GRU. Pero la solución fue temporal: un factory reset deshacía la limpieza, y los dispositivos infectados seguían apareciendo en «casi todos los estados» del país.

La operación de 2026 contra TP-Link es la evolución directa de esa lección: el GRU regresó, esta vez con una marca de router más extendida en hogares —y con coalición internacional para combatirlo.

El ataque y los números

Dato
Valor

Vulnerabilidad explotada
CVE-2023-50224 en TP-Link

Atribución
GRU 85th GTsSS · APT28 / Fancy Bear / Forest Blizzard

Inicio de operación
Al menos 2024

Coalición de coautores
NSA + FBI + 16 países

Servicios suplantados
Microsoft Outlook Web Access (confirmado), otros aún sin desclasificar

Datos cosechados
Contraseñas, tokens auth, emails, navegación

Acción judicial
DOJ con autorización de corte (continuación de Operation Dying Ember)

¿Cómo saber si tu router está comprometido?

No hay un test trivial, pero hay señales que deberían encender alarmas:

  • Configuración DNS modificada sin que tú la cambiaras. Entrá al panel del router (usualmente 192.168.0.1 o 192.168.1.1) y revisá DHCP / DNS. Si los servidores DNS no son los de tu ISP, Cloudflare (1.1.1.1), Google (8.8.8.8), Quad9 (9.9.9.9) o tu propio servidor, sospechá.
  • Warnings de certificado en sitios que funcionaban bien. Especialmente si visitás Outlook Web Access, Gmail, banca en línea o algún correo corporativo y de pronto aparece el warning, no cliques aceptar.
  • Conexiones SSH salientes inusuales desde dispositivos de tu red, si tenés visibilidad de tráfico (firewall avanzado o pfSense/OpenWrt).
  • Lentitud y latencia inexplicada en resolución DNS, especialmente con servicios fuera de Estados Unidos o Europa.

Cómo proteger tu router en casa: 5 pasos imprescindibles

NSA y FBI son explícitos en las recomendaciones:

1. Cambiá usuario y contraseña por defecto

Sí, hoy. Si comprás un router y nunca tocaste el password, asumí que ya está en una base de datos pública. Usá una contraseña larga (16+ caracteres) y única.

2. Deshabilitá la gestión remota desde internet

Esta opción suele venir activada de fábrica para «mantenimiento del ISP». El 99% de los usuarios no la necesita, y es la puerta principal de entrada de los atacantes. Buscá en el panel: Remote Management, WAN Access, External Admin — y desactivá todo lo que apunte hacia internet.

3. Actualizá el firmware a la última versión

En TP-Link la versión que parchea CVE-2023-50224 ya está disponible. Entrá al panel, sección System / Firmware Update, y actualizá. En equipos de gama baja sin actualizaciones automáticas, hacelo a mano cada trimestre.

4. Reemplazá routers fuera de soporte (EOL)

Si tu router no recibe firmware desde hace dos años o más, es hardware muerto que solo está esperando. Los modelos típicos en LATAM con problemas crónicos: TP-Link Archer C7 v1/v2, Linksys WRT54 series, D-Link DIR-615 viejos. Si tu modelo está discontinuado, gastá los 30-50 USD que cuesta uno actual con soporte vivo.

5. Nunca aceptes warnings de certificado SSL/TLS

Si tu navegador o tu cliente de correo te alerta sobre un certificado inválido en un sitio que sabés que es legítimo, cerrá el navegador y revisá tu DNS antes de hacer cualquier otra cosa. Ese es exactamente el momento donde el GRU está esperando tu clic.

Para organizaciones con teletrabajo

NSA recomienda específicamente revisar las políticas de acceso remoto:

  • Forzar VPN corporativa con MFA para acceder a recursos sensibles, incluso cuando el empleado esté en su red doméstica.
  • Hardening de configuraciones en clientes de correo (especialmente Outlook). Considerar deshabilitar el carga automática de imágenes y previews que pueden filtrar credenciales.
  • Considerar incentivar a empleados a actualizar su router personal —una práctica novedosa pero que la NSA cita explícitamente.

Para guías de seguridad doméstica, la propia NSA mantiene su documento Best Practices for Securing Your Home Network, y CISA mantiene la página Edge Device Security.

¿Qué hacer si crees haber sido víctima?

NSA y FBI dan tres pasos:

  • Reportá al IC3 (Internet Crime Complaint Center) con detalles de tu router (modelo, firmware, configuración DHCP).
  • Contactá a la oficina de campo del FBI más cercana si tenés sospechas concretas de espionaje dirigido.
  • Revisá los logs de tu router (si los tenés activos) y buscá conexiones sostenidas con IPs no esperadas, especialmente en bloques de Europa del Este.

Lectura combinada con la operación iraní del mismo día

El 7 de abril de 2026 fue una fecha simbólica: la NSA emitió dos alertas de gran calado el mismo día. La iraní (AA26-097A) sobre PLCs de plantas de agua y energía. La rusa (PSA I-260407) sobre routers domésticos. Dos potencias adversarias, dos vectores complementarios:

  • Irán ataca infraestructura operacional (control físico de procesos: agua, energía, gobierno).
  • Rusia ataca infraestructura de borde (acceso amplio, persistente, para inteligencia y exfiltración).

Para los defensores en LATAM y Europa, el mensaje es transferible: tu router doméstico no es solo un objetivo de criminales comunes —es objetivo de servicios de inteligencia estatales, y las técnicas que ven en EE. UU. hoy aterrizan en otros países en cuestión de meses.

Fuentes

Top comments (0)