Ataque WPAD a modems TELMEX Ping Communication y probablemente mas

Hola que tal abro hilo para comentar un fallo desde mi punto de vista muy grave que experimente recientemente.

Resulta pues que me encontraba navegando hace unos dias, cuando note que mi conexion esta muy lenta, mucho mas de lo normal entonces decidí hacer una prueba en speedtest.net y al aparecer el proovedor de internet asi como la IP me sorprendió ver que en lugar de decir TELMEX decía "Gransy s.r.o" y una IP "185.38.111.x" , a lo cual pensé se había buggeado speedtest.net.

Pero al continuar navegando comencé a notar que algunos sitios como twitter o youtube me mencionaban que me conectaba desde una ubicación nueva así que entré a una pagina del tipo "whatismyipaddress.com" y en efecto me mencionaba que mi ISP era "Gransy s.r.o" y la IP ya mencionada. A paritr de aqui si ya me entró la preocupacion porque pues no he movido ni instalado nada nuevo ni configurado VPN's o proxys, decido abrir ventana de incognito en chrome y abrir youtube y en efecto youtube sin logearme aparecia con sugerencias de videos populares en la republica checa. Procedo a mirar en Firefox y ahi estaba todo normal ISP Telmex e IP Mexicana.

Actualicé Chrome de la 86 a la 87 y parecía haberse solucionado, pero al día siguiente regresó el problema, comienza mi busqueda de nuevo y me encuentro con un hilo en el sitio de foro.elhacker.net 

foro.elhacker.net/seguridad/ayuda_falsa_ip-t508262.0.html

Donde el usuario tiene el mismo problema, el hilo es reciente y ademas tambien tiene TELMEX. En el cual menciona que la solución a su problema fué desactivar una opcion en el apartado de opciones de internet de windows  en la pestaña conexiones y en configuracion de LAN indica que se debe desactivar la opcion "detectar la configuracion automaticamente".

Posteriormente me entero que esa opcion de windows es del protocolo de autoconfiguración de servidor proxy y entonces comienzo a buscar como funciona el protocolo y pues basicamente como su nombre lo indica autoconfigura tu PC para el uso de un servidor proxy esto realmente util si tu computadora la usas en una red de empresa con un dominio definido, pero no muy util si eres un usuario común. 

A lo que dije, y como fue que se me autoconfiguro un proxy si yo solo me conecto a la red de mi casa y jamas he unido mi equipo a un dominio pues este protocolo puede autoconfigurar  proxy mediante dos formas por medio del servidor DHCP de tu red local o por medio de DNS, y despues de leer un poco mas acerca del funcionamiento en un PDF publicado por TrendMicro acerca de las vulnerabilidades del protocolo WPAD aqui es donde tuve mi momento al mas puro estilo del Dr. House. En pocas palabras el protocolo se autoconfigura en windows por medio de un archivo wpad.dat que WIndows intenta obtener por medio de DHCP o por DNS he aqui el problema por DNS intenta buscarlo en el dominio configurado en la red. 

www.trendmicro.co.uk/media/misc/wp-badwpad.pdf

Recorde que por alguna razón el nuevo modem que me dío TELMEX  a inicios de Noviembre de 2020 un Ping Communication v7962v1 venía configurado con el DHCP con un sufijo DNS "domain.name" esto se me hizo raro porque por lo regular los modems telmex casi nunca viene con sufijo configurado por lo regular vienen en blanco. Pues una vez sabiendo las vulnerabilidades del WPAD me fui a buscar haciendo WHOIS quien tiene registrado el dominio "wpad.domain.name" y quien creen amigos, pues efectivamente "Gransy s.r.o".

Ahora bien porque considero esto muy grave porque el protocolo WPAD viene configurado activado por defecto en Windows desde WinXP creo y peor aun en Win10 si lo desactivas causa problemas porque sirve de base para otras funciones como IP Helper y Microsoft Azure segun leí. Ademas una vez que caes en el proxy pues esta demás decir los peligros de que tus datos pasen por el servidor de alguien mas antes de llegar a ti (ademas de la reduccion de la velocidad), ya que aun entrando a sitios HTTPS si ya caiste al proxy el proxy te puede meter su propio certificado TLS y si lo aceptas (a veces uno le da si a los avisos de certificados de seguridad con tal de que te deje acceder a un sitio) y ahi pues ya estarias bajo un ataque "Man in the middle" y podrian ver todo tu trafico aun el HTTPS.

TL/DR:  Primero si usan WIndows y no usan proxy ni tienen un dominio configurado vayan a opciones de internet -> pestaña conexiones -> configuracion de LAN y desmarquen todas las checkbox pero principalmente la primera "detectar la configuracion automaticamente".

Y segundo entren a la configuración de su ONT/router en este caso Ping Communication y vayan a la configuracion de DHCP y eliminen el sufijo preconfigurado "domain.name" y dejenlo en vacio/en blanco, guarden cambios y reinician.

EDIT. ===> Haciendo pruebas es mejor solo cambiando "domain.name" por "domain.local" ya que si lo dejan vacíoel campo DomainName, el DHCP de Windows les va mostrar sufijo DNS "domain_not_set.invalid" y les puede llegar a dar problemas si usan BSD/FreeBSD. O si tienen una mejor sugerencia por favor compartan.

Modems vulnerables todos los de marca Ping Comunication de TELMEX y cualquier modem/router que tenga configurado en el servidor DHCP el sufijo DNS "domain.name"

Mas Información:

nakedsecurity.sophos.com/es/2016/05/25/when-domain-names-attack-the-wpad-name-collision-vulnerability/
www.performanta.com/resources/advisory-czech-this-out-wpad-domain-collision-attacks/
www.reddit.com/r/Windows10/comments/kh7ph0/windows_10_ip_adress_in_a_different_region/

Muchas gracias por leer semejante muro de texto y si se lo pueden hacer llegar a alguien de seguridad de TELMEX que lanzen un update para dejar vacio el sufijo DNS en las configuraciones default sus modems muy chinos ya que Ping Communication me imagino es el revendedor ya que el modem en realidad si no se han dado cuenta es igual al Comnect GP744GVR de una empresa de Shenzen, China. Ojo no digo que sea malo me ha dado buena cobertura y velocidad solo se batalla con el software que tiene algunos bugs

www.comnect.com.cn/FTTx/GP744GVR.html

Espero tenga sentido toda la historia sino pues ya editaré mas tarde, perdón la mala redaccion hace un muy buen rato no publicaba en foros pero sigo a la comunidad desde HC y OCMX. Saludos







 

A ver si entendí. ¿El WAPD (Protocolo de Auto-detección de Web Proxy) de Windows puede detectar una proxy falsa debido a la configuración por defecto de los routers de Telmex?

Suena como un ataque de Spoofing. ¿Seguro no anduviste abriendo cosas raras que hallan obligado a tu sistema a crear una proxy?

Tengo el mismo ONT, y varias máquinas Windows conectadas pero no me pasa eso en ninguna.

Me interesa saber más detalle pues ese equipo me ha funcionado muy bien hasta ahora.

@forseti99: Exactamente el protocolo WPAD al momento de establecer conexion de red busca descargar un archivo de nombre "wpad.dat" de donde descargara este archivo primero consulta con el servidor DHCP y si el servidor DHCP no le da respuesta, lo intenta obtener por medio de DNS Discovery cito el pdf de Trend Micro.

DNS Discovery Method

1. The other way to retrieve the wpad.dat file is to do a DNS lookup for a host named WPAD.
• For the example below we will assume the following settings:
• Computer Name: tomknopf
• Primary DNS suffix (search domain): infosec.mycompany.org
• Fully Qualified Domain Name: tomknopf.infosec.mycompany.org 

2. A piece of software on the machine tomknopf.pub which supports DNS WPAD, let’s say an IE browser, will request a wpad.dat file from a WPAD server existing on the same subdomain, before moving up through the domains one layer at a time. In our example, the order of URL requests would be the following:
• wpad.infosec.mycompany.org/wpad.dat
• wpad.mycompany.org/wpad.dat
• wpad.org/wpad.dat

3. This process continues until one of these servers actually responds with a wpad.dat file. If no files are returned, the user’s software will access the internet directly without using a proxy

En este caso el sufijo establecido por el servidor DHCP del modem de TELMEX es "domain.name" por lo tanto si accedemos a:

wpad.domain.name/wpad.dat

obtenemos el archivo "wpad.dat" con el codigo Javascript del servidor proxy que contiene lo siguiente:

que concuerda con el proxy que se me había autoconfigurado, cabe señalar que esta autoconfiguracion y busqueda del archivo "wpad.dat" se realiza cada vez que se reinicia el PC o se borra la cache del navegador es por eso que yo reiniciaba mi pc y funcionaba normal y a los pocos días podia o no reaparecer el proxy.

Ahora intente descargar el archivo dat desde la url que mencione arriba "wpad.domain.name/wpad.dat" y si me conecto desde TELMEX no logro descargarlo al hacer un nslookup me tira timeout esto me imagino talvez TELMEX esta tratando de mitigar el problema o sus servidores andan saturados como suele pasar. Ya que si me conecto desde Totalplay el dns de si me devuelve:

Respecto a los bugs que le encontrado al modem fuera de este tema es que segun soporta modo WPA2/WPA3 mixto pero al configurar ese tipo de cifrado algunos dispositivos Apple de plano no conectan y dispositivos windows se oconectan pero los bota cada par de minutos, tuve que dejarlo con el clasico WPA2 - AES. Ademas si cambias cualquier parametro del WiFi nombre del SSID o contraseña y tenias desactivado el WPS te lo vuelve a activar. Pero muy buena cobertura de WiFi y eso que segun esta en potencia al 50% y no se reinicia para nada.

buenas notas sobre este modem que también me ha dado buenos resultados, aunque en mi caso lo configuré con un SSID diferente, activé el MIMO, y cambien los DNS de IPv$ e IPv6 por los de Google (el de cloudflare no resuelve algunos sitios de mexico).

No me ha pasado lo del proxy pero estaré alerta.

Hi there!

I was just made aware of this article, very well written and informative.

I was made aware of the proxy-problem the 22 December 2020 and I provided a fix for the Ping modems and all other vendors in TELMEX network at 24 December 2020. TELMEX rolled out this fix in the next few days. 

Basically we changed the local domain.name to something else on all modems that has this domain in Mexico via TELMEX, and new software has been provided to block the wpad.<local default domain>.

As you described in your article, Windows enables this proxy-behaviour per default (and I think this is a huge security hole).
Users should disable this feature (there are many articles on net that refers to this being a big mistake from Microsoft).

Affected platform: MS Windows OS, all browsers except Firefox.
Linux, Apple, Android, etc. non-windows platform does not have this problem.

bjornw>
Ping Communication
 

Thank you, Bjørn for this update. Can you share the firmware version we should look for in our modems to confirm the fix is applied?

Gracias, Bjørn por esta actualización. ¿Nos puedes compartir la versión de firmware que debemos buscar en nuestros modems para confirmar que el remedio está aplicado?

Cómo cambiaste los DNS en este ont?

El DNS de IPv4 lo cambias en el menu "Servicios / DHCP Configuración", el de IPv6 lo cambias en el menu "LAN / Configuración de interfaz LAN".