El instituto SANS, mediante el proyecto Internet Storm Center, reportó en el curso de las vacaciones de año nuevo el aumento de sondeos contra el puerto 32764, el cual coincide con la puerta trasera usada por los routers Linksys.

"Hasta el momento se exhorta a todos a analizar las redes que cuenten con dispositivos con el puerto TCP 32764 abierto, así como routers Linksys desde una dirección IP externa a la red", dijo Johannes Ullrich del Instituto SANS.

Ullrich comentó haber visto poca actividad sobre el puerto, sin embargo, se detectaron tres direcciones IP que realizaron cerca de 20 mil escaneos contra 4 mil objetivos.

Dicha puerta trasera se dio a conocer en un post en Github por el hacker francés Eloi Vanderbeken mediante un presentación en la cual se describe la puerta trasera que se encuentra, no sólo en cinco módems DSL y routers, sino también en una serie de routers Netgear, Cisco y SerComm de carácter doméstico y empresarial.

En la presentación se describe cómo, en unas vaciones navideñas, él recuperó el acceso a la administración de un router después de haber perdido los datos de acceso. Comenzó por un escaneo de Nmap en el puerto 32764 a la escucha, el cual respondía una serie de comandos, a continuación descargaba el firmware del dispositivo Linksys, él realizó ingeniería inversa al código MIPS, de esta forma logró explotar un buffer overflow, logrando restaurar la configuración del dispositivo.

De esta forma Vanderbeken fue capaz de utilizar una vulnerabilidad, obtener un shell y, mediante comandos, acceder a la administración del router. En la publicación de Github, no se aclara si los fabricantes afectados fueron notificados de la debilidad encontrada.

Los investigadores han pasado todo el año buscando en redes pequeñas de oficina y de hogar, en las cuales se encontraron grandes problemas de seguridad. Se encontraron vulnerabilidades como cross-site scripting, cross-site request forgery e incluso, una posible revelación de código fuente entre otros dispositivos Cisco Linksys EA2700, según Phil Purviance, que informó de sus hallazgos a Cisco en marzo.