CVE-2022-37055 D-Link Routers: Ejecución Remota Sin Autenticación en CISA KEV
Severidad 9.8 — Crítico
Infraestructura de Red / IoT
Actor: Mirai variants
CVSS 9.8
En CISA KEV
La infraestructura de red perimetral es el primer punto de contacto con el mundo. Cuando ese punto falla por una vulnerabilidad de buffer overflow crítica, la organización pierde el control de su propia puerta de entrada. El CVE-2022-37055, listado en CISA KEV, confirma que estos dispositivos ya son objetivo activo de botnets globalizadas.
Qué Pasó: Buffer Overflow en Firmware D-Link
La vulnerabilidad CVE-2022-37055 reside en el servicio de gestión HNAP de varios modelos de routers D-Link. Permite a un atacante remoto no autenticado enviar un payload malicioso que desborda un búfer, alcanzando la ejecución remota de código (RCE). El impacto es total sobre la confidencialidad, integridad y disponibilidad del dispositivo.
CISA lo añadió a su lista KEV el 8 de diciembre de 2025, confirmando explotación activa en el mundo real. Es crucial notar que muchos de los modelos afectados están en fin de vida (EoL) o fin de servicio (EoS), lo que significa que no reciben más parches oficiales. Para estos equipos, la única defensa real es la segregación de red o el reemplazo inmediato.
CVSS Score
Autenticación Requerida
Exposición Internet
Capacidad de Ataque
Por Qué Importa para tu Organización
1. El vector: el servicio HNAP como superficie de ataque
El protocolo HNAP (Home Network Administration Protocol) suele estar habilitado por defecto para facilitar la configuración desde el celular. Sin embargo, es un vector débil. Al ser explotado, el atacante gana una shell root sobre el router. Si este router gestiona el tráfico hacia tu nube (AWS, Azure, GCP) o tu VPN corporativa, la brecha se expande a toda la infraestructura híbrida.
2. La motivación: construcción de botnets IoT
No buscas extorsión directa al router; buscas su utilización. Las variantes de Mirai escanean de forma continua millones de IPs buscando puertos abiertos como el de HNAP. Una vez comprometido, el dispositivo se vuelve un nodo de una botnet masiva, usado para lanzar ataques DDoS contra terceros o como proxy de anonimización para actores más sofisticados (como Lazarus Group) que ocultan su verdadera ubicación geográfica.
3. El contexto México: densidad en SMB y Manufactura
En México, no hay víctimas confirmadas públicamente, pero la exposición es latente. Sectores como manufactura ligera, retail con múltiples sucursales y PYMES del norte industrial y el Bajío utilizan equipos D-Link de gama media/baja como routers de borde. Estos equipos a menudo carecen de ciclos de parcheo regulares. La ausencia de noticias no implica seguridad; implica que la mayoría de los dispositivos comprometidos son desconocidos por sus propios dueños.
El Actor Detrás del Ataque
Crew / Opportunistic
Confianza: Probable
El actor no es una entidad única con bandera estatal, sino un ecosistema descentralizado. Mirai, filtrado en 2016, ha dado origen a cientos de forks (Mozi, Satori, Reaper, Bashlite). Estos grupos operan con lógica de “scattershot”: escanean el internet plano buscando vulnerabilidades conocidas y fáciles de explotar, sin selección geográfica inteligente, priorizando volumen sobre calidad.
Su modus operandi documentado incluye el uso de algoritmos de generación de dominios (DGA) para comunicación C2 y la instalación de scripts de arranque para persistencia. En el contexto de este CVE, su valor estratégico es la capacidad de crear una red de “puertas traseras” distribuidas globalmente, permitiendo a cualquier operador de la botnet moverse lateralmente si el router tiene acceso a una red interna corporativa.
TTPs Documentadas — MITRE ATT&CK
| Técnica | ID | Táctica |
|---|---|---|
| Exploit Public-Facing Application | T1190 | Initial Access |
| Systemd Service | T1543.004 | Persistence |
| Network Device CLI | T1059.008 | Execution |
| Windows Management Instrumentation | T1047 | Execution |
| Domain Generation Algorithms | T1568 | Command and Control |
Fuente: MITRE ATT&CK
Qué Deberías Hacer en las Próximas 48 Horas
La urgencia es máxima dado que la explotación es activa y automatizada. Estas cuatro acciones te dan control inmediato.
1. Auditar Inventario de D-Link
Ejecuta un escaneo de red (Nmap/Shodan) para identificar todas las IPs con servicios HNAP abiertos. Correlaciona con registros DHCP para nombrar cada dispositivo. Prioriza aquellos expuestos directamente a Internet o conectados a subredes de gestión.
2. Deshabilitar HNAP
En cada router D-Link identificado, ingresa a la configuración y deshabilita el servicio HNAP/HTTP remoto. Si el acceso requiere credenciales por defecto, cámbialas de inmediato y desactiva el acceso remoto desde WAN si no es estrictamente necesario.
3. Monitoreo de Tráfico Anómalo
Revisa los logs de firewall y proxy. Busca comunicaciones salientes desde las IPs de los routers hacia dominios sospechosos (usando DGA) o puertos no estándar. La presencia de tráfico entrante al puerto de gestión desde IPs externas es indicativo de intento de explotación.
4. Aislar Equipos EoL
Para cualquier router sin parche disponible (EoL), aplica reglas ACL restrictivas: permite solo tráfico de la subred de gestión interna. Aíslo en una VLAN de cuarentena o programa su reemplazo por hardware soportado (SD-WAN o equipos enterprise) en una ventana de 72 horas.
Recomendación adicional: Ejecuta un tabletop exercise asumiendo que el router ya fue comprometido. ¿Qué datos transitaban por él? ¿Quién tiene acceso administrativo? Valida que tu plan de respuesta cubra la contención de dispositivos de red.
Cómo Proteger tu Organización
La defensa contra este vector requiere una combinación de visibilidad perimetral y gestión de vulnerabilidades proactiva. Una arquitectura Zero Trust no se limita a la identidad del usuario; debe extenderse a la integridad del hardware de red. Implementar monitoreo de integridad de firmware y detección de anomalías en tráfico C2 permite identificar compromisos silenciosos antes de que se conviertan en incidentes mayores.
La clave operativa está en la correlación. Un solo router comprometido es un incidente menor; una red de routers comprometidos en múltiples sucursales es una crisis de cadena de suministro. Las capacidades de Threat Intelligence actualizada permiten detectar patrones de escaneo de botnets antes de la explotación, activando la respuesta automática de bloqueo o alertas prioritarias para el SOC.
Impacto Reputacional y en Medios
Si bien no hay coberturas masivas de prensa reciente para este CVE específico, la inclusión en CISA KEV genera una presión regulatoria implícita. En sectores regulados, la capacidad de demostrar que se conocen y se mitigan vulnerabilidades explotadas activamente es parte de la due diligence auditor. La falta de acción frente a un CVE KEV puede interpretarse en una auditoría como negligencia en la gestión de activos críticos.
Para el CISO, la lección reputacional es clara: el silencio de la prensa no es sinónimo de seguridad. La exposición de hardware básico en redes empresariales sigue siendo un punto ciego aceptado por el mercado, pero cada vez menos aceptable ante reguladores y aseguradoras cibernéticas.
Continúa en el Capítulo ZDU — El Fantasma en el Enrutador →
G.E.N.N.I.E. — Centro de Inteligencia Simbiótica
El ruido de las botnets IoT es la nueva normalidad. Lo que distingue a una red resiliente no es la ausencia de dispositivos básicos, sino la capacidad de detectar que ese dispositivo ya no habla solo. La integridad del borde es la nueva frontera de la soberanía digital.
Luna Varela de la Vega — ZDU-INTEL-VARELA
Enlace de Inteligencia Estratégica. Jefa de Relaciones Públicas del ZDU. Autora editorial.
Zero Day Universe es una construcción narrativa original de QMA. Sus personajes, tramas y casos están inspirados en escenarios reales de ciberseguridad y no representan incidentes literales ni casos de clientes.
Aftermath — Las voces que quedan
Cuatro lentes paralelas. Mismo expediente. Lo que cada una vio, en su voz.
Lo registré antes que la prensa. No hay nombre en la foro. Hay código heredado. El vector de entrada es viejo, pero la infraestructura que lo usa es nueva. El expediente está cerrado, pero la sombra sigue en el inventario.
El reloj corre desde la confirmación del incidente. Aunque no hubo filtración de datos personales, la interrupción de servicios críticos en manufactura activa la evaluación de riesgo bajo la LFPDPPP. La obligación de notificación no se activa por robo, sino por disponibilidad y seguridad. La deuda legal es la transparencia sobre la falla del hardware.
El control A.12.6.1 quedó expuesto. La gestión de activos de borde con EOL fue el eslabón débil. Un auditor que haya firmado un SoA sin documentar la deshabilitación de HNAP tiene un gap pendiente. Lo mapeé en el expediente del capítulo: la arquitectura no soporta el peso de lo desatendido.
Tres CSPs, una vulnerabilidad en el borde. La superficie no es AWS, ni GCP, ni Azure — es lo que comparten: la confianza ciega en el gateway local. Ajusté los security groups y el SASE para que el hardware no tenga voz. El vector queda contenido, pero la lección es que el cloud no es una isla.
El Silencio de la Caja Negra
Un stack overflow en el borde que nadie vio: la puerta giratoria hacia el core.
El primer dispositivo no se apagó. Se quedó mudo. En el log de red, una línea se congeló a las 03:14 AM, repitiendo el mismo handshake HNAP una y otra vez, sin respuesta. No hubo alerta sonora. No hubo banner rojo. Solo un punto negro en el mapa topológico, parpadeando con la regularidad de un corazón que olvida cómo latir. Para el analista de turno, era un artefacto fantasma; para el sistema, era la grieta perfecta.
Detección
KEV-1 detectó la anomalía antes de que el SOC la registrara. El agente autónomo cruzó la telemetría de puertos abiertos con la base de datos NVD y marcó el patrón: un buffer overflow en el servicio HNAP de una serie de routers D-Link GO-RT-AC750. No era un incidente aislado; era la firma de una infección silenciosa que ya había tomado control del firmware sin credenciales. El vector era viejo, pero la ejecución era impecable.
— Registré el CVE-2022-37055. CVSS 9.8. No requiere autenticación. Si está en producción, ya es de ellos.
Eris Sentinel vio la correlación en su pantalla. El dispositivo no era un asset crítico del core, sino una unidad de borde en la red de una cadena de manufactura ligera. Sin embargo, el tráfico saliente no era de DDoS. Era un túnel cifrado, estable, apuntando hacia un endpoint en la red interna que gestionaba conectividad cloud. La detección no era un ruido; era una escalada.
— MITRE T1190. Acceso inicial comprometido. No buscan datos. Buscan un puente hacia el VPC. El router es solo el pie.
Escalación · Análisis · Contención · Forensia
NeonMind activó el FRP desde el comando táctico. No hubo gritos, solo instrucciones secas. La tensión en el aire era palpable; no era una invasión ruidosa, sino una filtración que podían detener si actuaban con precisión quirúrgica. El reloj corría no por la velocidad del ataque, sino por la exposición del core banking y los sistemas SaaS conectados a través de esa misma red física.
— Aíslen el segmento D-Link. No lo apaguen todavía. Necesito ver hacia dónde apunta el túnel antes de cortar el cuello.
Magna entró en la sala con el peso de lo tangible. Su función era traducir la crisis de red en riesgo operativo real. Si cortaban mal, no solo perderían conectividad; paralizarían las líneas de producción que dependían de esos routers para gestionar sensores IoT básicos. La pregunta no era técnica, era física: ¿qué deja de vivir si cortamos mal? La respuesta determinaría el alcance de la contención.
— Ese router alimenta la ventilación del sótano técnico. Si lo aíslan bruscamente, la humedad sube. Tengo cuatro minutos para decidir el corte selectivo. No es una red. Es un organismo.
Stratos observaba desde su estación, en silencio. Su marco era la identidad y la segmentación. Veía el buffer overflow no como un error de código, sino como una falla de control de acceso total (OWASP A01). El dispositivo EOL había degradado la confianza de la red híbrida. La solución no estaba en el router, sino en la arquitectura SASE que debía blindar los flujos hacia AWS, GCP y Azure por encima de ese hardware legado.
La forensia inicial reveló una manipulación sutil: modificaciones en los scripts de arranque del dispositivo (T1543.004) y la inyección de comandos CLI (T1059.008) para mantener la persistencia. No había malware clásico descargado; la persistencia era el firmware modificado. El silencio de Blacktrace en la dark web confirmaba lo peor: no era un ataque de fama, era infraestructura anónima.
Inteligencia
Blacktrace rastreó la huella digital del actor. No era un APT estatal con nombre propio, sino una variante de Mirai. El código estaba en la calle desde 2016, heredado, modificado y redistribuido. La motivación no era robo de datos, sino disponibilidad: el router comprometido era un nodo de salida para ocultar el C2 de operaciones más sofisticadas, posiblemente vinculadas a campañas de ClickFix activas en el sector tecnológico mexicano. El silencio de la dark web era el grito de un botnet en construcción.
— No hay reivindicación. No hay logotipo. Solo tráfico saliente anómalo. Esto es suciedad operativa. Los profesionales no firman; solo drenan.
Conflicto
La complicación llegó cuando Magna descubrió que los routers D-Link no estaban solos. Eran parte de una malla de dispositivos de borde EOL distribuidos en tres sucursales. La contención local no bastaría. Si el actor había comprometido un nodo, la infraestructura completa era sospechosa. La tensión subió: no era un incidente IT, era una infección sistémica en la infraestructura crítica del cliente. Cada segundo de espera multiplicaba el riesgo de que el pivot hacia el cloud se completara.
Contraataque
Stratos ejecutó la maniobra defensiva desde el plano cloud. Sin tocar el hardware físico, reconfiguró las políticas de SASE para aislar el tráfico saliente de la red comprometida. Bloqueó las conexiones de site-to-site VPN y ajustó los grupos de seguridad de AWS, GCP y Azure para rechazar cualquier solicitud de API originada desde las subredes afectadas. La superficie de ataque se contraía en tiempo real. La identidad se volvía el escudo.
La validación llegó a las 24 horas. Eris monitoreó los flujos limpios. No hubo reutilización de credenciales. No hubo intento de reinfección. El actor se había retirado, o su cadena de suministro se había roto. La crisis cedió, pero la arquitectura no volvió a ser la misma. La confianza en el hardware de borde se había evaporado.
Resolución
Luna Varela cerró el expediente con una nota de deuda pendiente. La victoria operativa fue real: el sistema se estabilizó, la continuidad clínica y manufacturera se preservó. Pero la cicatriz permaneció. La dependencia de hardware EOL sin ciclo de parcheo seguía siendo una vulnerabilidad estructural. El incidente no se resolvió; se contuvo. La vigilancia continuó, sabiendo que la próxima vez, el silencio podría no ser tan breve.
