Secuestro de DNS en routers SOHO: alerta de Microsoft

Introducción

Microsoft ha revelado una campaña a gran escala en la que Forest Blizzard, un actor de amenazas vinculado a la inteligencia militar rusa, comprometió routers SOHO vulnerables y cambió su configuración DNS. Para las organizaciones con empleados remotos e híbridos, esto es un recordatorio crítico de que los equipos de red domésticos y de pequeñas oficinas no administrados pueden convertirse en un punto ciego que expone el acceso a Microsoft 365 y otro tráfico sensible.

Qué hay de nuevo

Según Microsoft Threat Intelligence, el actor ha estado activo al menos desde agosto de 2025 y ha utilizado dispositivos perimetrales comprometidos para crear infraestructura DNS maliciosa a gran escala.

Hallazgos clave

• Forest Blizzard modificó configuraciones de routers para dirigir los dispositivos a resolutores DNS controlados por el actor.
• Microsoft identificó más de 200 organizaciones y 5.000 dispositivos de consumo afectados por la infraestructura DNS maliciosa.
• La campaña permitió la recopilación pasiva de DNS y reconocimiento en redes objetivo.
• En un subconjunto de casos, el actor utilizó esta posición para facilitar ataques Transport Layer Security (TLS) adversary-in-the-middle (AiTM).
• Microsoft observó actividades posteriores dirigidas a dominios de Outlook on the web y actividad AiTM separada contra servidores gubernamentales en África.

Por qué importa para los administradores de TI

La conclusión más importante es que los controles de seguridad empresariales no protegen por completo el tráfico si el router ascendente de un usuario está comprometido. Un router doméstico o de pequeña oficina puede redirigir silenciosamente consultas DNS, dando a un atacante visibilidad sobre los dominios solicitados y, en escenarios seleccionados, la oportunidad de falsificar respuestas e intentar interceptar tráfico.

Para los clientes de Microsoft 365, esto es especialmente relevante cuando los usuarios acceden a Outlook on the web u otros servicios en la nube desde redes no administradas. Aunque los propios servicios de Microsoft no estén comprometidos, los usuarios aún pueden quedar expuestos si ignoran advertencias de certificados TLS no válidos o si la actividad DNS sospechosa pasa desapercibida.

Acciones recomendadas

Microsoft recomienda varias medidas de mitigación inmediatas:

• Revisar los riesgos asociados al equipo de red doméstico y de pequeñas oficinas de los usuarios remotos.
• Aplicar resolución DNS de confianza cuando sea posible, incluidos controles Zero Trust DNS (ZTDNS) en endpoints Windows.
• Habilitar network protection y web protection en Microsoft Defender for Endpoint.
• Bloquear dominios maliciosos conocidos y conservar registros DNS detallados para monitoreo e investigación.
• Auditar configuraciones de routers y dispositivos perimetrales, especialmente ajustes de DNS y DHCP.
• Asegurarse de que los dispositivos SOHO vulnerables estén actualizados, configurados de forma segura o sustituidos si ya no tienen soporte.
• Capacitar a los usuarios para que no omitan advertencias de certificados TLS.

Conclusión

Esta campaña muestra cómo los atacantes pueden explotar dispositivos perimetrales débilmente administrados para obtener visibilidad sobre objetivos empresariales de mayor valor. Los equipos de seguridad deben ampliar su modelo de amenazas más allá de la infraestructura corporativa y considerar el equipo de red de la oficina en casa como parte de las estrategias de acceso remoto y protección de Microsoft 365.