No es la primera vez que usan impresoras vulnerables para imprimir un texto a modo de conciencación. Esta vez alguien denominado "Stackoverflowin" dice que "como broma" ha impreso más de 150.000 impresoras con el puerto 9100 abierto des de el exterior, lo que las hace accesibles en línea. En sus declaraciones dice que quería sensibilizar a todos sobre los peligros de dejar impresoras expuestas en línea sin un firewall u otros ajustes de seguridad habilitados.

For the love of God, please close this port, skid.

Script automatizado detrás de los "ataques"

Durante las últimas horas, Stackoverflowin ha estado ejecutando un script automatizado que busca puertos de impresora abiertos y envía un trabajo de impresión al dispositivo. Stackoverflowin dice que su script apunta a dispositivos de impresión que tienen puertos IPP (Internet Printing Protocol), puertos LPD (Line Printer Daemon) y puerto 9100 abierto a conexiones externas.

Además, también incluye un exploit para una vulnerabilidad de ejecución remota de código (RCE) orientadas a las impresoras Dell Xeon. "Esto me permite inyectar PostScript e invocar trabajos en color rojo".

stackoverflowin the hacker god has returned, your printer is part of a flaming botnet, operating on putin's forehead utilising BTI's (break the internet) complex infrastructure.
 [ASCII ART HERE]
 For the love of God, please close this port, skid.
 -------
 Questions?
 Twitter: https://twitter.com/lmaostack
 -------

stackoverflowin has returned to his glory, / your printer is part of a botnet / the god has returned, / everyone likes a meme, / fix your bullshit…
Email: [email protected] / Twitter: https://twitter.com/lmaostack...
—-> YOUR PRINTER HAS BEEN OWNED <—-
stackoverflowin the hacker god has returned, / your printer is part of a flaming botnet, / operating on Putin’s forehead utilising BTI’s (break the internet) complex infrastructure...
hacked / hacked / lol just, / kidding
For the love of God, please close this port, skid.

A finales de enero, tres investigadores de seguridad -Jens Müller, Juraj Somorovsky y Vladislav Mladenov- describieron escenarios de ataques basados en impresoras de red y publicaron su trabajo de investigación "SoK: Exploiting Network Printers" [PDF]. Además publicaron una herramienta de Printer Exploitation Toolkit (PRET), desarrollada para su tesis de maestría en la Universidad Ruhr de Bochum.

Si ha visto esta impresión, es probable que el puerto 9100 de su impresora esté disponible para que otros puedan acceder desde Internet. Este error de configuración (no es una vulnerabilidad) afecta a todas las principales marcas de impresoras, tales como:

• HP
• Samsung
• Epson
• Canon
• Brother
• Afico
• Konica Minolta
• Oki

La mejor recomendación es cerrar el puerto 9100 lo antes posible en el router y restablecer la impresora a fábrica. Esto se ha producido porque alguien tiene acceso a la impresora y puede enviar comandos de impresión.

He sido hackeado. ¿Cómo entraron?

Las impresoras son generalmente los dispositivo más inseguros de la oficina y el hogar. Una vez que alguien tiene acceso puede imprimir, sin necesidad de autenticación. Si alguien deja abierto el puerto para la impresión remota, deja abierta la puerta para que cualquiera pueda imprimir, o tomar control total de la impresora)

Consejo rápido: Cambie la contraseña de su impresora

Además, se puede configurar una contraseña para evitar que usuarios no autorizados configuren remotamente la impresora o que vean su configuración desde el servidor web incorporado (EWS).


Fuentes:
http://blog.segu-info.com.ar/2017/02/he-visto-una-impresora-imprimiendo.html