CISA alerta explotación activa de NVR Digiever: botnets Mirai y ShadowV2 en dispositivos sin soporte

La CISA agregó una vulnerabilidad crítica que afecta a los grabadores de video en red Digiever DS-2105 Pro a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), confirmando que actores de amenazas la están explotando activamente para desplegar botnets IoT como Mirai y ShadowV2.

La falla, identificada como CVE-2023-52163, cuenta con una puntuación CVSS de 8.8 y permite ejecución remota de código (RCE) mediante inyección de comandos post-autenticación. El problema es especialmente crítico porque afecta a dispositivos que ya alcanzaron su fin de vida (EoL) y no cuentan con parches disponibles.

Detalles técnicos de la vulnerabilidad

CVE-2023-52163 reside en el script time_tzsetup.cgi, accesible tras autenticación válida. Un atacante con credenciales puede inyectar comandos arbitrarios y tomar control total del dispositivo.

Las capacidades observadas tras la explotación incluyen:

• Compromiso completo del NVR.

• Acceso no autorizado a feeds de video en tiempo real.

• Manipulación o borrado de grabaciones.

• Uso del NVR como punto de pivoteo hacia redes internas.

• Incorporación del dispositivo a botnets IoT para ataques DDoS.

Investigadores de Akamai, Fortinet y TXOne Networks vinculan esta actividad con campañas automatizadas de malware orientadas a infraestructura IoT expuesta en internet.

Explotación activa y respuesta de CISA

Al incorporar la vulnerabilidad al catálogo KEV, CISA confirma que no se trata de un riesgo teórico, sino de una explotación real en curso. Bajo la Directiva Operativa Vinculante (BOD) 22-01, las agencias federales de EE. UU. tienen como fecha límite el 12 de enero de 2026 para aplicar mitigaciones.

Aunque la directiva aplica formalmente al sector público estadounidense, el riesgo se extiende a empresas privadas y organismos públicos en otras regiones, especialmente donde persisten despliegues de NVRs legacy.

Impacto en Latinoamérica y México

En México y otros países de Latinoamérica, los NVRs heredados siguen siendo comunes en:

• Sistemas de vigilancia urbana.

• Infraestructura crítica y transporte.

• Comercios, parques industriales y edificios corporativos.

Dispositivos expuestos directamente a internet representan un riesgo elevado, no solo por la pérdida de confidencialidad de video, sino por su potencial uso como nodos de ataque dentro de botnets globales.

Autoridades como la Policía Cibernética han recomendado a organizaciones verificar la exposición de estos equipos mediante plataformas como Shodan y reportar incidentes de seguridad.

Mitigaciones recomendadas (sin parches disponibles)

Dado que el Digiever DS-2105 Pro está en EoL, las acciones deben enfocarse en reducción de superficie de ataque:

• Inventariar y desconectar los NVR de internet público.

• Cambiar credenciales predeterminadas y reforzar autenticación.

• Segmentar la red y restringir tráfico mediante firewalls estrictos.

• Monitorear logs y comportamiento anómalo de los dispositivos.

• Migrar a NVRs con soporte activo y actualizaciones de seguridad.

Una lección sobre políticas de fin de vida

Este incidente refuerza una realidad recurrente en ciberseguridad: el hardware de seguridad sin soporte se convierte en un riesgo crítico. La explotación de CVE-2023-52163 demuestra cómo dispositivos diseñados para proteger pueden terminar debilitando toda la infraestructura cuando no existen políticas claras de EoL y reemplazo tecnológico.