CubePilot deja fuera de línea los servicios de drones después de que un atacante secuestra el DNS y TLS

Why it matters

CubePilot's breach reached the trust layer around drone hardware: valid certificates, customer credentials and firmware distribution. Its checksum review will determine whether the incident remained an account compromise or touched aircraft software.

CubePilot, liderada por el CEO Philip Rowse, dejó su firmware, documentación, foro comunitario y servicios OEM fuera de línea después de que un atacante se apoderara de la configuración de su nombre de dominio y obtuviera certificados de seguridad válidos para cada subdominio de cubepilot.org.

El atacante controló el DNS de CubePilot durante parte del 24 de julio y lo usó para interceptar el tráfico destinado a sistemas internos de la empresa, según el aviso de seguridad de CubePilot. Las credenciales ingresadas en el portal, el foro u otros servicios afectados ese día pueden haber sido capturadas. BleepingComputer informó que los certificados habrían permitido que servicios controlados por el atacante mostraran conexiones HTTPS válidas.

CubePilot recuperó el control de los dominios y restauró sus servidores de nombres el 24 de julio, y luego revocó los certificados emitidos fraudulentamente. Al 29 de julio, el aviso de CubePilot aún marcaba el incidente como abierto. La venta a revendedores y OEM, las cotizaciones y el soporte permanecían fuera de línea, junto con el portal de documentación y el foro comunitario. Las verificaciones de firmware seguían en curso. El correo electrónico en cubepilot.com estaba funcionando.

El incidente alcanza una parte sensible de la pila de componentes de los drones. CubePilot suministra controladores de vuelo, hardware de navegación y sistemas relacionados utilizados para configurar y operar aeronaves no tripuladas. Esos productos atienden aplicaciones comerciales, incluidas topografía y agricultura, junto con despliegues gubernamentales y de defensa. Una violación de los canales utilizados para distribuir firmware e instrucciones técnicas crea una clase de riesgo diferente a la de un compromiso convencional de un sitio corporativo.

Una conexión de confianza al servidor equivocado

DNS convierte un dominio como cubepilot.org en la dirección de red con la que contacta el equipo del usuario. El control de esos registros permitió al atacante dirigir el tráfico de CubePilot hacia infraestructura fuera del control de CubePilot. Los certificados TLS válidos eliminaron una advertencia que de otra forma podría haber alertado a los usuarios: los navegadores podían mostrar una conexión cifrada normal mientras enviaban información al servidor del atacante.

CubePilot ha pedido a cualquiera que ingresó credenciales el 24 de julio que cambie contraseñas reutilizadas. También advirtió a los clientes que traten las solicitudes de contraseñas, códigos de verificación o detalles de pago como hostiles, y que confirmen cambios en los datos bancarios o solicitudes de pago llamando a su contacto habitual en CubePilot.

Esas instrucciones apuntan a dos riesgos inmediatos. El primero es la reutilización de credenciales, que puede convertir una contraseña capturada en acceso a sistemas corporativos no relacionados. El segundo es el fraude de facturas contra revendedores y fabricantes de drones ya acostumbrados a recibir cotizaciones, mensajes de soporte e instrucciones de pago a través de la infraestructura comercial de CubePilot.

CubePilot dijo que preservó evidencia, notificó a los proveedores de servicios pertinentes, reportó el incidente al Australian Cyber Security Centre y lo remitió a las autoridades. CubePilot está determinando qué datos fueron accesibles durante el periodo de acceso no autorizado.

La verificación del firmware define lo que está en juego

La revisión más trascendental concierne a las imágenes de firmware descargadas el 24 y 25 de julio. CubePilot instruyó a los usuarios a evitar instalar esos archivos mientras verifica las sumas de verificación de cada imagen publicada. CubePilot considera que las imágenes obtenidas antes del 24 de julio no se vieron afectadas.

La advertencia no establece que el firmware fuera alterado. Muestra que CubePilot aún no puede confiar en la ruta de distribución afectada como prueba de que los usuarios recibieron los archivos que CubePilot tenía la intención de publicar. La verificación de sumas de verificación debería determinar si las imágenes descargables coinciden con compilaciones conocidas.

Esa distinción importa para el hardware de piloto automático. El firmware puede gobernar sensores, navegación, comunicaciones y el comportamiento de vuelo. Un portal empresarial comprometido puede exponer cuentas y facturas; una imagen de firmware comprometida podría pasar de los sistemas de información a una aeronave. La evidencia actual de CubePilot establece tráfico interceptado y posible robo de credenciales. La revisión del firmware es el control que separa ese incidente confirmado de un posible compromiso de la cadena de suministro de software.

Rowse construyó su carrera en torno al hardware que ahora está bajo revisión. El directorio de soporte comercial de ArduPilot le atribuye años de trabajo en diseño de pilotos automáticos, incluido el Pixhawk 2.1, vendido como el CubePilot CubeBlack y usado en el 3DR Solo. El proyecto Pixhawk enumera a CubePilot como el fabricante actual del diseño Pixhawk 2.

CubePilot también tiene vínculos profundos con el software de código abierto utilizado por los constructores de drones. Rowse dijo en una publicación del foro de CubePilot de 2024 que el también director Michael Oborne forma parte de CubePilot Global. Oborne creó Mission Planner, la aplicación de control terrestre de código abierto utilizada para configurar y operar aeronaves ArduPilot. El repositorio de Mission Planner contiene miles de commits y documenta dependencias en múltiples servicios de firmware, actualización y soporte.

Esa trayectoria da credibilidad a CubePilot entre los ingenieros que ensamblan aeronaves a partir de hardware interoperable y software de código abierto. También concentra la confianza en la documentación, las descargas, los foros y los sistemas de soporte que están fuera de la propia aeronave. Los constructores necesitan esos servicios para configurar placas, resolver fallas y decidir qué software instalar.

El escrutinio de la cadena de suministro de drones asciende en la pila

CubePilot ha pasado años posicionando su manufactura y estructura de propiedad para compradores gubernamentales y de defensa. Rowse escribió en 2024 que CubePilot Global había trasladado operaciones a Australia y Taiwán, con la mayoría de los productos fabricados en Taiwán o en EE. UU. CubePilot Global es una compañía privada australiana activa registrada desde julio de 2023, según el Australian Business Register.

La procedencia del hardware es solo una parte de ese caso de adquisición. El incidente del 24 de julio demuestra que el control sobre dominios, emisión de certificados, alojamiento de firmware y portales de clientes puede volverse igualmente importante. Una placa de circuito confiable aún puede recibir software o instrucciones a través de un canal de distribución comprometido.

La respuesta de CubePilot redujo la exposición inmediata al restaurar los servidores de nombres, revocar certificados y cerrar servicios. El costo operativo es visible: los clientes no pueden usar los canales normales de pedido, documentación o soporte mientras continúa la verificación. Para un proveedor especializado que atiende a fabricantes de drones, revendedores y programas vinculados al gobierno, esos canales son parte del producto. Su seguridad determina si los clientes pueden confiar en el hardware después de que sale de la fábrica.