Mii de routere Asus au fost compromise și sunt folosite acum în cadrul unei rețele botnet

Din cauza neglijenței sau nepăsării producătorului taiwanez, care nu a oferit patch-uri în timp util pentru închiderea unor vulnerabilități cunoscute, peste 9000 de routere Asus din întreaga lume au fost infectate de ViciousTrap – un nou tip de backdoor utilizat pentru crearea de rețele botnet. Descoperirea a fost făcută de experții de securitate de la GreyNoise la începutul lunii martie, când algoritmii proprii de monitorizare a traficului pe internet au identificat activități suspecte pe unele routere Asus, iar de atunci malware-ul se propagă constant, infectând zeci sau sute de echipamente în fiecare zi.

Din câte se relatează pe blog-ul GreyNoise, de regulă, atacatorii obțin accesul la panoul de administrare al routerelor prin brute force, adică încercarea mai multor combinații posibile pentru parole, iar ulterior injectează script-uri care exploatează anumite vulnerabilități specifice routerelor Asus în vederea obținerii de permisiuni elevate la nivelul sistemului. În acest fel, activează SSH pe routerele vulnerabile cu un port diferit de cel implicit și își introduc o cheie de criptare care le asigură accesul deplin la echipamentele infectate. Mai mult decât atât, backdoor-ul este stocat în memoria NVRAM a routerelor, astfel că nu este șters la upgrade-ul firmware-ului sau la reporniri, făcându-l dificil de detectat și eliminat.

Momentan, însă, rețeaua botnet nu pare să aibă un scop anume, însă există bănuiala că ar putea fi utilizată pentru coordonarea unor atacuri, de îndată ce numărul echipamentelor infectate ajunge la un număr mult mai mare. Între timp, Asus a oferit patch-uri pentru routerele vulnerabile, însă, din câte susțin experții de securitate, echipamentele deja infectate nu sunt protejate, fiind necesară dezactivarea SSH sau ștergerea cheii de autentificare utilizată de atacatori, respectiv resetarea configurărilor pentru porturile deschise. Însă, pentru un plus de siguranță, cei de la GreyNoise recomandă ca routerele să fie restabilite la setările din fabrică după aplicarea patch-urilor de securitate.

Via Techspot