Compromissione di migliaia di router wireless ASUS
Migliaia di router wireless ASUS sono stati compromessi da una botnet che ha preso di mira anche dispositivi di Cisco, D-Link e Linksys. Il metodo di infezione dei router consente agli attaccanti di mantenere il controllo anche dopo l’aggiornamento del firmware. I ricercatori di sicurezza di Greynoise hanno rilevato l’exploit a marzo, ma hanno ritardato la divulgazione per permettere all’industria di coordinare una risposta.
Greynoise ha identificato una campagna di sfruttamento in corso in cui gli attaccanti hanno ottenuto accesso non autorizzato e persistente a migliaia di router ASUS esposti a internet. Questo sembra far parte di un’operazione furtiva per assemblare una rete distribuita di dispositivi con backdoor, potenzialmente preparando il terreno per una futura botnet. L’accesso degli attaccanti sopravvive sia ai riavvii che agli aggiornamenti del firmware, garantendo un controllo duraturo sui dispositivi compromessi.
Si ritiene che dietro l’attacco ci possa essere uno stato nazionale, con l’intenzione di utilizzare i router compromessi per un exploit su larga scala. I modelli di router ASUS colpiti includono RT-AC3100, RT-AC3200 e RT-AX55. Una volta compromesso il router, è troppo tardi per aggiornare il firmware, come osservato da Bleeping Computer.
Queste modifiche consentono agli attori della minaccia di mantenere l’accesso alla backdoor del dispositivo anche tra riavvii e aggiornamenti del firmware. “Poiché questa chiave viene aggiunta utilizzando le funzionalità ufficiali di ASUS, questa modifica di configurazione persiste attraverso gli aggiornamenti del firmware”, spiega un altro rapporto correlato di Greynoise. “Se sei stato sfruttato in precedenza, l’aggiornamento del firmware NON rimuoverà la backdoor SSH”.
L’exploit disattiva anche la registrazione dei log, rendendo difficile determinare se il router è compromesso. Se possiedi uno dei modelli ASUS elencati, è consigliato eseguire un reset di fabbrica del router come unico modo per assicurarsi che sia pulito. Successivamente, esegui un aggiornamento del firmware. Sebbene un aggiornamento da solo non rimuova l’infezione, aggiornare dopo un reset completo impedirà che venga compromesso di nuovo.
Non ci sono notizie di infezioni riuscite per gli altri marchi nominati, quindi non è richiesta alcuna azione per questi. Puoi saperne di più su Greynoise.
Fonte: 9to5Mac
