Тысячи роутеров Asus получили скрытые бэкдоры 😱

Зловредная бэкдор-уязвимость в роутерах Asus позволяет хакерам получать полный контроль и сохранять доступ даже после перезагрузки и обновления прошивки. Время срочно проверить свои устройства! 🔍 #кибербезопасность

Технический обзор угрозы

Исследователи кибербезопасности обнаружили масштабную кампанию по заражению роутеров Asus скрытыми бэкдорами, которые сохраняют доступ даже после перезагрузки устройства и обновления прошивки. Атака, предположительно проводимая государственным актором или высококвалифицированной группой хакеров, затронула уже около 9000 устройств по всему миру.

Технические детали эксплуатации

Злоумышленники получают контроль над устройствами, эксплуатируя несколько уязвимостей, включая:

• CVE-2023-39780: уязвимость инъекции команд, позволяющая выполнение произвольного кода
• Несколько других патченных уязвимостей, не получивших CVE-идентификаторов

После успешной эксплуатации атакующие устанавливают открытый SSH-ключ для постоянного доступа к устройству с правами администратора через порт 53282.

Особенности бэкдора

1. Стойкость: доступ сохраняется после:
   • Перезагрузки устройства
   • Обновления прошивки
2. Скрытность: не оставляет явных следов в системе
3. Метод работы: комбинация:
   • Обхода аутентификации
   • Эксплуатации известных уязвимостей
   • Злоупотребления легитимными функциями конфигурации

Рекомендации по обнаружению и устранению

1. Проверка на заражение:

   • Проверить настройки SSH в панели управления роутером
   • Искать подключение через порт 53282
   • Проверить наличие подозрительного RSA-ключа (частичный fingerprint: AAAAB3NzaC1yc2EAAAABIwAAAQEAo41nBoVFfj4HlVMGV+YPsxMDrMlbdDZ...)

2. Дополнительные индикаторы компрометации:

   • Подозрительные подключения с IP-адресов:
     • 101.99.91[.]151
     • 101.99.94[.]173
     • 79.141.163[.]179
     • 111.90.146[.]237

3. Меры защиты:

   • Немедленно удалить подозрительные SSH-ключи и настройки портов
   • Установить последние обновления прошивки
   • Рассмотреть сброс устройства к заводским настройкам

Контекст и прогноз

Эксперты GreyNoise и Sekoia считают, что это начальная стадия подготовки к более масштабной атаке, когда злоумышленники создают ботнет из скомпрометированных устройств. Особую тревогу вызывает использование недокументированных уязвимостей и методов, характерных для APT-групп.

Для специалистов по безопасности

1. Рекомендуется:

   • Провести инвентаризацию всех сетевых устройств Asus в организации
   • Реализовать мониторинг нестандартных SSH-подключений
   • Обновить правила IDS/IPS для детектирования данной активности

2. Техническим руководителям стоит пересмотреть политики:

   • Управления сетевым оборудованием
   • Своевременного обновления прошивок
   • Мониторинга конфигураций критически важных устройств