Тысячи роутеров ASUS взломаны — но паниковать рано 🚨

Зловреды превратили роутеры ASUS в ботнет. Но пока он в «спящем» режиме — просто копит мощность для будущих атак. Обновляйте прошивки и меняйте пароли! 🔒

Технический обзор ситуации

Кибербезопасная компания GreyNoise обнаружила масштабную кампанию по взлому роутеров ASUS, в результате которой было скомпрометировано более 9000 устройств. Атака, отслеживаемая с 17 марта, отличается крайне низкой активностью (всего 30 зафиксированных запросов), что свидетельствует о её скрытном характере. Главная особенность — сохранение backdoor-доступа даже после перезагрузки и обновления прошивки.

Технические детали эксплойта

1. Механизм атаки

   • Злоумышленники используют уязвимость, позволяющую добавить SSH-ключ через официальные функции ASUS
   • Конфигурация сохраняется после обновления прошивки (CVE пока не назначен)
   • Используется нестандартный порт 53282

2. Идентификационные признаки

   • В настройках SSH появляется публичный ключ формата:

     ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAo41nBoVFfj4HlVMGV+YPsxMDrMlbdDZ...

   • Активность с IP-адресов:
     • 101.99.91.151
     • 101.99.94.173
     • 79.141.163.179
     • 111.90.146.237

Контекст и анализ угрозы

В отличие от целевых атак на персональные данные, эта кампания направлена на создание ботнета для масштабных DDoS-атак, аналогичных инциденту с Mirai в 2016 году. Профессор Carnegie Mellon Яврадж Агарвал поясняет: «Эти устройства обладают достаточной вычислительной мощностью для организации сетей из десятков тысяч узлов».

Сравнительный анализ уязвимостей роутеров

Рекомендации по реагированию

1. Диагностика

   • Проверьте настройки SSH в интерфейсе роутера (http://www.asusrouter.com)
   • Ищите неавторизованные ключи доступа

2. Меры защиты

   • Для незараженных устройств:
     • Немедленно обновите прошивку
   • Для скомпрометированных устройств:

     1. Отключите SSH в настройках
     2. Заблокируйте указанные IP-адреса
     3. Сбросьте настройки до заводских
     4. Установите последнюю прошивку

Экспертное заключение

Томас Пейс (NetRise) отмечает системную проблему: «Практически все телекоммуникационные устройства имеют уязвимости из списка CISA KEV». GreyNoise подчеркивает высокий уровень подготовки атакующих, что указывает на государственно-спонсируемый характер кампании. ASUS рекомендует мониторить страницу security advisory, но не предоставила официальных комментариев.