Над 9 000 потребителски рутера на ASUS са били заразени от нов и изключително дискретен ботнет, наречен „AyySSHush“, който също така е бил насочен към устройства от Cisco, D-Link и Linksys. Кампанията, разкрита от изследователите по сигурността на GreyNoise през март 2025 г., показва признаци на дейност, свързана с държавно подкрепени заплахи, въпреки че до момента не е направено конкретно приписване.
Зловредната кампания комбинира атаки чрез груба сила за пароли, заобикаляне на автентикация и експлоатация на стари уязвимости, за да получи контрол върху рутерите. Сред засегнатите модели на ASUS са RT-AC3100, RT-AC3200 и RT-AX55.
Основен вектор на атака е стара уязвимост, CVE-2023-39780, която позволява на атакуващите да внедрят собствен SSH ключ и да активират SSH достъп на нестандартен порт – TCP 53282. Това осигурява устойчив бекдор в устройството, който оцелява дори при рестартиране и ъпдейт на фърмуера.
„Тъй като ключът се добавя чрез официалните функции на ASUS, промените в конфигурацията се запазват след ъпгрейд на фърмуера“, предупреждават от GreyNoise.
Атаката не разчита на зловреден софтуер, което я прави трудна за откриване. Освен това, нападателите деактивират журналите за събития и функцията за защита AiProtection на Trend Micro, допълнително повишавайки прикритието си.
През последните три месеца са отчетени едва 30 зловредни заявки, свързани с тази кампания, но въпреки това броят на компрометираните рутери надхвърля 9 000. Това подчертава високата ефективност и прецизност на атаката, която остава извън радара на повечето системи за сигурност.
Дейността на AyySSHush вероятно се припокрива с друга кампания, проследена от френската фирма Sekoia, под името „Vicious Trap“, която също използва уязвимости (в случая CVE-2021-32030) за компрометиране на ASUS рутери.
В допълнение, Sekoia докладва, че атакуващите са се насочвали и към SOHO рутери, SSL VPN устройства, DVR системи и контролери за управление на бази данни (BMC), включително от D-Link, QNAP, Araknis Networks и други.
Засега няма доказателства за използване на рутерите за DDoS атаки или проксиране на трафик, но в някои случаи е засечен зловреден скрипт, който пренасочва мрежовия трафик през контролирани от нападателите устройства. Това предполага, че кампанията изгражда инфраструктура, която може да бъде използвана на по-късен етап за мащабни атаки.
ASUS вече е пуснала ъпдейти на фърмуера за засегнатите модели, с които се адресира уязвимостта CVE-2023-39780. Въпреки това, обновяването на фърмуера няма да премахне вече създадения SSH бекдор, ако той е добавен преди ъпдейта.
Препоръчителни действия:
Незабавен ъпдейт на фърмуера на рутера;
Проверка на файла authorized_keys за наличие на неоторизирани SSH ключове;
Блокиране на следните IP адреси, идентифицирани като част от атаката:
101.99.91[.]151
101.99.94[.]173
79.141.163[.]179
111.90.146[.]237
При съмнение за компрометиране – фабрично нулиране (factory reset) на рутера и повторна конфигурация със силна парола.
АБОНИРАЙТЕ СЕ ЗА НАШИЯ Е-БЮЛЕТИН И ПОЛУЧАВАЙТЕ НОВИНИ И СЪВЕТИ НА ТЕМА КИБЕРСИГУРНОСТ.
© 2022 Фондация “Киберсигурност за Всеки” с ЕИК 206932045. Всички права запазени. Политики за поверителност.
ж.к. Гео Милев бл. 117, вх.А
София 1113, България
support[@]e-security.bg
Фондация “Киберсигурност за Всеки” с ЕИК 206932045 е ЮЛНЦ в обществена полза, регистрирано в ЕС, работещо в съответствие с мисията и целите си.
Моля, имайте предвид, че всички споменати продукти и/или имена на компании са търговски марки ™ или ® на съответните им притежатели. Уебсайтът/фондацията няма никаква свързаност и/или одобрение за/от тях – тези търговски марки се използват само за образователни цели като примери. Настоящият уебсайт е онлайн информационна платформа, управлявана от доброволна фондация в обществена полза. Благодарим ви, че сте тук и за всякакви допълнителни въпроси, не се колебайте да се свържете с нас.
Мисията на Фондация “Киберсигурност за Всеки” е да допринесе за подобряване на киберсигурността, информационна сигурност и защита на системите и да повиши културата на обществото и организациите по тези и свързани с тях теми. Ние насърчаване безопасността и поверителността на потребителите, като повишаваме осведомеността, информираме за най-добрите и нови практики и помагаме на хора и организации да преодолеят съвременните предизвикателства за сигурността на мрежата и опазването на техните дигиталните активи.
На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.
Моля, проверете електронната си поща за да потвърдите.
