Több mint 9.000 ASUS routert tört fel egy újfajta támadás – mit jelent hogyan lehet ellene védekezni?
Egy új kiberbiztonsági fenyegetés ütötte fel a fejét, amely már több mint 9000 ASUS routert fertőzött meg világszerte. A támadók egy rejtett hátsó kaput hoztak létre az eszközökön, amellyel teljes hozzáférést szereztek a hálózathoz – és mindezt úgy, hogy a felhasználók közben semmit sem vettek észre.
Mi történt pontosan?
A támadás egy „AyySSHush” nevű botnethez köthető – ez lényegében egy olyan, távolról irányítható hálózat, amit hackerek építenek ki különböző típusú routereken keresztül. Ez a kampány főként otthoni és kisvállalkozásoknál használt ASUS modelleket célzott meg, például az RT-AC3100, RT-AC3200 és RT-AX55 típusokat.
A támadók régi, már ismert biztonsági hibákat használtak ki, és jelszópróbálgatással (úgynevezett brute force módszerrel) próbálkoztak, hogy bejussanak a rendszerbe. Ha ez sikerült, a routerbe elrejtettek egy saját kulcsot, amivel később bármikor újra beléphetnek – még akkor is, ha frissítjük a szoftvert!
Miért veszélyes ez?
Ez a támadás különösen alattomos, mert:
- Nincs látható jele – nem telepítenek vírust vagy szoftvert, amit észrevennénk.
- Kikapcsolják a naplózást és az ASUS biztonsági funkcióit (mint a Trend Micro AiProtection), hogy semmi ne jelezze a gondot.
- A router újraindítása vagy frissítése nem távolítja el a hátsó kaput.
Ez azt jelenti, hogy a támadók hosszú távon hozzáférhetnek az otthoni hálózathoz, figyelhetik az adatforgalmat, vagy akár más támadásokra is felhasználhatják a routerünket.
Hogyan védekezhetsz?
Az ASUS már kiadta a szükséges biztonsági frissítéseket, de ezek modellfüggők, ezért fontos ellenőrizni a saját routeredhez tartozó verziót a gyártó weboldalán.
A következő lépéseket érdemes megtenni:
- Frissítsd a router szoftverét a legújabb verzióra.
- Ellenőrizd a „authorized_keys” nevű fájlt, nem szerepel-e benne ismeretlen eredetű SSH-kulcs.
- Ha gyanús tevékenységet észlelsz, állítsd vissza a routert gyári beállításokra, majd konfiguráld újra egy erős jelszóval.
Emellett, amennyiben a routered engedi, tiltsd le az alábbi gyanús IP-címeket:
- 101.99.91.151
- 101.99.94.173
- 79.141.163.179
- 111.90.146.237
Mi a célja a támadóknak?
Egyelőre nem világos, pontosan mire akarják felhasználni az így megszerzett routereket. Lehet, hogy későbbi, nagyobb támadások alapjait építik ki, vagy más célra akarják őket úgy nevezett proxyként használni, hogy elrejtsék a valódi kilétüket.
Egy biztos: ha ASUS routered van, ne halogasd a frissítést, és figyelj a gyanús jelekre.
