Cyberangriff auf ASUS-Router: Über 9.000 Geräte betroffen

LONDON (IT BOLTWISE) – Ein massiver Cyberangriff hat über 9.000 ASUS-Router weltweit kompromittiert und könnte die Grundlage für ein zukünftiges Botnet legen.

Ein groß angelegter Cyberangriff hat weltweit über 9.000 ASUS-Router kompromittiert, was Experten als potenzielle Grundlage für ein zukünftiges Botnet betrachten. Die Sicherheitsfirma GreyNoise entdeckte die Angriffe im März und beschrieb sie als heimlich, hartnäckig und mit hoher Präzision ausgeführt. Die Angreifer nutzten eine bekannte Sicherheitslücke, CVE-2023-39780, um Systembefehle auf den Routern auszuführen und zwei zusätzliche Authentifizierungsumgehungstechniken, die noch keine offiziellen CVE-Nummern erhalten haben.

GreyNoise bemerkte am 17. März erstmals ungewöhnliches Verhalten, als ihr KI-gestütztes Analysetool Sift drei verdächtige HTTP-POST-Anfragen an ASUS-Router-Endpunkte markierte. Mithilfe emulierter ASUS-Router-Profile und globaler Verkehrsüberwachung konnte GreyNoise die Angriffsequenz vollständig rekonstruieren. Die Angreifer deaktivierten Protokolle und vermieden den Einsatz von Malware, was die Entdeckung erschwerte.

Die Angreifer ermöglichten SSH-Zugriff auf einem nicht standardmäßigen Port (TCP/53282), fügten ihren eigenen SSH-Öffentlichen Schlüssel für den Fernzugriff hinzu und speicherten die Hintertür im NVRAM, einem Speicher, der sowohl Neustarts als auch Firmware-Updates übersteht. Diese Maßnahmen hinterließen fast keine digitalen Spuren und deuten auf eine verdeckte Operation hin, um ein verteiltes Netzwerk von Hintertür-Geräten aufzubauen.

Die betroffenen Router sind hauptsächlich solche, die direkt mit dem Internet verbunden sind, oft in Privathaushalten und kleinen Büros. Einmal kompromittiert, behalten die Angreifer die Kontrolle, unabhängig davon, ob das Gerät neu gestartet oder mit neuer Firmware aktualisiert wird. GreyNoise hat keine offizielle Zuordnung vorgenommen, aber die verwendeten Taktiken ähneln denen von Advanced Persistent Threat (APT)-Gruppen.

Die Sicherheitsfirma Sekoia hat den ASUS-Router-Einbruch mit einem Bedrohungsakteur namens ViciousTrap in Verbindung gebracht, der zuvor Schwachstellen in Cisco Small Business-Routern ausgenutzt hat. ViciousTrap überwacht aktiv eine Reihe von internetverbundenen Geräten, einschließlich Routern, DVRs und Management-Controllern.

ASUS-Router-Besitzer sollten den SSH-Zugriff auf ihren Routern überprüfen, insbesondere auf Port 53282, und nach einem unbekannten SSH-Öffentlichen Schlüssel suchen. Wenn SSH aktiviert und unbekannte Schlüssel vorhanden sind, sollte der SSH-Zugriff sofort deaktiviert werden. ASUS hat bereits ein Update zur Behebung von CVE-2023-39780 veröffentlicht. Ein Zurücksetzen auf die Werkseinstellungen und eine manuelle Neukonfiguration des Routers wird ebenfalls empfohlen, um verbleibende Hintertürspuren zu entfernen.

Obwohl keine Malware installiert und kein Lösegeld gefordert wurde, könnte diese Kampagne ein Vorläufer einer ernsthafteren Bedrohung sein. Da der Angriff keine offensichtlichen Spuren hinterlässt, könnten viele Benutzer unbemerkt bleiben, dass ihre Geräte kompromittiert sind.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!