Miles de enrutadores ASUS comprometidos por la puerta trasera «ViciousTrap»
El panorama normal: Las puertas traseras generalmente están diseñadas para evitar los métodos de autenticación tradicionales y proporcionar acceso remoto no autorizado a dispositivos de pink vulnerables o dispositivos de punto last. Las puertas traseras más efectivas siguen siendo invisibles tanto para los usuarios finales como para los administradores del sistema, lo que los hace especialmente atractivos para los actores de amenaza que se dedican a campañas encubiertas de aficionados cibernéticos.
Los analistas de Greynoise han descubierto una misteriosa campaña basada en la puerta trasera que afecta a más de 9,000 enrutadores ASUS. Los ciberdelincuentes desconocidos están explotando vulnerabilidades de seguridad, algunas de las cuales ya han sido parcheadas, mientras que a otros nunca se les ha asignado entradas de seguimiento adecuadas en la base de datos CVE. La historia está llena de «incógnitas», ya que los atacantes aún no han tomado medidas visibles con la appreciable botnet que han construido.
La puerta trasera, ahora rastreada como «ViciousTrap», fue identificada por primera vez por el sistema de IA patentado de Greynoise, Sift. La IA detectó el tráfico anómalo en marzo, lo que llevó a los investigadores a investigar la nueva amenaza y notificar a las autoridades gubernamentales a finales de mes. Ahora, pocos días después de que otra compañía de seguridad revelara la campaña, Greynoise ha publicado una publicación de weblog detallado Vicioustrap.
Según los investigadores, miles de dispositivos de redes ASUS ya han sido comprometidos por esta casa de puerta sigilosa. Los atacantes primero obtienen acceso explotando múltiples fallas de seguridad y evitando la autenticación a través de intentos de inicio de sesión de fuerza bruta. Luego aprovechan otra vulnerabilidad (CVE-2023-39780) para ejecutar comandos en el enrutador, abusando de una función ASUS legítima para habilitar el acceso SSH en un puerto TCP/IP específico e inyectar una clave de cifrado público.
Los actores de amenaza pueden usar su clave privada para acceder de forma remota a los enrutadores comprometidos. La puerta trasera se almacena en el NVRAM del dispositivo y puede persistir incluso después de un reinicio o actualización de firmware. Según Greynoise, la puerta trasera es esencialmente invisible, con el registro deshabilitado para evadir aún más la detección.
La campaña ViciousTrap se está expandiendo lentamente, pero los atacantes aún no han revelado sus intenciones a través de acciones o ataques específicos. ASUS ya ha parcheado las vulnerabilidades explotadas en las actualizaciones recientes de firmware. Sin embargo, cualquier trasero existente permanecerá funcional a menos que un administrador haya revisado y deshabilitado el acceso SSH manualmente.
Para remediar el problema, los administradores deben eliminar la clave pública utilizada para el acceso SSH no autorizado y restablecer cualquier configuración personalizada de puerto TCP/IP. Una vez que se toman estos pasos, los enrutadores ASUS afectados deberían volver a su estado unique sin compromisos.
Greynoise también aconseja a los administradores de la pink que controlen el tráfico en busca de conexiones de las siguientes direcciones IP sospechosas:
- 101.99.91.151
- 101.99.94.173
- 79.141.163.179
- 111.90.146.237
Finalmente, los investigadores advierten a los propietarios de enrutadores que siempre instalen las últimas actualizaciones de firmware. «Si se sospecha un compromiso, realice un reinicio completo de fábrica y reconfigure manualmente», dijeron.
