Tin tặc đã xâm nhập hàng nghìn bộ định tuyến ASUS

Theo TechSpot, phần mềm độc hại ViciousTrap đang âm thầm lây nhiễm hơn 9.000 bộ định tuyến (router) ASUS toàn cầu, biến chúng thành một phần của mạng botnet. Cảnh báo này được công bố bởi công ty an ninh mạng GreyNoise, làm dấy lên lo ngại về an toàn thiết bị.

GreyNoise cảnh báo rằng chiến dịch ViciousTrap đang khai thác nhiều lỗ hổng trên router ASUS. Những lỗ hổng này bao gồm cả các lỗi đã được vá và những lỗ hổng chưa từng được ghi nhận trong cơ sở dữ liệu CVE.

Mục tiêu của chiến dịch là cài đặt cửa hậu. Loại mã độc này cho phép truy cập từ xa và duy trì quyền kiểm soát thiết bị ngay cả sau khi người dùng khởi động lại hoặc cập nhật firmware.

Đáng chú ý, mã độc được lưu trực tiếp trong bộ nhớ NVRAM. Nó còn có khả năng vô hiệu hóa hệ thống ghi log, khiến việc phát hiện trở nên khó khăn.

Vào tháng 3, công cụ phân tích lưu lượng Sift của GreyNoise lần đầu ghi nhận hoạt động bất thường liên quan đến ViciousTrap. Sau khi điều tra và báo cáo cho cơ quan chức năng, GreyNoise công bố chi tiết chiến dịch, trùng thời điểm công ty bảo mật khác cũng phát hiện dấu hiệu tương tự.

Phân tích kỹ thuật cho thấy ViciousTrap brute-force vượt xác thực, khai thác lỗ hổng để chạy mã độc. Mã này kích hoạt quyền truy cập SSH qua cổng TCP/IP tùy chỉnh và chèn khóa mã hóa công khai vào router, cho phép kẻ tấn công duy trì kết nối lâu dài.

ASUS đã tung ra bản cập nhật firmware để khắc phục lỗ hổng bị lợi dụng. Tuy nhiên, GreyNoise lưu ý rằng cập nhật này không thể loại bỏ mã độc nếu router đã bị nhiễm.

Để giảm rủi ro, người dùng nên cập nhật firmware lên phiên bản mới nhất, đồng thời, cần kiểm tra và xóa các khóa SSH lạ. Nếu phát hiện thay đổi bất thường trong cấu hình mạng, nên đặt lại về mặc định. Ngoài ra, cần theo dõi các kết nối đến từ các địa chỉ IP đáng ngờ.

Mục tiêu cuối cùng của chiến dịch vẫn chưa rõ. Tuy nhiên, quy mô lây nhiễm và cách thức hoạt động tinh vi của ViciousTrap đang đặt ra mối đe dọa nghiêm trọng đối với an ninh mạng trong thời gian tới.