Como foram atacados os routers?
Os cibercriminosos conseguiram aceder aos routers através de tentativas de login forçadas (também conhecidas como brute force) e explorações de vulnerabilidades, em particular uma falha identificada como CVE-2023-39780. Esta vulnerabilidade permite que sejam executados comandos no sistema sem autorização do utilizador.
De acordo com Matthew Remacle, investigador da GreyNoise, os primeiros sinais de atividade suspeita surgiram em março, quando foram detetados pedidos estranhos enviados a routers ASUS.
Atualização de firmware pode não ser suficiente
A ASUS já disponibilizou uma atualização de firmware que corrige esta vulnerabilidade. No entanto, a GreyNoise alerta que, se o router tiver sido comprometido antes da atualização, o acesso malicioso pode continuar ativo – a menos que o protocolo SSH seja desativado manualmente nas definições do equipamento.
Além disso, algumas das técnicas usadas para contornar os sistemas de segurança ainda não foram oficialmente catalogadas com códigos CVE, o que dificulta o acompanhamento e mitigação por parte dos utilizadores e técnicos.
Dispositivos continuam sob controlo mesmo após reiniciar
Segundo os investigadores, os atacantes conseguem manter o controlo dos routers mesmo após reinicializações ou atualizações de firmware, o que indica um nível de sofisticação elevado, geralmente associado a grupos de ameaça persistente avançada (APT).
O número de dispositivos afetados foi estimado com base em dados da plataforma de análise Censys.
Ligação a grupo ViciousTrap
Um relatório recente da empresa de cibersegurança Sekoia associa esta campanha ao grupo de cibercriminosos ViciousTrap, que terá comprometido mais de 5500 dispositivos com o objetivo de criar uma rede parecida com um honeypot (sistema usado para enganar e estudar atacantes).
Este grupo tem vindo a monitorizar uma ampla gama de equipamentos, como routers domésticos e de pequenos escritórios (SOHO), sistemas de gestão remota de hardware e até gravadores de vídeo digital, procurando falhas que possam ser exploradas.
A Sekoia também ligou o grupo à exploração de outra falha crítica, desta vez em routers Cisco Small Business (CVE-2023-20118), que permite acesso com privilégios totais. A Cisco já informou que não irá lançar uma correção, tendo apenas emitido orientações para desativar a funcionalidade vulnerável.
O que devem fazer os utilizadores?
A GreyNoise aconselha todos os utilizadores de routers ASUS a:
Verificarem se há atualizações de firmware disponíveis e aplicá-las de imediato;
Desativarem o acesso remoto via SSH, se não for essencial;
Repor as definições de fábrica se suspeitarem que o dispositivo foi comprometido;
Alterar a palavra-passe de administrador para uma mais segura.
