Binlerce Asus yönlendiricisi “ViciousTrap” arka kapısı tarafından tehlikeye atıldı. Arka kapılar genellikle geleneksel kimlik doğrulama yöntemlerini atlatmak ve savunmasız ağ aygıtlarına veya uç nokta aygıtlarına yetkisiz uzaktan erişim sağlamak için tasarlanmıştır. En etkili arka kapılar hem son kullanıcılar hem de sistem yöneticileri için görünmez kalır ve bu da onları gizli siber casusluk kampanyalarına katılan tehdit aktörleri için özellikle çekici hale getirir.
Asus yönlendiricileri için tehlike
GreyNoise analistleri, 9.000’den fazla Asus yönlendiricisini etkileyen gizemli bir arka kapı tabanlı saldırıyı ortaya çıkardı. Bilinmeyen siber suçlular, bazıları zaten yamalanmış olan güvenlik açıklarını istismar ediyor, diğerleri ise CVE veritabanında uygun izleme girişlerine hiç atanmamış. Hikaye “bilinmeyenlerle” dolu. Çünkü saldırganlar henüz inşa ettikleri büyük botnet ile görünür bir eylemde bulunmadı.
Artık “ViciousTrap” olarak izlenen arka kapı, ilk olarak GreyNoise’un tescilli AI sistemi Sift tarafından tespit edildi. AI, Mart ayında anormal trafik tespit etti ve araştırmacıları yeni tehdidi araştırmaya ve ay sonuna kadar hükümet yetkililerine bildirmeye yöneltti. Şimdi, başka bir güvenlik şirketinin kampanyayı ifşa etmesinden sadece birkaç gün sonra, GreyNoise ViciousTrap’i ayrıntılarıyla anlatan bir blog yazısı yayınladı.
Araştırmacılara göre, binlerce Asus ağ cihazı bu gizli arka kapı tarafından çoktan tehlikeye atıldı. Saldırganlar önce birden fazla güvenlik açığını istismar ederek ve kaba kuvvetle giriş denemeleriyle kimlik doğrulamasını atlatarak erişim elde ediyor. Daha sonra, belirli bir TCP/IP bağlantı noktasında SSH erişimini etkinleştirmek ve genel bir şifreleme anahtarı enjekte etmek için meşru bir Asus özelliğini kötüye kullanarak yönlendiricide komutlar yürütmek için başka bir güvenlik açığından (CVE-2023-39780) yararlanıyorlar.
Tehdit aktörleri daha sonra özel anahtarlarını kullanarak tehlikeye atılmış yönlendiricilere uzaktan erişebilirler. Arka kapı cihazın NVRAM’ında saklanır ve yeniden başlatma veya aygıt yazılımı güncellemesinden sonra bile devam edebilir. GreyNoise’a göre arka kapı esasen görünmezdir ve daha fazla tespitten kaçınmak için günlük kaydı devre dışı bırakılmıştır.
ViciousTrap kampanyası yavaş yavaş genişliyor, ancak saldırganlar henüz belirli eylemler veya saldırılar yoluyla niyetlerini açıklamadılar. Asus, son aygıt yazılımı güncellemelerinde istismar edilen güvenlik açıklarını zaten düzeltti. Ancak, bir yönetici SSH erişimini manuel olarak inceleyip devre dışı bırakmadığı sürece mevcut herhangi bir arka kapı işlevsel kalacaktır.
