Wereldwijd zijn bijna 1500 Linux-routers gekaapt door een Trojaans paard, dat de apparaten vervolgens inschakelt voor het aanvallen van andere systemen en servers. De PNScan Trojan, zoals de malware door het Russische Doctor Web wordt genoemd, maakt gebruik van het ShellShock-lek van vorig jaar september voor het overnemen van Linux-routers met een ARM-, MIPS-, of PowerPC-architectuur.

Daarnaast wordt de Trojan ook geïnstalleerd door andere malware die op al gehackte routers aanwezig is. ShellShock is de naam voor een kwetsbaarheid in Bash. Dit is een Unix-shell waarmee er opdrachten aan het systeem kunnen worden gegeven. Het wordt voor allerlei toepassingen gebruikt en veel programma's draaien het in de achtergrond. Vorig jaar september werd de kwetsbaarheid gevonden en gepatcht, maar nog altijd zijn er kwetsbare systemen op internet te vinden.

Als PNScan op de router is geinstalleerd via het ShellShock-lek, wordt er andere malware op het apparaat geplaatst. De malware voert vervolgens een scan uit op een reeks IP-adressen. Hierna kan de malware verschillende aanvallen uitvoeren. Ook de malware die aanvullend op de router wordt geinstalleerd is in staat om aanvallen uit te voeren. Het gaat in dit geval om DDoS-aanvallen alsmede pogingen om installaties van PHPmyAdmin over te nemen.

Naast PNScan is er inmiddels ook een variant van het Trojaanse paard ontdekt. Deze versie maakt geen gebruik van het ShellShock-lek, maar gebruikt zwakke wachtwoorden om via SSH toegang te krijgen. Wereldwijd werden 1439 met PNScan besmette routers aangetroffen, waaronder 21 in Nederland.