image

Asus-routers doelwit van geavanceerde Cyclops Blink-malware

donderdag 17 maart 2022, 14:08 door Redactie, 5 reacties

De geavanceerde Cyclops Blink-malware waar de Amerikaanse en Britse autoriteiten eind februari voor waarschuwden infecteert ook Asus-routers, zo meldt antivirusbedrijf Trend Micro. Asus heeft inmiddels een onderzoek ingesteld en zegt met een software-update te zullen komen.

Volgens de FBI, NSA, het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) en het Britse National Cyber Security Centre (NCSC) is de malware ontwikkeld door een groep genaamd Sandworm, die aan de Russische geheime dienst GRU gelieerd zou zijn. In eerste instantie werd gemeld dat alleen firewalls van fabrikant WatchGuard het doelwit waren.

De malware zou op een zeer geraffineerde manier, door gebruik te maken van een zwakte in het firmware-updateproces van WatchGuard, apparaten permanent weten te infecteren. Het exacte doel van Cyclops Blink is onbekend. Nu blijkt echter dat ook Asus-routers onderdeel van het Cyclops Blink-botnet worden gemaakt. Net als bij de WatchGuard-firewalls kan de malware ook de firmware van Asus-routers overschrijven en zo fabrieksresets overleven.

Volgens Trend Micro hebben de aanvallers het voorzien op apparaten die niet van vitale organisaties zijn of een duidelijk spionagedoel hebben. De onderzoekers denken dan ook dat het botnet mogelijk is bedoeld als infrastructuur voor het uitvoeren van verdere aanvallen tegen waardevolle doelwitten. Naast Asus en WatchGuard is er ook bewijs dat routers van een andere fabrikant verbinding met het Cyclops Blink-botnet maken, maar voor dit specifieke routermerk is er nog geen malware gevonden.

Hoe de Asus-routers precies besmet kunnen raken is, net als bij de WatchGuard-firewalls, onbekend. Asus laat weten dat het een onderzoek is gestart en aan een oplossing werkt. Hoewel de malware een fabrieksreset kan overleven adviseert Asus uit voorzorg toch het uitvoeren van een fabrieksreset. Tevens wordt aangeraden de laatste firmware te installeren en een sterk beheerderswachtwoord te kiezen. Verder moet Remote Management worden uitgeschakeld. De optie staat standaard echter uit.

Reacties (5)
17-03-2022, 14:14 door Anoniem
Ik moet ook met mijn luie reet mijn OpenWrt firmware bijwerken. Compileren duurt altijd even en om de dag komt er weer een nieuwe kwetsbaarheid bovendrijven. Kan niet blijven uitstellen....
17-03-2022, 19:46 door Anoniem
Dus dit geldt voor alle asus routers ook die op Merlin draaien ?
Is uw open WRT een soort Merlin dan ?
Gelukkig heb ik een extreem beefy wachtwoord maar ik ga wel alles checken en updaten wat overigens goed gaat met Merlin.
17-03-2022, 20:11 door Anoniem
Door Anoniem: Dus dit geldt voor alle asus routers ook die op Merlin draaien ?
Is uw open WRT een soort Merlin dan ?
Gelukkig heb ik een extreem beefy wachtwoord maar ik ga wel alles checken en updaten wat overigens goed gaat met Merlin.

Geen idee. En ik betwijfel dat mijn OpenWrt een "Merlin" is (geen idee wat dat is).
Ik reageerde op deze manier omdat het mij dwars zit. We hebben OpenSSL en een stuk of drie kernel kwetsbaarheden in de laatste dagen voor onze kiezen gehad.
Mijn router heeft geen wachtwoord (ik gebruik PKI)
17-03-2022, 21:40 door Anoniem
Door Anoniem: Dus dit geldt voor alle asus routers ook die op Merlin draaien ?
Is uw open WRT een soort Merlin dan ?
Gelukkig heb ik een extreem beefy wachtwoord maar ik ga wel alles checken en updaten wat overigens goed gaat met Merlin.

Merlin is gebaseerd op de originele firmware wat dus in kan houden dat de kwetsbaarheid ook in de Merlin versie voor de Asus routers zit. OpenWRT is opensource router software die als alternatief op legio hardware kan draaien, deze OpenWRT heeft bovengenoemde kwetsbaarheden niet.
20-03-2022, 14:42 door Anoniem
Ik wilde een Asus router kopen, maar besloot toch maar voor Linksys te gaan. Ook omdat deze open source oplossingen zoals OpenWRT en DD-WRT ondersteunt. Na aanschaf heb ik de DD-WRT op het apparaat gefietst. Werkt fantastisch!
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.