Onderzoekers van Fortinet hebben een botnet ontdekt dat DD-WRT-routers via een vijf jaar oud beveiligingslek infecteert en vervolgens inzet voor het uitvoeren van ddos-aanvallen tegen websites. DD-WRT is een op Linux-gebaseerd besturingssysteem voor routers dat vaak meer mogelijkheden biedt dan het al geïnstalleerde besturingssysteem. In maart 2021 werd gewaarschuwd voor een kwetsbaarheid (CVE-2021-27137) in DD-WRT waardoor een ongeauthenticeerde aanvaller een buffer overflow kan veroorzaken, wat uiteindelijk tot het uitvoeren van code leidt.

Voorwaarde voor misbruik is wel dat Universal Plug and Play (UPnP) staat ingeschakeld, wat bij DD-WRT standaard niet het geval is. Fortinet meldt dat een botnet genaamd C0XMO misbruik van het beveiligingslek maakt om DD-WRT-routers te infecteren. In het geval de router al door andere malware is besmet zal C0XMO die verwijderen. Besmette routers worden vervolgens ingezet voor het uitvoeren van ddos-aanvallen en zoeken naar andere kwetsbare routers om aan te vallen. Naast het gebruik van exploits voor kwetsbaarheden kan C0XMO ook bruteforce-aanvallen via Telnet en SSH uitvoeren.