Backdoor ohne Malware auf tausenden Asus-Routern eingerichtet

In einer größer angelegten Kampagne wurden in letzter Zeit zahl­rei­che Asus-Router mit "malwarefreien" Backdoors kompromittiert. Die Angreifer nutzen dabei Schwachstellen sowie legitime Funktionen, um ohne herkömmliche Schadsoftware dauerhaften Zugriff zu erlangen.

Updates helfen nicht

Die Hintertüren, die seit Mitte März dieses Jahres aktiv sind, überstehen sowohl Neustarts als auch Firmware-Updates. Das macht sie besonders schwer zu entfernen. Forscher des Security-Unternehmens GreyNoise entdeckten die Angriffe mithilfe eines KI-basierten Analysewerkzeugs und veröffentlichten Details nach Rücksprache mit Behörden und Industriepartnern.

Auch das französische Sicherheitsunternehmen Sekoia.io bestätigte im Rahmen der Analyse einer breiteren Kampagne - genannt "ViciousTrap" - die Kompromittierung Tausender Asus-Router. Zwar wurden Geräte anderer Hersteller als Honeypots verwendet, doch bei Asus-Geräten ging es laut Sekoia.io gezielt um den Aufbau eines dauerhaften Fernzugriffs.


Die Angreifer verschaffen sich Zugriff über eine Kombination aus Brute-Force-Angriffen und Authentifizierungsumgehungen. Dabei kommen teils bekannte, aber bislang nicht mit CVE-Nummern katalogisierte Schwachstellen zum Einsatz. Eine häufig genutzte Technik ist die Manipulation des Asus-spezifischen User-Agent-Strings ("asusrouter--") sowie der Einsatz eines manipulierten Cookies ("asus_token="), der möglicherweise die Authentifizierungsroutine aushebelt.

Sekoia.io identifizierte außerdem die Ausnutzung der Schwachstelle CVE-2021-32030, die bestimmte Asus-Modelle wie den GT-AC2900 und Lyra Mini betrifft. Bei neueren Modellen wie dem RT-AX55 wird zudem eine Sicherheitslücke ausgenutzt, mit der eine Logging-Funktion für die Ausführung beliebiger Befehle missbraucht werden kann.

Es gibt Hilfe

Nach der erfolgreichen Authentifizierung richten die Angreifer einen SSH-Zugang über den Port TCP/53282 ein und speichern ihren öffentlichen Schlüssel im System, um dauerhaft auf das Gerät zugreifen zu können. Da die Hintertür in einem nichtflüchtigen Speicherbereich (NVRAM) liegt, bleibt sie auch nach Firmware-Updates aktiv.

GreyNoise empfiehlt Nutzern, kompromittierte Router auf Werkseinstellungen zurückzusetzen und manuell neu zu konfigurieren. Zudem sollten verdächtige SSH-Zugriffe auf Port 53282 überprüft sowie bekannte Schad-IP-Adressen blockiert werden. Auch regelmäßige Sicherheitsupdates vor einer Infektion sind dringend angeraten.


Siehe auch: