Hơn 9.000 routers Asus bị tin tặc xâm nhập và kiểm soát trên toàn cầu

Hàng nghìn thiết bị định tuyến (router) Asus trên toàn cầu đang trở thành mục tiêu của một chiến dịch tấn công mạng tinh vi mang tên ViciousTrap. Theo các chuyên gia tại GreyNoise và Sekoia, ít nhất 9.000 router Asus đã bị chiếm quyền điều khiển từ xa, trong đó nhiều thiết bị bị cài mã độc có khả năng duy trì truy cập trái phép lâu dài, kể cả sau khi thiết bị được khởi động lại hoặc cập nhật firmware.

ViciousTrap sử dụng lại công cụ và hạ tầng mạng từng liên quan đến chiến dịch PolarEdge, cho thấy khả năng tái sử dụng công cụ từ các botnet trước. Ngoài Asus, các thương hiệu thiết bị mạng như Cisco, QNAP, D-Link… cũng nằm trong phạm vi tấn công, khi kẻ đe dọa cố gắng thiết lập một mạng lưới “honeypot” để thu thập thông tin và dò tìm các khai thác zero-day chưa được công bố.

Chiến dịch lợi dụng lỗ hổng nghiêm trọng CVE-2023-39780, kết hợp kỹ thuật brute-force để vượt xác thực, sau đó âm thầm kích hoạt SSH trên cổng 53282 và chèn khóa truy cập trái phép. Đáng chú ý, mã độc còn vô hiệu hóa ghi log nhằm né tránh phát hiện.

Hoạt động của ViciousTrap được ghi nhận từ tháng 3/2025, sử dụng hạ tầng máy chủ đặt tại châu Á và Mỹ. Dù Asus đã phát hành bản vá, các thiết bị bị nhiễm vẫn phải reset thủ công để loại bỏ hoàn toàn backdoor.

Hiện tại, Asus đã phát hành bản cập nhật bảo mật, tuy nhiên việc cập nhật firmware không đủ để loại bỏ mã độc nếu thiết bị đã bị nhiễm từ trước. Mã độc vẫn tồn tại trong NVRAM và tiếp tục hoạt động nếu không được xử lý triệt để. Để giảm thiểu rủi ro, người dùng – đặc biệt là các tổ chức sử dụng router Asus trong môi trường mạng doanh nghiệp – cần thực hiện ngay các bước sau:

  • Cập nhật firmware mới nhất cho tất cả thiết bị router Asus.

  • Kiểm tra và vô hiệu hóa SSH nếu không sử dụng, đặc biệt kiểm tra cổng TCP/53282.

  • Xem lại file authorized_keys trên thiết bị để phát hiện khóa SSH bất thường.

  • Chặn các địa chỉ IP độc hại được xác định gồm: 101.99.91.151, 101.99.94.173, 79.141.163.179, 111.90.146.237.

  • Nếu có dấu hiệu nghi ngờ bị xâm nhập, thực hiện factory reset toàn bộ thiết bị, sau đó cấu hình lại một cách thủ công, không khôi phục từ bản sao lưu cũ.

  • Theo dõi lưu lượng mạng bất thường, đặc biệt là kết nối ra nước ngoài hoặc đến các cổng không phổ biến.

Theo: The hacker news