Asus-routers doelwit van geavanceerde Cyclops Blink-malware

[Captain Kirk]

De geavanceerde Cyclops Blink-malware waar de Amerikaanse en Britse autoriteiten eind februari voor waarschuwden infecteert ook Asus-routers, zo meldt antivirusbedrijf Trend Micro. Asus heeft inmiddels een onderzoek ingesteld en zegt met een software-update te zullen komen.

Volgens de FBI, NSA, het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) en het Britse National Cyber Security Centre (NCSC) is de malware ontwikkeld door een groep genaamd Sandworm, die aan de Russische geheime dienst GRU gelieerd zou zijn. In eerste instantie werd gemeld dat alleen firewalls van fabrikant WatchGuard het doelwit waren.

De malware zou op een zeer geraffineerde manier, door gebruik te maken van een zwakte in het firmware-updateproces van WatchGuard, apparaten permanent weten te infecteren. Het exacte doel van Cyclops Blink is onbekend. Nu blijkt echter dat ook Asus-routers onderdeel van het Cyclops Blink-botnet worden gemaakt. Net als bij de WatchGuard-firewalls kan de malware ook de firmware van Asus-routers overschrijven en zo fabrieksresets overleven.

Volgens Trend Micro hebben de aanvallers het voorzien op apparaten die niet van vitale organisaties zijn of een duidelijk spionagedoel hebben. De onderzoekers denken dan ook dat het botnet mogelijk is bedoeld als infrastructuur voor het uitvoeren van verdere aanvallen tegen waardevolle doelwitten. Naast Asus en WatchGuard is er ook bewijs dat routers van een andere fabrikant verbinding met het Cyclops Blink-botnet maken, maar voor dit specifieke routermerk is er nog geen malware gevonden.

Hoe de Asus-routers precies besmet kunnen raken is, net als bij de WatchGuard-firewalls, onbekend. Asus laat weten dat het een onderzoek is gestart en aan een oplossing werkt. Hoewel de malware een fabrieksreset kan overleven adviseert Asus uit voorzorg toch het uitvoeren van een fabrieksreset. Tevens wordt aangeraden de laatste firmware te installeren en een sterk beheerderswachtwoord te kiezen. Verder moet Remote Management worden uitgeschakeld. De optie staat standaard echter uit.

 

 

bron: https://www.security.nl