Des milliers de routeurs Asus infectés par une porte dérobée

Une vaste campagne d'attaque vise actuellement des milliers de routeurs Asus dans le monde, installant des portes dérobées particulièrement résistantes qui survivent aux redémarrages et même aux mises à jour de firmware. Cette découverte, révélée par les chercheurs de GreyNoise, peut vous toucher directement si vous disposez d'un routeur Asus.

Une persistance inquiétante malgré les mises à jour

L'aspect le plus préoccupant de cette attaque réside dans sa capacité à maintenir l'accès aux routeurs compromis même après une mise à jour complète du firmware. Les attaquants exploitent des vulnérabilités maintenant corrigées, notamment CVE-2023-39780, pour installer une clé publique SSH dans la mémoire NVRAM du routeur. Cette technique leur permet de conserver un accès administrateur total via le port 53282, rendant les appareils vulnérables sur le long terme.

Environ 9 000 routeurs Asus sont actuellement identifiés comme compromis, un chiffre en constante augmentation. Les modèles concernés incluent notamment les RT-AC3100, RT-AC3200 et RT-AX55. La sophistication de l'attaque et le fait que GreyNoise ait coordonné sa divulgation avec des agences gouvernementales suggèrent l'implication possible d'un groupe d'un pays dans cette attaque.

Comment détecter et éliminer la menace

Pour vérifier si un routeur est infecté, vous devez examiner les paramètres SSH dans le panneau de configuration. Un accès SSH configuré sur le port 53282 avec une clé commençant par "ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAo41nBoVFfj4HlVMGV+YPsxMDrMlbdDZ..." indique une compromission.

La seule solution efficace pour éliminer complètement cette porte dérobée consiste à effectuer une réinitialisation complète aux paramètres d'usine, suivie d'une mise à jour du firmware. Cette approche drastique mais nécessaire rappelle l'importance cruciale de maintenir ses équipements réseau à jour, une leçon que les utilisateurs d'écosystèmes sécurisés comme ceux d'Apple connaissent bien avec les mises à jour automatiques de sécurité.