Dünyanın dört bir yanındaki binlerce Asus router cihazı, siber güvenlik açısından son derece tehlikeli bir durumla karşı karşıya. Güvenlik firması GreyNoise’un yeni raporuna göre, yaklaşık 9.000 Asus yönlendirici cihazı, kalıcı ve gizli bir arka kapı yoluyla ele geçirilmiş durumda. Bu arka kapı, saldırganlara cihaz üzerinde tam yönetici kontrolü sağlıyor ve ne yazık ki cihaz yeniden başlatılsa ya da yazılımı güncellense bile aktifliğini yitirip kapanmıyor.
Arka Kapı SSH Anahtarı Üzerinden Çalışıyor
Saldırganlar, Asus tarafından daha önce yamalanmış bazı açıklar dahil olmak üzere birçok zafiyeti kullanarak cihazlara erişim sağlıyor. Bunlardan en bilineni CVE-2023-39780 adlı komut enjeksiyon açığı. Ancak saldırıda kullanılan diğer yöntemlerin büyük bölümü CVE sisteminde kayıtlı değil. Bu da saldırıların sessizce ve kullanıcıların haberi olmadan gerçekleşmesine olanak tanıyor.
Router cihazlara bir SSH anahtarı yükleyen saldırganlar, bu özel anahtarla cihazlara yönetici olarak bağlanabiliyor. Dahası, bu anahtar sistem yeniden başlatıldığında ya da firmware güncellemesi yapıldığında dahi cihazda kalmaya devam ediyor.
GreyNoise araştırmacılarına göre bu durum, saldırganların cihazlar üzerinde kalıcı kontrol kurmasına olanak tanıyor ve saldırının olası bir geniş çaplı operasyon için hazırlık aşaması olduğunu düşündürüyor.
Devlet Destekli Saldırı İhtimali Güçlü
Sisteme sızma faaliyetlerinin ilk izleri Mart ayında tespit edildi. GreyNoise tarafından yapılan açıklamada, saldırının Asya ve Avrupa merkezli IP adreslerinden gerçekleştirildiği ve bu durumun arkasında devlet destekli bir tehdit aktörünün bulunabileceği belirtildi. Güvenlik firması Sekoia’ya göre ise saldırı, “ViciousTrap” olarak adlandırılan henüz tanımlanamamış bir tehdit grubu tarafından yürütülüyor olabilir.
Kullanıcılar Ne Yapmalı?
Asus router sahiplerinin, cihazlarının SSH ayarlarını mutlaka kontrol etmeleri öneriliyor. Özellikle aşağıdaki SSH anahtarı sistemde yer alıyorsa cihazın ele geçirilmiş olma ihtimali yüksek:
ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAo41nBoVFfj4HlVMGV+YPsxMDrMlbdDZ...
Ayrıca router’ın port 53282 üzerinden dış bağlantılara açık olup olmadığını da kontrol etmek gerekiyor. Aşağıdaki IP adreslerinden gelen bağlantılar cihazın hedef alındığını gösterebilir:
- 101.99.91[.]151
- 101.99.94[.]173
- 79.141.163[.]179
- 111.90.146[.]237
Bu gibi durumlarda, cihazdaki şüpheli anahtarların silinmesi ve port ayarlarının kapatılması gerekiyor. Uzmanlar ayrıca yalnızca Asus değil, tüm marka router kullanıcılarına varsayılan şifrelerini değiştirmelerini ve yazılım güncellemelerini düzenli olarak yapmalarını şiddetle tavsiye ediyor.
Daha fazla güncel haberler için Sinetech.tr’yi takip etmeye devam edin.
