Mobile-Menu

Aufbau eines Botnets? Tausende Asus-Router durch Backdoor kompromittiert

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Fsas Technologies GmbH
FAST LTA GmbH
FTAPI Software GmbH

Mehr als 9.000 Asus-Router wurden im Rahmen einer monatelangen Angriffskampagne mit Backdoors versehen. Sicherheitsforscher von Greynoise warnen, dass dies der Auftakt zur Entstehung eines Botnetzes sein könnte.

Die Backdoor in den Routern von Asus lässt sich weder durch Firmware-Upgrades des Herstellers, noch durch Neustarts allein entfernen. Es braucht eine Reihe zusätzlicher Eingriffe.(Bild: Dall-E / KI-generiert)
Die Backdoor in den Routern von Asus lässt sich weder durch Firmware-Upgrades des Herstellers, noch durch Neustarts allein entfernen. Es braucht eine Reihe zusätzlicher Eingriffe.
(Bild: Dall-E / KI-generiert)

Das Cybersicherheitsunternehmen Greynoise hat eine Exploit-Kampagne entdeckt, die derzeit Tausende Router des Herstellers Asus bedroht. Wie die Analysten berichten, scheint die Kampagne, bei der sich Cyberkriminelle unbefugten, dauerhaften Zugriff auf die Geräte verschafften, Teil einer großen, verdeckten Operation zu sein, die möglicherweise dazu dient, ein verteiltes Netzwerk von Backdoor-Geräten aufzubauen, die später die Grundlage für ein Botnetz bilden könnten. Der Threat-Intelligence-Anbieter habe die Angriffe bereits am 18. März 2025 entdeckt und sich für die öffentliche Bekanntgabe mit Regierungs- und Industriepartnern abgestimmt. Mittlerweile seien mehr als 9.000 Router kompromittiert.

Hartnäckige Hintertür

Die Angreifer nutzten Greynoise zufolge die Sicherheitslücke CVE-2023-39780 aus, mit der authentifizierte Akteure Betriebssystembefehle einschleusen können. Die zwei Jahre alte Schwachstelle wurde nach ihrer Entdeckung im September 2023 mit einem CVSS-Score von 8.8 eingestuft. CVE-2023-39780 bildet die Grundlage, um mittels Brute-Force-Anmeldeversuchen und Authentifizierungsumgehungen in die Router eindringen zu können. Daneben würden weitere Sicherheitslücken ausgenutzt, die zwar keine CVE-ID hätten, allerdings – wie auch CVE-2023-39780 – bereits geschlossen seien.

Scheinbar ist die Backdoor, die die Angreifer so in ungepatchte Geräte einpflanzen, besonders hartnäckig: Laut Greynoise wird über die offiziellen Asus-Einstellungen ein vom Angreifer kontrollierter öffentlicher SSH-Schlüssel in die Konfiguration eingefügt. Da diese Konfiguration im nicht-flüchtigen Speicher (NVRAM) gespeichert wird, bleibt die Backdoor auch nach Firmware-Upgrades oder Neustarts bestehen. Zudem deaktivieren die Angreifer gezielt Sicherheitsfunktionen wie Trend Micro AiProtection, um eine Erkennung zu vermeiden. Diese fortgeschrittenen Taktiken würden darauf hin deuten, dass die Akteure über umfassende Kenntnisse der Geräte verfügen.

Schaffen es die Kriminellen, aus den kompromittierten Geräten ein Botnetz zu bilden, könnte dies gravierende Folgen haben. Ein Botnetz ist ein Zusammenschluss kompromittierter Geräte, die unter der Kontrolle eines Angreifers stehen, da sie so manipuliert sind, mit seinem Command-and-Control-Server zu kommunizieren. Klassischerweise nutzen die Akteure die Botnetze, um Webseiten oder -Anwendungen mit Datenverkehr zu fluten, bis sie zusammenbrechen. Die Bots werden auch häufig genutzt, um massenhaft E-Mails zu versenden, beispielsweise mit Malware-Anhängen oder Links zu Phishing-Seiten.

Sicherheitsmaßnahmen

Welche Asus-Modelle konkret betroffen sind, schreibt Greynoise nicht. Allerdings liefert der Anbieter einige Indicator of Compromise (IoC), darunter:

  • IP-Adressen, die an den Aktivitäten beteiligt waren: 101.99.91.151, 101.99.94.173, 79.141.163.179 und 111.90.146.237
  • den Port der Hintertür: TCP/53282
  • den öffentlichen SSH-Schlüssel der Angreifer in gekürzter Version: ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAo41nBoVFfj4HlVMGV+YPsxMDrMlbdDZ

Zwar hat Asus CVE-2023-39780 mit einem aktuellen Firmware-Update gepatcht. Doch Greynoise informiert, dass die Backdoor in Routern bestehen bleibt, sollten diese schon vor dem Update kompromittiert gewesen seien und sofern der SSH-Zugriff nicht explizit überprüft und entfernt wurde.

Deshalb sollten Nutzer von Asus-Routern neben dem Hersteller-Update zusätzlich folgende Sicherheitsmaßnahmen umsetzen:

  • Überprüfen Sie Ihren Asus-Router auf SSH-Zugriff über TCP/53282.
  • Überprüfen Sie die Datei „authorized_keys“ auf unberechtigte Zugriffe.
  • Sperren Sie die vier oben genannten IP-Adressen.
  • Bei Verdacht auf Kompromittierung führen Sie einen vollständigen Reset auf die Werkseinstellungen durch und konfigurieren Sie die Einstellungen manuell neu.

(ID:50438535)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte