IOC

GreyNoise a découvert une campagne d’exploitation furtive ciblant les routeurs ASUS, exploitant la vulnérabilité CVE-2023-39780 et d’autres techniques non corrigées. Cette activité, observée pour la première fois le 18 mars 2025, a été rendue publique après coordination avec des partenaires gouvernementaux et industriels. Les attaquants ont réussi à obtenir un accès non autorisé et persistant à des milliers de routeurs ASUS exposés à Internet. Cette opération semble être une tentative de créer un réseau distribué de dispositifs avec des portes dérobées, potentiellement pour former un botnet futur. ...

GreyNoise a utilisé un outil d’analyse de trafic réseau alimenté par l’IA, nommé SIFT, pour détecter des charges utiles anormales visant à désactiver les fonctionnalités de sécurité TrendMicro sur les routeurs ASUS. Cette activité a été découverte initialement le 18 mars 2025, mais la divulgation publique a été retardée pour coordonner les découvertes avec des partenaires gouvernementaux et industriels. L’attaque combine des méthodes anciennes et nouvelles, débutant par des attaques par force brute sur login.cgi, suivies d’exploitations de vulnérabilités de contournement d’authentification plus anciennes. Une fois l’accès privilégié obtenu, les attaquants exploitent une vulnérabilité d’injection de commande pour créer un fichier vide à /tmp/BWSQL_LOG, activant ainsi la journalisation BWDPI, une fonctionnalité TrendMicro intégrée. ...