Asus ルーターに依存しているユーザーは、ファームウェアを更新した後でも、ステルス バックドア キャンペーンにさらされる可能性があります。
サイバーセキュリティ企業GreyNoiseによると、ASUS製ルーターがステルス型のバックドア攻撃を受け、ファームウェアのアップデート後も攻撃が継続しているという。同社は政府機関や業界パートナーと連携し、5月28日に調査結果を公表した。
GreyNoiseは、2025年3月18日にAI搭載ネットワーク分析ツール「Sift」を使用してこのキャンペーンを初めて発見しました。このシステムは、工場出荷時のファームウェアで稼働するインターネット接続可能なAsusルーターを標的とした異常なHTTP POSTリクエストを検出しました。
影響を受けたルーターには、人気モデルのRT-AC3100、RT-AC3200、RT-AX55が含まれます。その後の調査で、数ヶ月間検知を逃れていた目立たない侵入活動が明らかになりました。
攻撃者は脆弱な認証情報と2つの認証バイパスを利用してシステムにアクセスし、次に、パッチ適用済みのAsusルーターの脆弱性CVE-2023-39780を悪用してコマンドを実行しました。
マルウェアをインストールする代わりに、ASUSの正規設定を使用してポート53282へのSSHアクセスを有効にし、SSH公開鍵をインストールしました。変更は不揮発性メモリに書き込まれたため、バックドアはファームウェアのアップデートや再起動後も存続します。
永続性が確立される前にログ記録が無効にされたため、攻撃はレーダーの下をくぐり抜けることができました。
高度なステルスは長期的な計画を示唆している
GreyNoiseは、このキャンペーンを特定のグループに帰属させていないものの、その技術レベルは高度な持続的脅威アクターのそれと一致していると述べています。このインフラは、より広範なコマンド＆コントロールネットワークまたは中継ネットワークの一部として、永続的なアクセスを可能にするように設計されているようです。
GreyNoiseは3ヶ月間で関連リクエストをわずか30件しか確認していません。Censysのスキャンデータによると、5月27日時点で9,000台以上のASUSルーターが侵害の兆候を示しており、その数は増加し続けています。
IPアドレスの侵害指標。画像クレジット：Greynoise
ASUSは最近のファームウェアアップデートでCVE-2023-39780を修正しました。未公開のログインバイパス問題も修正されたようです。
しかし、アップデート前に侵入されたルーターは、SSHアクセスが確立され、削除されていない場合、依然として脆弱な状態にある可能性があります。また、パッチ適用後も感染は依然として存在します。
安全を保つ方法
GreyNoise は、Asus ルーターの所有者に次の即時アクションを推奨します。
- ポート TCP/53282 での SSH アクセスを確認します。
- authorized_keys ファイルで不明なエントリがないか確認します。
- 攻撃に関連する次の IP アドレスをブロックします: 101.99.91.151、101.99.94.173、79.141.163.179、111.90.146.237
- 侵害の疑いがある場合は、完全な工場出荷時設定へのリセットを実行し、デバイスを手動で再構成してください。
ルーターのセキュリティ侵害のリスクを軽減するには、いくつかのベストプラクティスに従うことが重要です。既知の脆弱性に対する唯一の防御策はセキュリティパッチである場合が多いため、ルーターのファームウェアを定期的に更新することが不可欠です。
さらに、ルーターアクセスとWi-Fiネットワークの両方のデフォルトパスワードを変更することが不可欠です。セキュリティを強化するために、強力で固有のパスワードを使用してください。
ローカルネットワーク外からのアクセスが不要な場合は、リモート管理を無効にすることも効果的な対策です。ルーターの設定を定期的に監査することで、不明なSSHキー、開いているポート、または見慣れない設定を特定するのに役立ちます。
ネットワークファイアウォールを導入すれば、たとえシンプルなものであっても、疑わしいインバウンドおよびアウトバウンドのトラフィックをブロックできます。また、ASUSなどのメーカーによるアドバイザリを確認することで、最新の脅威に関する最新情報や警告を受け取ることができます。
ASUSは、最新の報告に先立ち、以前に公開された脆弱性（CVE）に基づき、RT-AX55などのモデル向けのアップデートをリリースしました。同社はサイバーセキュリティチームおよび研究開発チームと連携し、状況を継続的に監視しています。
新しいルーターモデルには、ログインに関する脆弱性に対処するための最新のセキュリティ対策が搭載されています。すべてのAsusルーターにはAiProtectionが搭載されています。
AiProtectionを使用すると、AsusアプリまたはWebインターフェースから、パスワードの強度チェックなどのセキュリティ監査を実行できます。これらのモデルは自動ファームウェアアップデートもサポートしていますが、この機能は手動で有効化する必要があります。セキュリティを重視する方には、有効化する価値のあるオプションです。
