Een cyberaanval treft 14.000 routers van het merk ASUS met zeer resistente KadNap-malware

Onderzoekers op het gebied van informatiebeveiliging ontdekten een grootschalige infectiecampagne die ongeveer 14.000 routers in verschillende regio’s in gevaar bracht. Het merendeel van de getroffen apparatuur is eigendom van de fabrikant ASUS, wat erop wijst dat de aanvallen specifiek gericht zijn op het misbruiken van mazen in de firmware van dat merk.

De agent die verantwoordelijk is voor deze massale invasie is de malware die wordt geïdentificeerd als KadNap, een kwaadaardige code die opvalt door zijn extreme moeilijkheid om uit te roeien. Eenmaal geïnstalleerd op het netwerkapparaat, verandert het programma de apparatuur in een actief knooppunt van een botnet, dat verborgen werkt voor de eigenaar van de internetverbinding.

De ontdekking van dit zombienetwerk vond plaats tijdens routinematige monitoring van afwijkend internetverkeer, toen experts verdachte communicatiepatronen opmerkten die afkomstig waren van thuis- en kleine zakelijke verbindingen. De apparatuur blijft normaal functioneren voor de dagelijkse navigatie, waardoor de slachtoffers zich minder bewust worden van het probleem.

Technische structuur van de invasie van apparatuur

Uit analyse van het gedrag van KadNap blijkt dat de infectie voornamelijk plaatsvindt door misbruik van onjuist geopende communicatiepoorten met internet. Aanvallers voeren geautomatiseerde scans uit op zoek naar routers die nog steeds de standaard fabriekstoegangsreferenties gebruiken of die bekende, niet-gepatchte beveiligingsfouten vertonen.

Bij het lokaliseren van een kwetsbaar doelwit injecteert het kwaadaardige script zijn lading rechtstreeks in het geheugen van het apparaat, waardoor onmiddellijke communicatie tot stand wordt gebracht met de commando- en controleservers die door de cybercriminelen worden beheerd. Vanaf dat moment begint de router instructies op afstand te ontvangen om allerlei illegale acties in de digitale omgeving uit te voeren.

Het volume van 14.000 gecompromitteerde eenheden demonstreert de effectiviteit van de geautomatiseerde verspreidingsmethode die door de ontwikkelaars van de dreiging wordt gebruikt. De concentratie op ASUS-modellen suggereert dat criminelen de softwarearchitectuur van deze apparaten tot in detail in kaart hebben gebracht om het succespercentage van stille inbraken te maximaliseren.

Codepersistentie en verbergmechanismen

Het belangrijkste technische verschil dat KadNap onderscheidt van andere bedreigingen die zich op netwerkapparaten richten, is de geavanceerde overlevingskansen op het hostsysteem. De malware is ontworpen om diep te integreren in essentiële routerfirmwareprocessen, waardoor redundantiemechanismen ontstaan ​​die het moeilijk maken om deze met traditionele methoden te verwijderen. Quando wanneer een gebruiker het apparaat eenvoudig opnieuw opstart, kan de kwaadaardige code zichzelf tijdens het opstartproces onmiddellijk opnieuw activeren, waardoor het apparaat onder controle van het botnet blijft zonder noemenswaardige onderbrekingen in de communicatie met externe servers.

Naast de weerstand tegen opnieuw opstarten constateerden onderzoekers dat pogingen om de fabrieksinstellingen te herstellen niet altijd voldoende zijn om de infectie permanent te elimineren. KadNap gebruikt verduisteringstechnieken om de bestanden en processen te verbergen voor de eigen diagnostische hulpmiddelen van de apparatuur. Dankzij de operationele onzichtbaarheid van Essa kan het zombienetwerk zijn omvang en verwerkingskracht in de loop van de tijd stabiel houden, waardoor initiële mitigatiepogingen van gebruikers met technische basiskennis worden gefrustreerd en diepere interventies in het systeem nodig zijn.

Infrastructuur gebruiken voor gedistribueerde aanvallen

Het vormen van een botnet met duizenden thuis- en bedrijfsrouters biedt criminelen een robuuste infrastructuur om gedistribueerde denial-of-service-aanvallen uit te voeren. Esses-aanvallen bestaan ​​uit het gelijktijdig verzenden van een enorme hoeveelheid verzoeken naar een specifieke server of website, met als doel deze te overbelasten en ontoegankelijk te maken.

Het gebruik van thuisverbindingen voor deze illegale activiteiten bemoeilijkt het werk van cyberverdedigingsinstrumenten, omdat het kwaadaardige verkeer afkomstig is van legitieme en geografisch verspreide IP-adressen. De functie Essa maskeert de werkelijke bron van de aanval en bemoeilijkt de implementatie van locatiegebaseerde blokkering.

Leia Tambem

Napoli x Milan in Serie A met bevestigde opstellingen en waar je live kunt kijken

Uit onderzoek blijkt dat ouders niet weten hoe hun kinderen kunstmatige intelligentie gebruiken

Digitale retail verlaagt de waarde van de Galaxy S25 5G-smartphone met bankbonussen en apparaatuitwisseling

Naast denial-of-service-aanvallen kunnen door KadNap geïnfecteerde routers worden gebruikt als proxy’s om de identiteit van criminelen te verbergen tijdens financiële fraude of inbraken in bedrijfssystemen. De apparatuur van het slachtoffer fungeert als een brug en stuurt kwaadaardig verkeer door alsof het gewoon browsen is.

De gecombineerde verwerkingscapaciteit van 14.000 apparaten maakt ook het uitvoeren van grootschalige brute force-campagnes mogelijk. Het zombienetwerk test duizenden wachtwoordcombinaties per minuut tegen e-mailservers, databases en andere online platforms, waardoor het bereik van criminele activiteiten wordt vergroot.

Technische procedures om de dreiging te beheersen

Het desinfecteren van een gecompromitteerde router door KadNap vereist een methodische en rigoureuze aanpak van netwerkbeheerders en thuisgebruikers. De eerste fundamentele stap bestaat uit het onmiddellijk isoleren van het apparaat en het fysiek loskoppelen van het internetmodem om de communicatie met de commando- en controleservers van het botnet te stoppen. Vervolgens is het noodzakelijk om via een beveiligd lokaal netwerk toegang te krijgen tot het beheerpaneel van het apparaat en de firmware handmatig bij te werken, uitsluitend met behulp van de officiële bestanden die beschikbaar zijn op de ASUS-website. Como de malware heeft een hoge persistentie; het simpelweg toepassen van de update is mogelijk niet voldoende; Deskundigen raden aan dat het proces gepaard gaat met een volledige opschoning van het interne geheugen van de apparatuur, gevolgd door een handmatige herconfiguratie van alle netwerkparameters. Durante Na deze herconfiguratie is het absoluut noodzakelijk om beheerderswachtwoorden te vervangen door complexe inloggegevens, externe beheerdiensten via internet uit te schakelen en communicatiepoorten te sluiten die niet strikt noodzakelijk zijn voor het functioneren van het lokale netwerk. Het voortdurend controleren van de toegangslogboeken in de weken na de procedure helpt bevestigen dat het verwijderen van kwaadaardige code succesvol was en dat het dataverkeer weer normaal is.

Kwetsbaarheden in het internet of things-ecosysteem

Het incident met ASUS-apparatuur benadrukt een structureel probleem in de beveiliging van apparaten die deel uitmaken van het zogenaamde internet der dingen. Roteadores komen beveiligingscamera’s en aangesloten apparaten vaak op de markt met configuraties die gericht zijn op installatiegemak, waarbij strengere beveiligingsprotocollen worden verwaarloosd. De levenscyclus van deze producten maakt de situatie ook erger, omdat veel fabrikanten de officiële ondersteuning voortijdig beëindigen.

Door het ontbreken van een geautomatiseerd en verplicht beveiligingsupdatesysteem worden miljoenen apparaten blootgesteld aan gebreken die maanden of jaren na de productie ervan worden ontdekt. Cybercriminelen maken misbruik van deze kwetsbaarheid in oudere apparatuur om hun zombienetwerken met minimale inspanning en een hoog operationeel rendement uit te breiden, waarbij ze de controle behouden over apparaten die door eigenaren zijn vergeten.

Continue monitoring van dataverkeer

Vroege detectie van stille infecties zoals KadNap is afhankelijk van de implementatie van netwerkmonitoringtools die afwijkingen in de gegevensstroom kunnen identificeren. Picos van ongerechtvaardigde uploads tijdens de vroege ochtenduren of constante verbindingen met IP-adressen in verdachte regio’s zijn sterke indicatoren voor een aangetaste lokale infrastructuur.

Telecommunicatiebedrijven en internetproviders spelen een centrale rol bij het identificeren van deze grootschalige dreigingen. Samenwerking tussen ISP’s en hardwarefabrikanten versnelt het blokkeren van kwaadaardige servers en het informeren van getroffen klanten voordat aanvallen grotere schade aanrichten.

Beveiligingsrichtlijnen voor beheerders

Cybersecurityprofessionals benadrukken dat preventief onderhoud de enige effectieve barrière is tegen zeer persistente malware. Het aannemen van een strikt toegangscontrolebeleid, het segmenteren van bedrijfsnetwerken, het implementeren van inbraakdetectiesystemen en het periodiek controleren van routerconfiguraties minimaliseren het aanvalsoppervlak dat beschikbaar is voor geautomatiseerde bedreigingen op het internet drastisch.