Útok na router Asus : Ako zistiť, či si napadnutý a čo s tým urobiť

V posledných týždňoch sa objavili správy o masívnej kampani WrtHug, ktorá sa zameriava na staršie routery Asus s firmware AsusWRT. Bezpečnostní výskumníci odhadujú, že útok na router Asus zasiahol desiatky tisíc zariadení po celom svete – najmä v Ázii, USA a Európe.

Útočníci zneužívajú známe zraniteľnosti a menia bežný domáci router na tichého špióna a preposielaciu stanicu pre ďalšie útoky. Pre slovenské a české domácnosti je to nepríjemná správa – presne tieto staršie modely u nás stále bežne bežia v bytoch, domoch a malých firmách.

V tomto článku sa pozrieme na to, ako útok na router Asus funguje, ako zistíš, či si v ohrození, a čo konkrétne spraviť – aj v prípade, že tvoj model už Asus oficiálne nepodporuje.

Čo je WrtHug a prečo je útok na router Asus taký vážny?

WrtHug je názov rozsiahlej špionážnej operácie, pri ktorej útočníci kompromitovali viac ako 50 000 starších routerov Asus. Cieľom nie je „len“ spadnúť tvoj internet, ale vybudovať globálnu infraštruktúru pre špionáž a maskovanie ďalších útokov.

Zaujímavé body:

• Útočníci využívajú viacero zraniteľností v AsusWRT, vrátane chýb v službe AiCloud, príkazovej injekcie a obídenia autentizácie (viaceré CVE z rokov 2023–2025).

• Cieľom sú hlavne end-of-life (EoL) routery, ktoré už nedostávajú aktualizácie, ale stále bežia v domácnostiach a malých firmách.

• Výskumníci hovoria o tzv. Operational Relay Box (ORB) infraštruktúre – teda sieti zariadení, ktoré slúžia ako preposielacie body pre ďalšie hackerské operácie, pravdepodobne s väzbou na čínske štátom podporované skupiny.

Prečo je útok na router Asus horší než „bežný“ malware na PC?

• router je mimo pozornosti – nevidíš upozornenia ani okná antivíru,

• je to brána do celej siete – cez router tečie všetok tvoj internetový traffic,

• ak sa stane ORB uzlom, môžeš mať na svojej IP adrese cudzie útoky (a pri vyšetrovaní polícia vidí len tvoju stranu).

Ako technicky prebieha útok na router Asus (v ľudskej reči)

Nebudeme rozpisovať každý exploit, ale princíp útoku na router Asus sa dá zhrnúť do niekoľkých krokov:

1. Skenovanie internetu
   Útočníci skenujú internet a hľadajú routery Asus s:

   • povoleným AiCloud, vzdialeným prístupom z internetu alebo

   • známou zraniteľnou verziou AsusWRT.

2. Využitie zraniteľností
   Zraniteľnosti umožňujú:

   • obísť prihlásenie,

   • poslať routeru špeciálne upravený request, ktorý spustí ľubovoľný príkaz (command injection),

   • získať root prístup.

3. Inštalácia backdooru a perzistencia

   • útočník povolí SSH/Telnet alebo iný vzdialený prístup,

   • uloží si vlastný SSH public key do konfigurácie routera,

   • zmeny ukladá tak, aby prežili reštart a niekedy aj update firmvéru.

4. Špeciálny TLS certifikát na 100 rokov
   WrtHug používa unikátny samo-podpísaný TLS certifikát s extrémne dlhou platnosťou (cca 100 rokov). To je digitálny odtlačok, podľa ktorého výskumníci identifikujú napadnuté routery.

5. Preposielanie prevádzky (ORB)
   Napadnutý router funguje ako:

   • proxy – útočník cez teba útočí na ďalšie ciele,

   • recon uzol – zbiera informácie o sieti, do ktorej je zapojený,

   • prípadne bod pre exfiltráciu dát z iných kompromitovaných systémov.

Pre bežného používateľa to zvonku vyzerá takto: internet ide, Wi-Fi svieti, možno je router trochu pomalší – a popri tom cez tvoju IP adresu prebieha cudzia operácia.

Prečo sa to týka aj Slovenska a Česka

Oficiálne reporty hovoria o najväčšom počte napadnutých routerov v Taiwane, USA a Rusku, ale analyzované IP adresy ukazujú aj Európu vrátane našich končín.

Prečo máme u nás problém:

• staršie modely Asus (RT-AC séria a ďalšie) sa stále predávajú na bazároch a v malých obchodoch,

• množstvo ľudí kupuje router raz za 8–10 rokov a firmvér neaktualizuje vôbec,

• malé firmy používajú Asus ako „kvázi firewall“ pre celú kanceláriu,

• niektorí lokálni ISP nechávajú na zákazníkoch administráciu a nezaoberajú sa patchovaním.

Ak niekto hľadá „lacný gigabitový router“ a skončí pri akcii na starší model, reálne si môže kúpiť už dávno EoL zariadenie, ktoré je dnes prioritným cieľom WrtHug.

Ako zistiť, či je tvoj Asus router v kampani WrtHug alebo AyySSHush

1. Zisti model a verziu firmvéru

Prihlás sa do webového rozhrania routera:

• väčšinou http://192.168.1.1 alebo http://router.asus.com,

• v hornej časti alebo v časti Administration → System/Status uvidíš model a verziu firmvéru.

Porovnaj ich s:

• oficiálnym ASUS security advisory, kde sú uvedené ovplyvnené modely a verzie firmvérov,

• zoznamami zraniteľných modelov v reportoch o WrtHug a AyySSHush.

Ak máš model z RT-AC/AX série s podporou AiCloud a beží na staršom firmvéri, ber to ako červenú vlajku.

2. Skontroluj, či máš zapnutý AiCloud a vzdialený prístup

V rozhraní routera:

• nájdi AiCloud – ak službu nepoužívaš, mala by byť vypnutá,

• v časti Administration → System alebo WAN skontroluj:

  • „Remote Access from WAN“,

  • „Enable Web Access from WAN“,

  • „Enable SSH/Telnet from WAN“.

Ak je čokoľvek z toho zapnuté a používaš default porty, riziko je vysoké.

3. Skontroluj SSH a používateľov

V nastaveniach:

• pozri, či nie je povolený SSH server (najmä z internetu),

• skontroluj, či neexistujú neznámi používatelia alebo zvláštne účty.

V kampani AyySSHush útočníci práve cez SSH vysadili trvalý backdoor, ktorý prežil update firmvéru.

4. Pokročilé: certifikát a sieťová analýza

Pre skúsených používateľov:

• dá sa skontrolovať TLS certifikát, ktorý router používa pri HTTPS managemente – ak sedí na unikátny fingerprint používaný vo WrtHug, je to silný indikátor kompromitácie,

• sledovať odchádzajúce spojenia routera v nástrojoch ako Wireshark alebo na periférnom firewalle – neznáme TLS spojenia na divné IP mimo tvojho ISP sú podozrivé.

Čo urobiť hneď teraz: incident response pre domácnosť

Ak máš podozrenie, že ťa zasiahol útok na router Asus, odporúčam postup:

1. Odpoj router od internetu

   • vytiahni WAN kábel alebo vypni modem – lokálna Wi-Fi môže bežať, ale router nebude komunikovať von.

2. Zálohuj si nastavenia (len ak vieš, čo robíš)

   • ak si expert, môžeš si konfiguráciu stiahnuť na analýzu,

   • pre bežného používateľa to nie je nutné, dôležitejšia je čistota.

3. Aktualizuj firmvér

   • z webu Asusu stiahni posledný dostupný firmvér pre svoj model,

   • Asus v reakcii na nové kampane vydal nové záplaty, najmä pre AiCloud a ďalšie vážne zraniteľnosti.

4. Factory reset (továrenské nastavenia)

   • po update odporúčam úplný reset do továrenských nastavení tlačidlom na zariadení,

   • tým odstrániš väčšinu perzistentných zmien (napr. pridané SSH kľúče); kampane typu AyySSHush síce prežijú samotný update firmvéru, ale nie vždy factory reset konfigurácie.

5. Nová konfigurácia od nuly

   • nastav nové admin heslo,

   • vypni AiCloud, vzdialený prístup z internetu a UPnP (ak ho naozaj nepotrebuješ),

   • nastav silné Wi-Fi heslo a ideálne aj WPA3, ak to model podporuje.

6. Zmeň heslá na dôležitých účtoch

   • ak vieš, že si cez tento router riešil VPN do práce, bankovníctvo alebo admin GUI iných zariadení, zváž zmenu hesiel – pre istotu.

Ako „patchovať“ starý Asus router, ktorý už nemá podporu

Tu prichádza tvrdá realita: ak máš model, ktorý už Asus vyhlásil za EoL a posledný firmvér je niekoľko rokov starý, software patch jednoducho neexistuje.

Možnosti:

1. Ideálne riešenie: kúpiť nový router

• vyber si router s aktívnou podporou a jasnou security politikou výrobcu,

• sleduj, ako často vydáva firmvéry (min. párkrát do roka),

• pri výbere sa pozeraj aj na dĺžku podpory – nie je jedno, či dostaneš update 2 roky alebo 8 rokov.

2. Dočasné riešenie: starý Asus prepnúť do „hlúpeho“ režimu

Ak teraz nemáš rozpočet:

1. kúp nový, bezpečnejší router (napr. Mikrotik, iný model, ktorý vieš spravovať),

2. nový router daj na hranicu siete – on bude robiť NAT, firewall, DHCP,

3. starý Asus:

   • vypni Wi-Fi, AiCloud, UPnP a všetko, čo nepotrebuješ,

   • nastav ho ako čistý access point alebo switch v internej sieti,

   • zakáž na ňom vzdialený prístup z internetu a ak sa dá, aj management z bežného LAN segmentu (len z admin VLAN).

Tým síce úplne nevymažeš riziko, ale posunieš ho z „priamo na internete“ do vnútra siete, kde už pred ním stojí normálny firewall.

3. Pokročilé riešenie: alternatívny firmware (OpenWrt a pod.)

Pre technicky zdatných:

• niektoré podporované modely môžu dostať OpenWrt alebo iný komunitný firmware,

• pozor: flashovanie nesie riziko „bricknutia“ zariadenia a nie je pre bežného používateľa,

• plus, aj OpenWrt treba priebežne aktualizovať – inak budeš za pár rokov v rovnakej situácii.

Menej známe fakty: ORB infraštruktúra, 100-ročné certifikáty a domáci používateľ v strede geopolitiky

To, čo bežné správy často nespomenú, ale pre bezpečnostný pohľad je kľúčové:

• WrtHug a AyySSHush nie sú „náhodné botnety“. Ide o súčasť väčšej stratégie ORB (Operational Relay Box) – útočníci si z domácich routerov robia obrovskú sieť preposielacích staníc, cez ktorú maskujú iné operácie.

• unikátny self-signed TLS certifikát s 100-ročnou platnosťou slúži ako „značka gangu“ – podľa nej vedia výskumníci sledovať rovnakú kampaň v rôznych krajinách, rôznych ISP a časových obdobiach.

• napadnutý router môže byť len jeden z článkov reťaze – cez tvoju IP adresu môže ísť útok na tretiu firmu, ktorá s tebou nemá nič spoločné.

Praktický dôsledok:

Ak sa niečo veľké stane (napr. útok na infraštruktúru alebo štátnu inštitúciu) a forenzná analýza ukáže IP adresu tvojej domácnosti, chceš mať istotu, že vieš vysvetliť, čo bežalo na tvojom routeri a či bol zabezpečený.

Môj pohľad: čo by som urobil ja, keby som našiel Asus u rodičov

Úplne prakticky, bez marketingu:

1. Skontroloval by som model a firmvér – ak je na oficiálnom EoL zozname alebo má posledný update spred XY rokov, beriem to ako „legacy“.

2. Ak je model ešte podporovaný, okamžite update, factory reset a vypnutie AiCloud, UPnP a vzdialeného prístupu.

3. Ak už nie je podporovaný:

   • kúpil by som nový router a Asus posunul max. do role AP (a aj to len krátkodobo),

   • pre rodičov by som nastavil čo najjednoduchšie pravidlá:

     • žiadne prihlásenie sa na router z internetu,

     • žiadne „domáce cloudy“ bez pochopenia, ako fungujú,

     • pravidelná kontrola, či je na router dostupný update (alebo im to spravím ja).

Inak povedané – útok na router Asus beriem ako pripomienku, že router je rovnako kritický ako počítač. Keď je OS 10 rokov bez patchov, nikto ho nepovažuje za bezpečný. Pri routeroch to ľudia stále ignorujú.

Check-list: 10 krokov, ako prežiť útok na router Asus bez paniky

1. Zisti model a verziu firmvéru svojho Asus routera.

2. Over, či je model ešte podporovaný alebo už EoL. _Asus+1

3. Ak je podporovaný – aktualizuj na najnovší firmvér.

4. Urob factory reset a nastav router od nuly.

5. Vypni AiCloud, UPnP a vzdialený prístup z internetu, pokiaľ ich nevyužívaš.

6. Nastav silné admin heslo a Wi-Fi heslo (ideálne WPA3).

7. Skontroluj, či nemáš povolené SSH/Telnet z WAN a či neexistujú zvláštni používatelia.

8. Ak je router starý a bez podpory – plánuj čím skôr výmenu.

9. Pre kritické zariadenia (NAS, NVR, pracovné PC) zvaž dodatočný firewall alebo segmentáciu siete.

10. Raz za pár mesiacov skontroluj, či Asus nevydal nové security advisory a či nevznikli nové kampane zamerané na tvoj model.

Záver a súvisiace články

Útok na router Asus nie je len ďalšia titulka z kyber-bezpečnostného webu. Je to ukážka toho, že:

• „malý“ domáci router môže hrať veľkú úlohu v globálnej špionážnej kampani,

• ignorovanie firmvérov je rovnako nebezpečné ako ignorovanie Windows update,

• staré EoL zariadenia patria do izolácie alebo do zberu, nie na hranicu siete.

Sleduj aj ďalšie moje články o kybernetickej bezpečnosti.

Zdroje :

SecurityScoreCard , TechRadar , Asus