El fabricante ASUS ha lanzado un aviso de seguridad porque un malware conocido como Cyclops Blink vinculado a Rusia, está atacando de manera muy activa sus routers alrededor de todo el mundo. Este malware está vinculado a un grupo de piratas informáticos respaldado por Rusia, y se está centrando en dispositivos domésticos y de pequeñas y medianas oficinas para infectarlos y hacerse con el control total de los mismos. 

Malware

Este nuevo malware infecta algunos modelos de routers de ASUS vulnerables, es capaz de explotar una vulnerabilidad para entrar en el router e instalarse de forma persistente. Esto significa que si reseteas el router, el router volverá a los parámetros de fábrica, pero el malware Cyclops Blink seguirá estando presente, no se eliminará, por lo que es un problema bastante importante para la gran mayoría de los usuarios. Este nuevo virus es modular, por lo que puede tener varios objetivos sin ningún problema, y en los últimos días se ha detectado un nuevo módulo que lo que hace es infectar los routers de ASUS según ha declarado TrendMicro.

Debemos recordar que TrendMicro es la empresa de ciberseguridad encargada de proporcionar la seguridad a los routers de ASUS con ASUS AiProtection y AiProtection Pro. Esta tecnología de TrendMicro proporciona seguridad a los clientes frente a las amenazas de Internet, incluyendo un potente Sistema de Prevención de Intrusiones (IPS) bidireccional.

Este malware permite leer la memoria flash del router de ASUS para recopilar información sobre archivos críticos, ejecutables, datos y bibliotecas. Posteriormente, el malware recibe un comando para instalarse en esta memoria flash y establecer una persistencia permanente, ya que este espacio no se borra con el típico RESET de fábrica. Ahora mismo la propagación de este malware es generalizado, por lo que es muy importante que protejas adecuadamente tu router ASUS. Es muy probable que este malware incorpore próximamente un módulo para atacar a otros routers domésticos y de pequeñas y medianas oficinas.

Modelos de routers ASUS afectados

En el aviso de seguridad de ASUS, han detallado todos los modelos de routers que podrían ser afectados por este malware. A continuación, tenéis todos los modelos afectados:

• GT-AC5300
• GT-AC2900
• RT-AC5300
• RT-AC88U
• RT-AC3100
• RT-AC86U
• RT-AC68U, AC68R, AC68W, AC68P
• RT-AC66U_B1
• RT-AC3200
• RT-AC2900
• RT-AC1900P, RT-AC1900P
• RT-AC87U (EOL)
• RT-AC66U (EOL)
• RT-AC56U (EOL)

Los modelos EOL no recibirán una actualización de firmware, por lo que deberías reemplazar el router lo antes posible para evitar ser infectado por este malware. No obstante, es posible que hagan una excepción y en unas semanas lancen un firmware de emergencia para solucionar estos problemas.

Tal y como podéis ver, la mayoría de routers Wi-Fi 5 del fabricante están afectados por este malware, por lo tanto, os recomendamos estar vigilantes sobre nuevas actualizaciones de firmware para mitigar este problema.

¿Qué puedo hacer para proteger mi router ASUS?

Si no has sido infectado por este malware, lo que debes hacer es lo siguiente para prevenir que lo seas:

• Actualizar a la última versión de firmware disponible, y estar muy pendiente de las actualizaciones.
• Asegurarse que la contraseña de administración es robusta y no es fácil de adivinar.
• Deshabilitar la gestión remota del router, ya sea a través de web vía HTTP/HTTPS o a través de SSH.
• Desactiva AiCloud 2.0 del router.

Si ya has sido infectado por este malware, entonces debes hacer lo siguiente:

• Volver a flashear el router con un firmware, ya sea el actual o uno nuevo, de forma manual. Haciendo esto, la parte de la memoria flash donde está el malware debería ser sobrescrita. Aunque en algunos sitios indican que es obligatorio comprar un nuevo router debido a la persistencia, esto no es correcto, con flashear un nuevo firmware debería ser suficiente.
• Actualizar el router con la última versión de firmware
• Tomar las medidas de seguridad anteriores sobre contraseña de administración, deshabilitar gestión remota del router y AiCloud 2.0.

Una vez más se ha vuelto a demostrar que habilitar gestión remota de un dispositivo no es nada seguro, por lo que si necesitas acceder a tu router ASUS utiliza los servidores VPN de OpenVPN, IPsec o Instant Guard, porque tenemos muchas opciones donde elegir y no hay razón para no utilizar estos servicios.

Fuentes:

https://www.bleepingcomputer.com/news/security/asus-warns-of-cyclops-blink-malware-attacks-targeting-routers/

https://www.redeszone.net/noticias/seguridad/router-asus-peligro-virus-cyclops-blink-protegelo/

https://www.asus.com/content/ASUS-Product-Security-Advisory/

https://www.trendmicro.com/en_us/research/22/c/cyclops-blink-sets-sights-on-asus-routers--.html