Des chercheurs en cybersécurité ont identifié une campagne de compromission sophistiquée visant les routeurs ASUS.
Baptisée AyySSHush, cette attaque tire parti de configurations SSH faibles et de vulnérabilités non corrigées pour intégrer les routeurs dans un botnet
Le nom AyySSHush est un jeu de mots sur « SSH » (Secure Shell) et « hush » (se taire), évoquant la discrétion de l’attaque, qui évite d’être détectée tout en établissant une porte dérobée persistante via SSH. Il fait également référence à des chaînes de caractères retrouvées dans les scripts d’attaque et aux fichiers de configuration générés par les opérateurs du botnet.
Une fois qu’un appareil est infecté, il devient un nœud du botnet et peut recevoir des ordres via un serveur de commande et de contrôle (C2).
Un botnet (contraction de robot network) est un réseau de machines compromises, aussi appelées bots ou zombies, contrôlées à distance par un acteur malveillant (appelé botmaster). Ces machines peuvent être des ordinateurs, des serveurs… ou des routeurs, comme dans le cas d’AyySSHush.
Les attaquants scannent des plages IP à la recherche de routeurs ASUS exposant des ports SSH non par défaut (souvent 2222, 8022, etc.), souvent utilisés par les utilisateurs pour un accès distant.
Les routeurs compromis rejoignent un réseau distribué qui sert à plusieurs fins :
- Attaques DDoS (UDP, TCP SYN, HTTP flood)
- Tunneling de trafic (proxy inversé ou SOCKS)
- Scan de nouvelles cibles
- Déploiement de malwares additionnels
Les modèles les plus touchés sont ceux disposant d’un firmware ASUSWRT non à jour, notamment :
- ASUS RT-AC68U
- ASUS RT-AC86U
- ASUS RT-AX88U
- ASUS GT-AC2900
Comment se protéger ?
- Mises à jour du firmware : Vérifiez régulièrement les mises à jour depuis le site officiel ASUS ou via l’interface web.
- Désactiver l’accès SSH distant : Ne laissez pas le port SSH accessible depuis Internet, ou utilisez un VPN comme couche de protection.
- Changer les ports et mots de passe par défaut : Optez pour des mots de passe complexes, et changez le port SSH si son usage est nécessaire.
