Názory k článku
Routery Asus jsou napadány, útočník do nich přidává trvalá zadní vrátka

V polsku jsem jich našel 34
https://search.censys.io/search?resource=hosts&sort=RELEVANCE&per_page=25&virtual_hosts=EXCLUDE&q=same_service%28services.port%3A53282+and+services.service_name%3D%60SSH%60%29+and+*Poland*

Na Slovensku jeden
https://search.censys.io/search?resource=hosts&sort=RELEVANCE&per_page=25&virtual_hosts=EXCLUDE&q=same_service(services.port%3A53282+and+services.service_name%3D`SSH`)+and+*Slo­vakia*

23 v madarsku.

V CZE mi to nic nenajde

29. 5. 2025, 14:12 editováno autorem komentáře

Info také zde
https://www.scworld.com/news/asus-router-backdoors-affect-9k-devices-persist-after-firmware-updates

Keď je známy SSH kľúč a port, je ťažké spraviť skript, ktorý by vyhľadal na nete dostupné zariadenia, prihlásil sa cez SSH s daným kľúčom, poslal príkaz na aktualizáciu zariadenia, zmazal daný SSH kľúč a jednoducho tak zaplátoval všetky infikované zariadenia?

Známý je pouze veřejný klíč. Privátní k dispozici není, takže přihlásit se nedá. Z veřejného klíče nelze privátní odvodit, to je základní princip asymetrické kryptografie.

Fakt by byl takový problém vydat firmware, který jimiž napadené nastavení vyčistí? To jsou v Asusu fakt takoví fušeři?

Nebyl, ale kdo by to dělal a co by tím získali? Jim je to úplně jedno, protože jejim zákazníkům je to úplně jedno. Lidem co tohle vadí si nepořídí Asus nebo na něj nahrají OpenWRT.

Otazka co je dobry router, a jak to ma zakaznik poznat? Kdyz si procitas diskuze, tak najdes nadavky na kazdou firmu. V recenzich obvykle hodnoti diletanti kteri to pusti, zkusi 5 minut a napisou recenzi. Pak je taky hromada fejkovych recenzi.
Cimz chci rict, ze je pomerne komplikovane vybrat elektronicke zarizeni kdyz dane oblasti zakaznik nerozumi.

A tedy mozna to spouste zakaznikum by to nebylo jedno, ale o problemu se nejspis nedovi, problemu nebudou rozumet, a pripadne nevi jak by problem vyresili (openwrt taky nepodporuje vsechny verze).

No ale ti co tomu nerozumí budou slyšet právě na Super Enhanced WiFi 16 MIMO 100x100 atp. Prostě čím vyšší číslo tím lepší. Nebo budou vybírat podle toho jaký to má design.

Obcas je to tradeoff a rozhodovani neni jednoduche ani pro lidi co to znaji. Mam poridit mikroblik s dobrym managementem a 1-2 generace wifi radiem pozadu a nebo vyborny radio Uhni I Ty se silenym managementem ? Mam poridit Turrise s TakynasplacanyOS co mel incest s OpenWrt, ktery my pri kazde zmene vyrobi vrasky na cele * pocet deploymentu?
Nepo mam poridit na doma snad radio od ruckus ci meraki?

Tak ono vybírat podle designu je taky podstatné protože často ty routery stojí někde doma na skříni nebo nedejbože na nějakém ještě viditelnějším místě a člověk prostě nechce, aby to vypadalo úplně blbě. A že často bohužel vypadá.

dnes je prakticky asi nejlepší router takový, který vlastně není tvůj a nespravuješ ho aneb vzít si ho od operátora a nechat odpovědnost na něm.

Dokud se router bude prodávat za jednorázovou cenu, nelze čekat, že výrobci budou věnovat více energie do jejich aktualizací a udržování. Budou dělat jen to minimum, co je potřeba.

Prakticky v běžných eshopech není z čeho vybírat. Házet si tam vlastní OS je pak už úplně jiná liga a hlavně časové nároky na aktualizace čtení release notes pro jednotlivé balíčky.

Bohuzel velci operatori casto nezvladaji management te wifi casti nedejboze validace jestli nastaveni vlanu ci stp funguje dobre. Protoze tohle rezidencni sitovani je mimo jejich zaber a ja to chapu. Je to jina sfera zodpovednosti a jiny druh problemu. Takze bych byl rad aby se do toho nemontovali.
Nestojim o to aby mi ISP palil na plny vykon na nejvytizenejsim kanalu v okoli. Nebo aby mlamoj bez zjistovani jestli mi na tom nevysi nejake stare zarizenivypnul b/g nebo z vlastni vule zapinal ci vypinal 2,4G/5G wifi (zdravim vodafone!). Navic situace s wifi pasmy zejmena ve vetsich zahustenych obytnych celcich je znacne dynamicka a automaticke mechanismy u tech spotrebnich wifin v routerech to proste nedavaji.
Nehlede na to ze ISP bude tezko udrzovat setup nekolika AP po dome a resit aby se indoor nerusil s outdoorem od druheho ISP.

Prave tu kritizovany Asus je na to velmi dobre.
Ma dlhu podporu a pravidelne vydava updaty.
Ako som uz tu spominal, tak mam router, ktory bol vydan pred 9 rokmi a az koncom roka mu skoncila podpora. 8 rokov podpora. Nezda sa mi to malo.
Plus vdaka tomu, ze prelsina AsusWRT, tak existuje aj alternativny firmware, z ktoreho niekore veci prebera aj Asus spet.
Aj Asus podpora celkom funguje. Hlasil som par krat nejaky problem a normalne komunikovali a mali snahu vyriesit problem.

Ako pri smarfonoch,tak aj tu by som cakal iniciativu EU, ktora od juna zavadza pri smartfonoch povinnu podpotu od vyrobcu 5 rokov po skonceni predaja smartfonu.
Hovorilo sa o niecom takom ale zatial nic.

Router možná, ale to by ten router musel být bez Wi-Fi jen s ethernetovým portem a v bridge režimu. Jenomže dementizace produktu je dementizace produktu.

Na zaklde coho sa domnievas, ze v Asusu su taki fuseri?

Kolko sa o tomto vie? Verejne od stredy asi.
Vieme, ci a kedy bol kontaktovany Asus?

Nieje predpoklad, ze vecsina tychto routerov je neupdatovanych takze aj ked Asus vyda firmware, ktory by to riesil, tak to pravdepdobone nijako nezlepsi situaciu.
V podstate ak by boli tie routre updatnute, tak by neboli napadnute alebo v o dost mensej miere.
Kolko ma Asus roznych modelov? Kolko z danym modelov je uz EOL? Kolko % zo vsetkych Asusu routrov je tych ~9000?
Kolko casu moze trvat analyzovat problem, najst najlepsie riesenie, otestovat a distribuovat firmware pre vsetky podporovane routre?

Je to naozaj taka fuserina?

Mne to tak nepride. Alebo aspon zatial nie.

Neviem ako by si nazval ine horsie znacky, kde si rad, ze vidis nejaky firmware.
Ak by aj ostatny vyrobocvia vydaval tak pravidelne a tak dlho firmware pre ich routre, tak super.
Mam 9 rocny Asus router a podpora mu skoncila koncom roka 2024. Updatov dostal sluzne za tu dobu.

Kdysi jsem se smál, když kamarád této značce říkal "Aušus", ale čím dál víc ho začínám chápat.

Blahe pameti WL500 byly jedine rady na kterych nam bezela na vystavnim stanku splacany pristup k internetu pres CDMA-EVDO 2000 (neb provozovatel veletrhu chtel naprosto nechutne penize za konektivitu ) a mini NASka pro obchodaky. Pak to vozili kazdej rok.
Ach ta polovicata reseni u ceskych firem splacana 3 hodiny pred zahajenim :-) Tohle mi obcas schazi :-) Uz jsem jen IT duchna s papirama...

WL500 byly úžasné routery! Ve své době to bylo při rozhodně konkurenceschopné ceně úžasně konfigurovatelné zařízení, na kterém šlo rozchodit kde co.
Počínaje OpenVPN, přes domání mikroNAS, po třebas tiskový a scanovací server. Jen škoda, že poslední modely byly takové aušusové...

Trochu podrobnější informace tady:
https://www.labs.greynoise.io/grimoire/2025-03-28-ayysshush/

Když na to koukám, tak z toho vyplývá, že je ten primární vstup je "klasická" zranitelnost webového rozhraní.

To je ve výchozím nastavení nepřístupné z WAN sítě a musí se explicitně povolit.
Což je ta základní blbost, co ti uživatelé dělají. Je to vidět i třeba na těch scanech z Polska, co posílal výše Krakonoš.. 80, 443, 8433 atp. (spousta hostů už není teď dostupná, ale na pár to ještě žije).

Ne že by se to nedalo zneužít z LAN, ale to už je hodně nad rámec obvyklých remote scanů. Útočník by musel využít nějakou zranitelnost jiného software nebo systému, propašovat malware na klienta do LAN, skenovat bránu a pokusit se jí ovládat.

Podobnou věc měli historicky snad všichni výrobci domácích modemů nebo routerů (od Zyxelu, přes TP Link až Netgear, Tenda). Zrovna ASUS bych z toho nevyčleňoval jako extra špatný. Průběžně to opravují (otázka pak jak, viz ten linkovaný článek..), párkrát jsem s nimi něco řešil a třeba do měsíce to opravili (nejdřív privátní betu, pak release), byť je samozřejmě potíž s širokou modelovou řadou a tunou zařízení v provozu, co budou už několik let po EOL.

Spíš by za mě měla být všude cedule jak vrata (včetně přímo těch webových rozhraní s varováním a odkazem na web a dalším potvrzením heslem), že přímý přístup z WAN do "pofidérního" webového rozhraní je principiálně nebezpečný.
Na webu v nějakém FAQ článku bych to klidně rozvedl i s návodem na případné zprovoznění vestavěné VPN, kterou většina těch zařízení má, pokud by to někdo opravdu potřeboval.

Changelog u nového fw musel psát průmyslový básník. Jak napsat spoustu písmenek a nesdělit nic podstatného. Je to v kontrastu s předchozími věcnými popisy.
Velké + za to, že Asus vydal opravené FW i pro (některé?) EOL routery, na které už 5 let nic nevyšlo. Jen tedy se ta aktualizace nenašla sama, musíte ji najít ručně.

1. 6. 2025, 13:36 editováno autorem komentáře