Half miljoen routers besmet met gevaarlijke malware

Securityfirma Talos onthulde gisteren het bestaan van de malware VPNFilter, een malware-variant dat ondertussen zo’n 500.000 routers en NAS’en wereldwijd zou besmet hebben. Tot nu toe heeft Talos, dat een onderdeel vormt van het netwerkbedrijf Cisco, infecties bij verschillende consumentenproducten van Linksys, Netgear, MikroTik, en TP-Link vastgesteld; alsook bij de Network-Attached Storage-apparaten van QNAP. De malware kan communicatiedata verzamelen, exploits uitvoeren en heeft ook de mogelijkheid om routerhardware te beschadigen en te vernietigen.

Russische connectie

VPNFilter is een erg geavanceerd programma. Talos wijst erop dat de malware een reboot van een toestel kan overleven, een capaciteit die erg zeldzaam is bij virussen geschreven om Internet-of-Things-toestellen te infecteren. Daarnaast overlapt de gebruikte code deels met een andere beruchte malware, BlackEnergy. BlackEnergy was het programma dat in december 2016 een deel van het energienetwerk van Oekraïne platlegde, een grootschalige cyberaanval die wordt toegeschreven aan de Russische overheid.

Talos gaat niet zo ver dat het Rusland aanwijst als schuldige, maar het merkt wel op dat de malware “Oekraïense toestellen actief besmet aan een alarmerend tempo”. Na het afwegen van de risico’s op een nieuwe cyberaanval koos het securitybedrijf ervoor om de informatie die het nu heeft al openbaar te maken, ook al is zijn onderzoek naar VPNFilter nog niet helemaal afgerond. “We beoordelen met een hoge mate van zekerheid dat deze malware gebruikt wordt om een uitgebreide en moeilijk te identificeren infrastructuur te creëren die voor verschillende doeleinden kan ingezet worden door de groep die er achter zit,” aldus Talos.

Herstarten

Omdat VPNFilter zichzelf kan maskeren is het moeilijk om een infectie vast te stellen. Daarnaast zijn routers slecht uitgerust om zich te beschermen tegen geavanceerde malware. Ze hebben vaak geen ingebouwde antivirussoftware, ze zijn moeilijk te patchen en zijn vaak rechtstreeks met het internet verbonden zonder veiligheidsmechanismes. Talos raadt dan ook aan om alle potentieel getroffen routers en NAS’en opnieuw op te starten. Dat verwijdert de malware niet definitief, maar schakelt wel de schadelijke componenten van de software uit. Verder is het wachten op eventuele patches die routerbedrijven uitbrengen. Talos lijst de specifieke toestellen die kwetsbaar zijn voor VPNFilter op in zijn verslag, dat je hier vindt.