巧妙なサイバー攻撃により世界中で9,000台以上の Asus ルーターが侵害され、セキュリティ研究者らは、この攻撃キャンペーンが将来の大規模ボットネット作戦の基盤を築いているようだと警告している。 AyySSHush と名付けられたこの攻撃は、消費者向けネットワーク機器を標的とした脅威の憂慮すべき拡大を表している。
攻撃のタイムラインと規模
- 攻撃発見日：2025年3月18日
- 公開発表：2025年5月
- 影響を受けたデバイス：9,500台超の Asus ルーター（増加中）
- 観測された悪意のあるリクエスト：3か月間でわずか30件
高度な攻撃手法がルーターの脆弱性を標的に
このキャンペーンの背後にいるサイバー犯罪者らは、 Asus ルーターへの不正アクセスを獲得するために複数の巧妙な技術を使用した。彼らはブルートフォースログイン攻撃と2つの異なる認証バイパス手法を組み合わせて利用し、同時にまだ公式の CVE 指定を受けていない未知の脆弱性も悪用した。システム内部に侵入した後、攻撃者らは CVE-2023-39780 として特定された既知のセキュリティ欠陥を悪用して任意のシステムコマンドを実行し、持続的なアクセスを確立した。
技術的詳細
- 主要な脆弱性： CVE-2023-39780 （コマンドインジェクションの欠陥）
- バックドアの場所：不揮発性メモリ（ NVRAM ）
- SSH アクセスポート： TCP/53282
- ブロックすべき悪意のある IP アドレス： 101.99.91.151 、 101.99.94.173 、 79.141.163.179 、 111.90.146.237
持続的なバックドアがファームウェア更新後も残存
この攻撃を特に憂慮すべきものにしているのは、攻撃者らがバックドアを保存するために不揮発性メモリ（ NVRAM ）を使用していることである。この戦略的な配置により、ユーザーがルーターを再起動したりファームウェアを更新したりしても、悪意のあるアクセスポイントはそのまま残存する。犯罪者らはまた、痕跡を隠すためにログ機能を無効化しており、セキュリティ企業 GreyNoise が高度持続的脅威（ APT ）アクターと関連付ける高レベルの作戦セキュリティ意識を実証している。
 |
|---|
| 最近のサイバー攻撃で侵害されたものと同様の Asus ルーターは、消費者向けネットワークデバイスの脆弱性を浮き彫りにしている |
ステルス作戦は国家関与を示唆
侵害されたデバイスの数が多いにもかかわらず、研究者らは3か月間でわずか30件の関連アクセス要求しか観測しておらず、キャンペーンがゆっくりと慎重に進行していることを示している。 GreyNoise の分析によると、この慎重なアプローチは国家アクターまたは敵対的政府のために活動するグループと一致している。セキュリティ企業は、政府および業界パートナーと影響について協議する時間を確保するため、3月から5月まで意図的に調査結果の公開を待った。
消費者ネットワークインフラへの脅威の拡大
この攻撃は、サイバー犯罪者らが家庭および小規模企業のネットワーク機器を標的とする傾向の拡大を浮き彫りにしている。 Bambenek Consulting の社長である John Bambenek 氏は、巧妙な攻撃者らが単純な暗号通貨マイニング作戦を超えた目的でこれらのデバイスにますます焦点を当てていると指摘した。家庭ユーザーが直接的なリスクに直面することは最小限だが、侵害されたルーターは他の標的への攻撃に無意識に参加することになり、日常的なインターネット使用中にセキュリティ上の課題が増大する可能性がある。
Asus がパッチとユーザーガイダンスで対応
Asus は影響を受けるユーザー向けに包括的なガイダンスを発行し、 CVE-2023-39780 脆弱性が最新のファームウェア更新でパッチされたことを確認した。同社は該当するユーザーにプッシュ通知を送信し、セキュリティアドバイザリリソースを更新した。しかし、すでに侵害されたルーターについては、 Asus は SSH アクセスの無効化、特定の悪意のある IP アドレスのブロック、工場出荷時設定へのリセット後の手動再設定を含む複数段階の修復プロセスを推奨している。
侵害されたルーターの修復手順
- ファームウェアを最新バージョンに更新する
- 工場出荷時設定にリセットする
- SSH エントリを無効化するか、悪意のある SSH キーを削除する
- 特定された悪意のある IP アドレスをブロックする
- 強力な管理者パスワードを設定する
- リモートアクセス機能（ SSH 、 DDNS 、 AiCloud 、 WAN からの Web アクセス）を無効化する
検出と予防措置
ユーザーは、ポート53282で設定された不正アクセスについてデバイスの SSH 設定を調べることで、ルーターが侵害されているかどうかを確認できる。悪意のある設定には、ssh-rsa AAAAB3NzaC1yc2EAAAABIwAAAQEAo41nBoVFfj4HlVMGV+YPsxMDrMlbdDZ で始まる特定の切り詰められた SSH 公開鍵が含まれている。セキュリティ専門家は、予防措置として SSH 、 DDNS 、 AiCloud 、 WAN からの Web アクセスを含むすべてのリモートアクセス機能を無効にすることを推奨しており、ほとんどのユーザーはこれらの管理インターフェースを有効にする必要がほとんどないと指摘している。