WrtHug Exploits Six ASUS WRT Flaws to Hijack Tens of Thousands of EoL Routers Worldwide

Opération WrtHug : Des milliers de routeurs ASUS compromis

Une campagne de piratage, baptisée “Opération WrtHug”, a compromis des dizaines de milliers de routeurs ASUS obsolètes à travers le monde, affectant principalement Taïwan, les États-Unis et la Russie. Plus de 50 000 adresses IP uniques de ces appareils ont été identifiées au cours des six derniers mois.

L’attaque semble exploiter six vulnérabilités connues des routeurs ASUS WRT obsolètes, permettant aux attaquants de prendre le contrôle de ces dispositifs via le service propriétaire ASUS AiCloud. Une caractéristique commune des routeurs infectés est un certificat TLS auto-signé, expiré dans 100 ans à partir d’avril 2022.

Bien que l’identité des acteurs derrière cette opération reste inconnue, la focalisation sur Taïwan et les similitudes avec d’autres campagnes de groupes de piratage chinois suggèrent une possible affiliation à la Chine. Les attaquants déploient des portes dérobées persistantes, souvent en abusant des fonctionnalités légitimes des routeurs pour assurer leur survie aux redémarrages ou mises à jour du firmware.

Points clés :

• Compromission massive de routeurs ASUS obsolètes via l’opération WrtHug.
• Exploitation de six vulnérabilités pour prendre le contrôle des appareils.
• Utilisation du service ASUS AiCloud et d’un certificat TLS suspect.
• Possibles liens avec des acteurs de menace chinois.

Vulnérabilités (avec CVE) :

• CVE-2023-41345
• CVE-2023-41346
• CVE-2023-41347
• CVE-2023-41348
• CVE-2023-39780 (également lié à la botnet AyySSHush)
• CVE-2024-12912
• CVE-2025-2492

Routeurs affectés (liste non exhaustive) :

• ASUS Wireless Router 4G-AC55U
• ASUS Wireless Router 4G-AC860U
• ASUS Wireless Router DSL-AC68U
• ASUS Wireless Router GT-AC5300
• ASUS Wireless Router GT-AX11000
• ASUS Wireless Router RT-AC1200HP
• ASUS Wireless Router RT-AC1300GPLUS
• ASUS Wireless Router RT-AC1300UHP

Recommandations :

L’article ne fournit pas de recommandations explicites, mais la nature de l’attaque sur des appareils obsolètes suggère fortement la nécessité de :

• Mettre à jour régulièrement les firmwares des routeurs.
• Envisager le remplacement des routeurs obsolètes ou qui ne reçoivent plus de mises à jour de sécurité.
• Désactiver les services inutiles ou potentiellement vulnérables comme ASUS AiCloud si non requis.
• Renforcer les configurations de sécurité des appareils réseau.

Source