近日，网络安全领域传来新警报，知名平台GreyNoise在5月28日发布的一项报告指出，一场大规模网络攻击事件导致近9000台华硕路由器被不法分子悄悄植入了后门程序，这些设备未来有可能被用于组建僵尸网络，对网络安全构成严重威胁。
面对这一紧急情况，华硕公司迅速响应，已经发布了针对受影响路由器的固件修复程序。然而，GreyNoise特别提醒，对于那些在更新固件之前已经被植入后门的设备，仅仅进行固件更新是不足以彻底解决问题的。用户必须先将设备完全恢复出厂设置，并进行重新配置，才能确保后门程序被彻底清除。
在这份详尽的报告中，GreyNoise详细阐述了两种关键的安全漏洞：身份认证绕过访问漏洞和命令执行漏洞。其中，一种尚未获得CVE编号的漏洞影响了华硕RT-AC3200和RT-AC3100型号的路由器。攻击者通过伪装成华硕官方用户代理，并使用特定的cookie格式，能够在身份验证流程中提前终止字符串解析，从而绕过正常的认证步骤。
而CVE-2021-32030漏洞则专门针对华硕GT-AC2900和Lyra Mini设备，同样允许攻击者绕过身份认证。一旦攻击者成功获得认证访问权限，他们就可以利用设备内置的设置和安全漏洞，在TCP/53282端口上建立SSH连接，并设置一个由攻击者控制的公钥，以实现持久的远程访问。
在命令执行方面，GreyNoise发现了针对华硕RT-AX55系列型号的CVE-2023-39780漏洞。攻击者可以利用Bandwidth SQLite Logging（BWSQL）嵌入日志功能中的脚本注入漏洞，执行用户控制的数据。这一漏洞的发现进一步加剧了网络安全形势的严峻性。
根据GreyNoise的扫描数据，截至5月27日，全球范围内已有近9000台华硕路由器被确认遭到入侵。值得注意的是，这些后门配置并非存储在硬盘上，而是被存储在非易失性随机存取存储器（NVRAM）中。这意味着，即使设备被重启或固件得到更新，后门程序仍然会存在，除非用户手动进行检查和清除。
GreyNoise强烈建议，所有使用华硕路由器的用户应立即检查自己的设备是否可能受到感染。对于疑似受感染的设备，用户应执行完全恢复出厂设置并重新配置的操作，同时仔细检查TCP/53282端口的SSH访问权限以及authorized_keys文件中的未授权条目。这些措施对于防止后门程序的持续存在和潜在的网络攻击至关重要。
