Cyberattackare kopplade till Ryssland har en ny fristad att verka: felkonfigurerade routrar runt om i världen

Routern lämnas vanligtvis utanför vår uppmärksamhet: vi installerar den, kontrollerar att det finns en anslutning och låter den fortsätta att fungera i månader eller år. Men den där lilla utrustningen som förbinder ett hem eller kontor med Internet kan också bli en användbar del för dem som vill dölja sin verksamhet. Problemet ligger inte i vad vi ser, utan i vad som kan hända i bakgrunden när konfigurationen är svag eller den fasta programvaran blir föråldrad.

Och där börjar en historia som inte längre bara påverkar säkerhetsspecialister.

Gömman fanns i routern. Den möjligheten slutade vara en abstrakt varning den 13 juli 2026. CISA, United States Cybersecurity and Infrastructure Security Agency, varnade för att aktörer från Center 16 av FSB, den ryska säkerhetstjänsten, fortsätter att dra fördel av sårbara eller dåligt konfigurerade nätverksenheter i olika länder.

Enligt tillkännagivandet har denna aktivitet redan gjort det möjligt att äventyra nätverk inom flera kritiska infrastruktursektorer. Varningen utfärdades tillsammans med organisationer i Australien, Danmark, Nya Zeeland och Storbritannien.

En lånad identitet. Målet är inte att stanna kvar på routern, utan att använda den som en mellanhand för andra operationer. När trafik passerar genom en enhet som är installerad i ett hem eller ett litet kontor, kan anslutningen tyckas vara en legitim användares.

Detta är vad som kallas en bostadsproxy: en inhemsk anslutning som används som mellanhand för att dölja var angriparen verkligen agerar ifrån. För en organisations försvar är det mycket svårare att vid första anblicken skilja mellan en normal anslutning och skadlig aktivitet. Spårningen börjar på Internet.

För att hitta nya enheter skannar angripare IP-adressintervall och letar efter routrar med aktiva SNMP-agenter, ett protokoll som används för att fråga och hantera datorer som är anslutna till ett nätverk. Risken uppstår när den tjänsten är exponerad och accepterar vanliga referenser eller de som konfigurerades på fabriken. I det scenariot kan teamet svara någon som inte borde ha tillgång.

Det första steget är därför att lokalisera vilka som fortfarande annonserar på Internet med en svag konfiguration.

Från mål till verktyg. Att hitta en utsatt router räcker inte för att kontrollera den. Enligt CISA skickar skådespelarna skadlig trafik med förfalskade IP-adresser och utnyttjar den felkonfigurerade SNMP-agenten för att exekvera skadlig programvara på enheten.

De gör det också från nätverk som består av andra redan komprometterade routrar, så att systemet matar sig självt. Processen har tre faser: först hittar de utrustningen, sedan utnyttjar de dess konfiguration och slutligen införlivar de den i nätverket från vilket de kommer att fortsätta leta efter nya mål. I Engadget Meta kommer Google och Microsoft att kunna fortsätta spåra dina meddelanden fram till 2028.

Trots att majoriteten av EU-parlamentet röstade emot attacken kommer från ett annat hus När den väl är införlivad i detta nätverk börjar routern fungera som en utgångsnod, det vill säga som den sista synliga punkten innan trafiken når målet. För den som tar emot anslutningen verkar aktiviteten inte komma från system kopplade till FSB, utan snarare från en legitimt utseende IP-adress. Denna täckning kan minska chanserna för automatisk blockering och försvårar arbetet för dem som försöker rekonstruera rutten till de ansvariga för operationen.

En jakt som aldrig tar slut: användbarheten av detta nätverk av mellanhänder förstås bättre när vi tittar på deras möjliga destinationer. CISA pekar på kommunikationsnätverk, försvar, energi, finansiella tjänster och offentliga organisationer, alla sektorer där en till synes legitim anslutning kan underlätta undersökningar eller efterföljande attacker. Fenomenet började dessutom inte med denna varning: ryska och kinesiska aktörer har kämpat och återanvänt komprometterade routrar i flera år.

Även om regeringar och företag har lyckats desinficera enheter och demontera botnät, bygger deras operatörer vanligtvis om dem genom att införliva ny utrustning.

Stäng dörren. CISA rekommenderar att du inaktiverar SNMP 1 och 2, versioner som inte krypterar lösenord eller innehåller aktuella skydd, och använder SNMP 3 endast när det behövs. Om vi ​​inte använder detta protokoll för att hantera nätverket är det säkraste alternativet att stänga av det helt.

Byrån rekommenderar också att du inaktiverar Cisco Smart Install, ersätter svaga referenser, installerar firmwareuppdateringar och begränsar andra onödiga nätverksprotokoll. Routern kan gå obemärkt förbi i åratal, men det betyder inte att vi ska låta den vara igång utan underhåll. Bilder | Xataka med nanobanan i Xataka | Jordi Nebot, VD för PaynoPain: "Boenden laddas upp med stulna eller AI-tillverkade fotografier och ett attraktivt pris"