Descoberta e escopo
A investigação, divulgada em 18 de novembro de 2025, indica que a campanha infectou cerca de 50.000 endereços IP únicos nos últimos seis meses, com concentração significativa em Taiwan (estimativa de 30–50% dos dispositivos em certas áreas). Outras regiões afetadas incluem EUA, Rússia e Sudeste Asiático, enquanto a China continental permanece largamente intacta, exceto Hong Kong.
Vetor e vulnerabilidades exploradas
Os atacantes encadearam até seis falhas conhecidas em firmwares ASUS WRT, incluindo N‑day e falhas em AiCloud. A campanha identificou e abusou de dispositivos EoL (end-of-life) e roteadores não atualizados. Entre os CVE relacionados listados pela fonte estão CVE-2023-41345/46/47/48 (OS command injection, CVSS 8.8), CVE-2024-12912 (execução arbitrária via AiCloud, CVSS 7.2) e CVE-2025-2492 (execução de função sem autenticação, CVSS 9.2). As falhas já receberam patches pela ASUS.
Comportamento pós-exploração e persistência
Os invasores implantaram backdoors SSH e manipularam certificados TLS autoassinados com validade anômala (um certificado com validade de 100 anos, emitido em abril de 2022, apareceu em 99% dos serviços AiCloud comprometidos). O thumbprint SHA1 do certificado ligado ao incidente é 1894a6800dff523894eba7f31cea8d05d51032b4 — um IOC que os times de resposta podem varrer em busca de comprometimentos.
Impacto operacional
Os roteadores comprometidos permitem proxying de tráfego, roteamento de C2, e potencial exfiltração/espionagem sem necessidade de modificar visivelmente o dispositivo. Targets frequentes incluíram modelos RT-AC1200HP, GT-AC5300 e DSL-AC68U, tipicamente localizados em residências e pequenos escritórios.
Indicadores e recomendações
- IOC de certificado SHA1: 1894a6800dff523894eba7f31cea8d05d51032b4;
- IPs observados: 46[.]132.187.85, 46[.]132.187.24, 221[.]43.126.86, 122[.]100.210.209; adicionais: 59.26.66[.]44, 83.188.236[.]86, 195.234.71[.]218;
- Mitigação: atualizar firmware ASUS, desabilitar serviços não utilizados (AiCloud), segmentação de rede, monitoração de certificados TLS e varredura por IOCs;
- Para equipamentos EoL, substituição é recomendada.
Limitações das informações
O relatório associa táticas e infraestrutura a grupos com laços à China com confiança baixa a moderada, mas não fornece atribuição com alto grau de certeza. Detalhes sobre cargas pós-exploração e alcance de exfiltração permanecem incompletos nas fontes.
Repercussão
O caso destaca risco crescente de dispositivos SOHO como vetores para operações sofisticadas e reforça práticas como gerenciamento de ativos, aplicação de patches e monitoramento de certificados TLS em escala. Organizações com ativos distribuídos devem priorizar varredura e mitigação, além de avaliar substituição de hardware EoL para reduzir superfície de ataque.