🤨 Ваш роутер может работать на хакеров

Исследователи Black Lotus Labs опубликовали отчёт о новом ботнете KadNap. Разбираем, что произошло и что делать.

С августа 2025 года тихо растёт ботнет из 14 000+ заражённых роутеров, преимущественно Asus. Заражённые устройства продаются как прокси-сервис под названием Doppelganger — анонимайзер для криминальных операций: брутфорс, целевые атаки, обход геофильтров.

Особенность малвари — она прячет C2-серверы в P2P-сети Kademlia DHT (та самая, что под BitTorrent). Трафик к командным серверам растворяется в легитимном торрент-шуме. Классические блокировки по IP и ASN не работают.

Цепочка заражения проста:

• cron-задача каждый час тянет скрипт с сервера атакующих
• скрипт скачивает ELF-файл kad и запускает его
• малварь закрывает SSH (порт 22) через iptables, чтобы никто не вылечил
• роутер уходит в ботнет и начинает проксировать чужой грязный трафик

🛠 Что делать прямо сейчас

1. Проверить роутеры на периметре

Посмотреть, есть ли в /jffs/ файл .asusrouter или процесс kad. На управляемых устройствах — через SNMP/Zabbix/Netbox. Если устройства не мониторятся вообще — это уже проблема.

2. Проверить трафик к BitTorrent-трекерам

Если корпоративный роутер или edge-устройство ломится на публичные DHT-ноды (порт 6881/UDP и смежные) — это красный флаг. В нормальной инфраструктуре такого быть не должно.

3. Заблокировать IoC

Black Lotus Labs выложили индикаторы компрометации на GitHub:
github.com/blacklotuslabs/IOCs/blob/main/KadNap_IOCs.txt
Добавить в WAF, EDR, firewall-правила. Lumen уже заблокировал инфраструктуру на своём backbone — но у вас своя.

4. Закрыть управление роутерами от интернета

Веб-морда и SSH роутера не должны торчать наружу. Если торчат — закрыть немедленно. Управление только через VPN или выделенный out-of-band канал.

5. Сменить дефолтные пароли и обновить прошивку

Звучит банально, но именно так KadNap и попадает на устройства. Asus выпускает обновления прошивок — проверить, стоит ли актуальная.

6. Перезагрузить заражённое устройство

Малварь живёт в /tmp и /jffs. Перезагрузка не лечит полностью , потому что cron-задача восстановит, но даёт окно для диагностики и смены учёток до повторного заражения.

7. Устройства EOL — на замену

Если роутер снят с поддержки производителем — патчей не будет. Эксплуатировать такое в 2026 году это не технический долг, это открытая дверь.

Ваш роутер в ботнете — это не только ваша проблема. С вашего IP брутфорсят чужие VPN, атакуют банки, обходят 2FA. Репутация вашего IP падает, вас блокируют сервисы, а следователи в какой-то момент могут постучаться с вопросами.

60% жертв KadNap — США. Но география ботнета расширяется.

📍 Навигация: Вакансии • Задачи • Собесы

🐸 Библиотека devops'a

#разбор_полётов