Een Trojaans paard dat op dit moment actief is blijkt over het internet wifi-routers aan te vallen en vervolgens de DNS-instellingen te wijzigen zodat ook andere computers met de malware besmet kunnen worden. De malware heet Rbrute en gebruikt een woordenboekaanval om op wifi-routers in te loggen.

Op Windowscomputers die met Rbrute zijn geïnfecteerd scant de malware eerst een reeks van IP-adressen. Het Trojaanse paard kan van verschillende fabrikanten de routers aanvallen. Het gaat om de DSL-2520U en DSL-2600U van D-Link, de TD-W8901G, TD-W8901G 3.0, TD-W8901GB, TD-W8951ND, TD-W8961ND, TD-8840T, TD-8840T 2.0, TD-W8961ND, TD-8816, TD-8817 2.0, TD-8817, TD-W8151N en TD-W8101G van TP-Link en de ZXV10 W300, ZXDSL 831CII van ZTE.

Zodra de malware een IP-adres vindt waarop kan worden ingelogd, wordt er een woordenboekaanval uitgevoerd. Hiervoor gebruikt Rbrute de gebruikersnamen 'admin' of 'support', gecombineerd met allerlei wachtwoorden. Als de malware op de router kan inloggen worden vervolgens de DNS-instellingen gewijzigd. Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt onder andere domeinnamen naar IP-adressen.

Dit zorgt ervoor dat gebruikers van de router, zodra ze er verbinding mee maken en een website willen bezoeken, naar een kwaadaardige website worden doorgestuurd. Deze website biedt zogenaamd een versie van Google Chrome aan, maar in werkelijkheid gaat het om malware genaamd 'Sector'. Sector kan op besmette computers weer de Rbrute Trojan downloaden, waarna de cyclus zich herhaalt, zo meldt het Russische anti-virusbedrijf Dr. Web.