Cisco heeft een scanner gelanceerd waarmee organisaties gehackte routers op hun netwerk kunnen vinden waarvan de firmware is aangepast. Aanvallers blijken via gestolen wachtwoorden of fysieke toegang Cisco-routers te hacken en installeren vervolgens een aangepast besturingssysteem.

Dit aangepaste besturingssysteem wordt de SYNful Knock-malware genoemd. Via de malware blijven de aanvallers toegang tot het bedrijfsnetwerk houden, ook al wordt de router gereset. Onlangs voerde Cisco een scan uit op internet en ontdekte 199 IP-adressen die met de SYNful Knock-malware waren besmet. Nu heeft Cisco een tool ontwikkeld waarmee klanten gehackte routers op hun eigen netwerk kunnen vinden. Het gaat in dit geval alleen om routers die met de SYNful Knock-malware zijn besmet.

De tool komt wel met een gebruiksaanwijzing. Het draaien van de tool via Network address translation (NAT) kan de nauwkeurigheid van de tool beïnvloeden en ervoor zorgen dat de tool gehackte routers niet detecteert. Cisco adviseert dan ook om de tool vanaf een netwerklocatie uit te voeren waar er geen NAT tussen het scansysteem en de routers is.