Onderzoekers hebben malware ontdekt die Netgear-routers via een beveiligingslek infecteert en vervolgens gebruikt om aanvallen op Fortune 500-bedrijven te faciliteren. De kwetsbaarheid is in 29 router-modellen van Netgear aanwezig, waaronder de WNR2000, en kan alleen worden aangevallen als een aanvaller toegang tot het lokale netwerk heeft of remote management staat ingeschakeld.

De onderzoeker die de kwetsbaarheid vorig jaar december openbaarde stelde dat er op dat moment 10.000 routers op internet te vinden waren waar remote management stond ingeschakeld. Volgens de advisory van Netgear is het beveiligingslek inmiddels in zes modellen gepatcht. Ondanks de beschikbaarheid van een update en vereiste om remote management ingeschakeld te hebben zijn er nog altijd kwetsbare apparaten te vinden.

Onderzoekers van Forkbombus Labs waarschuwen namelijk voor de RouteX-malware die kwetsbare routers via het lek infecteert. Vervolgens wordt de router in een SOCKS-proxy veranderd die de aanvaller bij andere aanvallen kan faciliteren. In het geval van de RouteX-malware wordt er geprobeerd om met gestolen inloggegevens, die bijvoorbeeld via datalekken zijn verkregen, op accounts van Fortune 500-bedrijven in te loggen. Om te voorkomen dat anderen de geïnstalleerde proxy-server gebruiken maakt de RouteX-malware gebruik van IPTables, zodat alleen goedgekeurde ip-adressen toegang tot het apparaat hebben.