居易路由器與交換器漏洞遭鎖定，已出現兩起攻擊行動

臺灣廠商對於資訊產品的漏洞處置，未必沒有修補，但要是仍然採取大事化小、小事化無的態度，用戶很可能還是會因為沒有留意，沒有安裝更新韌體，而持續讓網路設備曝露於漏洞的風險之中。例如，中國資安業者奇虎360的網路安全研究實驗室（Netlab）於3月底揭露，於去年12月4日開始，有兩個駭客組織的攻擊行動細節，先後鎖定臺廠居易科技（Draytek）旗下Vigor寬頻路由器與交換器的漏洞CVE-2020-8515。奇虎360後來在12月25日，通報韓國等地的CERT，並於推特上首度提及他們的發現，但只有公開一部分的攻擊特徵要大家加以防範，並未提及受影響設備的廠牌與型號。

#0-day Since 2019-12-04 08:22:29 (UTC), we have been witnessing ongoing 0 day attack targeting a network CPE vendor (not the big players, but there are about ~100,000 devices online according to public available data). The attacker is snooping on port 21,25,143,110 (1/2)

— 360 Netlab (@360Netlab) December 25, 2019

#0-day And sending the captured files to a receiver at 103.82.143.51. Due to the real impact here, we suggest reader looking for anything going to that IP on their network and take necessary actions. (2/2)

— 360 Netlab (@360Netlab) December 25, 2019

第一波鎖定居易路由器和交換器的攻擊，於去年的12月4日出現，手法是透過keyPath命令注入漏洞，竊聽設備網路流量。而第二起攻擊行動，則是在Netlab通報之後發生：2020年1月28日，駭客濫用rtick命令注入漏洞，開啟SSH服務建立系統後門帳號，以及Web Session後門。

居易科技獲報之後，也在2月10日發布英文版資安公告，表示Vigor3900、Vigor2960，以及Vigor300B等3款型號受影響，並提供1.5.1版韌體。雖然臺灣網站也有提供這些韌體，但沒有相關的公告網頁，對此，我們也向該公司確認臺灣是否提供有關資訊。居易表示，如果使用者有註冊MyVigor帳號，就會收到這個韌體更新的通知，但這樣的做法，除非用戶閱讀改版內容，不然很難了解路由器已經曝露在重大的資安風險中。對此，他們到了4月9日，也發出中文版公告，並提醒受影響且未修補的用戶，應儘速更新。