Dark殭屍網路程式鎖定TP-Link家用無線路由器RCE漏洞

安全廠商Fortinet發現殭屍網路程式Dark（又稱MANGA ）近日開採一款受歡迎的TP-Link家用無線路由器的遠端程式碼執行漏洞，以執行DDoS攻擊。

遭到開採的是TP-LINK TL-WR840N EU (V5)安全漏洞CVE-2021-41653，它出在韌體TL-WR840N(EU)_V5_171211版本以前，能讓遠端攻擊者修改主機IP參數值以便在路由器上執行程式碼，是一風險值9.8的重大漏洞。它是由外部研究人員Kamilló Matek發現通報，TP-Link於11月12日發布新版韌體以解決漏洞。

如果這款路由器用戶不知道要修補漏洞就可能曝險，因為Fortinet下的FortiGuard實驗室研究人員11月底發現，殭屍網路Dark正在開採未補漏洞的TP-Link TL-WR840N EU (V5)。Dark是以Mirai原始碼為基礎發展而來，因其binary檔名又被稱為Dark，也因使用的SSH/telnet指令內含的令牌字串而被稱為MANGA。

一如Mirai，Fortinet研究人員發現Dark開採TP-Link路由器的CVE-2021-41653以下載及執行惡意腳本程式tshit.sh，再下載主要惡意binary。這些binary一來可封鎖其他殭屍網路染指，且長駐在受害裝置內等待外部C&C伺服器，以便執行各種阻斷服務（Denial of Service，DoS）攻擊。研究人員也公布了這次攻擊的入侵指標（indication of compromise，IoC）。

一如大部份網路產品防護，最有效防護方式是儘速安裝更新版韌體。