居易路由器与交换器漏洞遭锁定，已出现两起攻击行动

台湾厂商对于资讯产品的漏洞处置，未必没有修补，但要是仍然采取大事化小、小事化无的态度，用户很可能还是会因为没有留意，没有安装更新固件，而持续让网络设备曝露于漏洞的风险之中。例如，中国资安业者奇虎360的网络安全研究实验室（Netlab）于3月底揭露，于去年12月4日开始，有两个骇客组织的攻击行动细节，先后锁定台厂居易科技（Draytek）旗下Vigor宽频路由器与交换器的漏洞CVE-2020-8515。奇虎360后来在12月25日，通报韩国等地的CERT，并于推特上首度提及他们的发现，但只有公开一部分的攻击特征要大家加以防范，并未提及受影响设备的厂牌与型号。

#0-day Since 2019-12-04 08:22:29 (UTC), we have been witnessing ongoing 0 day attack targeting a network CPE vendor (not the big players, but there are about ~100,000 devices online according to public available data). The attacker is snooping on port 21,25,143,110 (1/2)

— 360 Netlab (@360Netlab) December 25, 2019

#0-day And sending the captured files to a receiver at 103.82.143.51. Due to the real impact here, we suggest reader looking for anything going to that IP on their network and take necessary actions. (2/2)

— 360 Netlab (@360Netlab) December 25, 2019

第一波锁定居易路由器和交换器的攻击，于去年的12月4日出现，手法是透过keyPath命令注入漏洞，窃听设备网络流量。而第二起攻击行动，则是在Netlab通报之后发生：2020年1月28日，骇客滥用rtick命令注入漏洞，开启SSH服务建立系统后门账号，以及Web Session后门。

居易科技获报之后，也在2月10日发布英文版资安公告，表示Vigor3900、Vigor2960，以及Vigor300B等3款型号受影响，并提供1.5.1版固件。虽然台湾网站也有提供这些固件，但没有相关的公告网页，对此，我们也向该公司确认台湾是否提供有关资讯。居易表示，如果使用者有注册MyVigor账号，就会收到这个固件更新的通知，但这样的做法，除非用户阅读改版内容，不然很难了解路由器已经曝露在重大的资安风险中。对此，他们到了4月9日，也发出中文版公告，并提醒受影响且未修补的用户，应尽速更新。