Polaredge vizeaza routere Cisco ASUS QNAP Synology

Un nou botnet avansat este activ in peisajul amenintarilor cibernetice: Polaredge

O noua campanie de atac cibernetic a fost identificata recent de catre cercetatori in securitate si poarta numele Polaredge. Aceasta campanie dezvolta si distribuie un botnet periculos care vizeaza dispozitivele de infrastructura de retea, inclusiv routere Cisco, ASUS, QNAP si Synology. Scopul acestei campanii este de a forma o retea masiva de dispozitive compromise ce pot fi folosite in atacuri de tip Distributed Denial of Service (DDoS), colectarea datelor sensibile, sau alte actiuni malițioase.

Ceea ce face ca Polaredge sa fie deosebit este modul in care acesta profita de vulnerabilitati cunoscute, dar si de configuratii gresite ale unor echipamente populare folosite in medii casnice si corporate.

Modul de operare al campaniei Polaredge

Polaredge este o continuare a tacticilor observate in alte retele botnet din trecut, cum ar fi Mirai sau Mozi, dar aduce o abordare mai sofisticata. Malware-ul uzitat este capabil sa se raspandeasca automat si sa evite detectia prin obfuscare si utilizarea DNS-urilor dinamice. Printre caracteristicile cheie:

• Scanare automata a IP-urilor pentru identificarea dispozitivelor vulnerabile.
• Exploatarea vulnerabilitatilor cunoscute si a parolelor implicite slab configurate.
• Instalarea si executarea codului malware pe dispozitivul compromis.
• Persistenta prin modificarea configuratiilor locale ale firmware-ului.

Echipamentele vizate sunt in special cele care au porturi de gestiune deschise catre Internet sau care nu au fost actualizate recent.

Dispozitive si producatori afectati

Atacatorii vizeaza un numar mare de dispozitive, insa cercetatorii au identificat modele specifice de la urmatorii producatori majori:

• Cisco: dispozitive din gama SMB si modele mai vechi de routere enterprise fara patch-uri recente aplicate.
• ASUS: routere Wi-Fi pentru utilizatori casnici si mici afaceri, in special modelele cu interfata de administrare deschisa catre internet si parole implicite.
• QNAP: echipamente NAS (Network-Attached Storage) ce ruleaza firmware neactualizat, precum si sisteme expuse din greseala sau configurate gresit.
• Synology: dispozitive NAS expuse din retele locale catre internet, cu firmware-uri vechi sau conturi neprotejate corespunzator.

Aceste modele sunt extrem de populare datorita usurintei de configurare si utilizare, insa din aceasta cauza ele sunt si cele mai vulnerabile atunci cand nu sunt corect securizate.

Cum se raspandeste Polaredge: detalii tehnice

Botnetul utilizeaza mai multe tehnici sofisticate pentru a compromite dispozitivele:

1. Scanare activa a adreselor IP folosind porturi standard de administrare (22, 23, 80, 443, 8080 etc.).
2. Folosirea listei de credentiale implicite sau brute-forcing pentru acces la interfata de administrare.
3. Exploatarea vulnerabilitatilor cunoscute (precum „command injection” sau „remote code execution”) pentru a obtine permisiuni root de la distanta.
4. Implementarea unui payload criptat care permite persistenta si comenzi remote printr-un C2 (Command & Control) server ascuns.

Malware-ul trimite informatii despre dispozitivul infectat catre serverele de comanda si incearca sa recruteze alte echipamente din aceeasi retea care pot fi accesate.

Ce face botnetul dupa infectare

Odata ce un dispozitiv a fost compromis, acesta devine parte a botnetului si poate fi utilizat pentru urmatoarele scopuri:

• Lansarea de atacuri DDoS directionate catre servere sau servicii web cheie.
• Unghi de acces pentru compromiterea retelei interne, in special in retelele SMB si enterprise.
• Furt de date personale prin sniffing sau hijacking de sesiuni.
• Instalare de malware suplimentar precum malware bancar, ransomware sau troieni de tip backdoor.

Botnetul mentine o conexiune permanenta catre serverele de comanda si poate primi instructiuni noi in orice moment, inclusiv actualizari ale codului malware.

Masuri de protectie recomandate utilizatorilor si administratorilor IT

Pentru a evita compromiterea echipamentelor, se recomanda respectarea catorva practici fundamentale de securitate cibernetica:

1. Modificarea imediata a credentialelor implicite de pe toate dispozitivele de retea – parole complexe si unice pentru fiecare echipament.
2. Dezactivarea accesului de la distanta daca nu este absolut necesar. In cazul in care este folosit, se recomanda autentificarea cu cheie publica si IP whitelist.
3. Actualizarea firmware-urilor si aplicarea patch-urilor furnizate de catre producatori imediat ce acestea sunt publicate.
4. Utilizarea unei solutii firewall dedicate sau a unui software de detectie comportamentala (IDS/IPS) in retea.
5. Scanarea periodica a retelei pentru identificarea echipamentelor vulnerabile sau suspecte.

Reactia producatorilor afectati

Producatori precum Cisco, ASUS, QNAP si Synology au publicat deja alerte de securitate si recomanda actualizarea imediata a firmware-ului si schimbarea credentialelor implicite. De asemenea, unele companii colaboreaza cu echipe de cybersecurity si law enforcement pentru analiza, dezmembrarea si oprirea activitatii serverelor C2 asociate botnetului Polaredge.

Concluzie: un nou semnal de alarma pentru securitatea retelelor

Fenomenul Polaredge evidentiaza inca o data importanta securizarii echipamentelor IoT si de retea, mai ales avand in vedere cresterea conectivitatii si a expunerii catre internet. Atacatori sofisticati pot compromite rapid infrastructuri neglijate, indiferent ca este vorba de o locuinta smart sau o companie cu sute de angajati.

Educatia, vigilenta si intretinerea constanta sunt cheile pentru prevenirea atacurilor de acest fel. In acelasi timp, companiile si furnizorii de tehnologie trebuie sa investeasca in hardening-ul software-ului si alertarea timpurie a clientilor referitor la bresele descoperite.

Recomandarea noastra

Daca administrezi o retea locala, e momentul ideal sa:

• Verifici starea firmware-urilor echipamentelor din reteaua ta
• Revizuiesti politicile de acces si autentificare
• Implementezi sisteme moderne de detectie si protectie

Cu siguranta ai inteles care sunt noutatile din 2025 legate de securitate cibernetica, daca esti interesat sa aprofundezi cunostintele in domeniu, te invitam sa explorezi gama noastra de cursuri dedicate securitatii cibernetice din categoria Cybersecurity. Indiferent daca esti la inceput de drum sau doresti sa iti perfectionezi abilitatile, avem un curs potrivit pentru tine.