TP-Link: атака на устаревшие роутеры и Microsoft 365
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
TP-Link устранила две уязвимости в некоторых своих роутерах для дома и малого бизнеса (SOHO), которые, как выяснилось, использовались китайской группой хакеров для создания вредоносной ботнет-сети и атак на аккаунты Microsoft 365. В официальном сообщении безопасности TP-Link указала, что ей сообщили о двух уязвимостях: CVE-2025-50224 и CVE-2025-9377. Их использовали совместно, чтобы атаковать роутеры серий Archer C7 и TL-WR841N/ND. Первая (CVE-2025-50224) позволяла обойти аутентификацию и имела средний уровень опасности (оценка 6,5 из 10), вторая (CVE-2025-9377) — более серьезная, давала возможность удалённого исполнения команд (RCE) и получила высокую оценку (8,6 из 10).
Эти роутеры достигли статуса end-of-life — то есть официально уже не поддерживаются и не должны были бы получать обновления безопасности. Однако из-за серьёзности находки TP-Link выпустила обновление прошивки. Эксплуатирующая уязвимости группировка Quad7 (также известна как 7777) связывается с кибершпионажем, поддерживаемым Китаем. На этот раз с помощью ботнета хакеры проводили так называемые password-spraying-атаки — перебор простых паролей с целью попасть в аккаунты Microsoft 365. Судя по всему, целью не была какая-то конкретная группа людей — риск есть для всех.
По данным компании Malwarebytes, некоторые интернет-провайдеры (ISP) раздавали клиентам роутеры TP-Link, зачастую под своими брендами. Например, в Нидерландах компания Ziggo распространяла Archer C7 с прошивкой Ziggo и под другой маркой — Wifibooster Ziggo C7. Такое бывало и в Европе, и в Северной Америке. Рекомендация — перепроверить модель своего роутера дома или в офисе.
Не осталась в стороне и американская Агентство по кибербезопасности и инфраструктуре (CISA): оно выпустило рекомендации по этим уязвимостям, а конкретно CVE-2025-9377 добавили в официальный каталог используемых уязвимостей (KEV). Правительственные учреждения получили 3 недели на обновление или замену оборудования. Всего за последнее время CISA добавила в этот каталог три уязвимости TP-Link, в том числе связанные с подделкой аутентификации (CVE-2023-50224) и возможность сброса к заводским настройкам через особый запрос (CVE-2020-24363).
Источник: Malwarebytes.
PEREC.RU
TP-Link традиционно не торопится с патчами для своих выбывших из гонки роутеров. Но когда кто-то из Китая решает превратить тысячи забытых маршрутизаторов в часть ботнета — даже роутеры, пылящиеся с 2015 года, убиваются апдейтами. Китайские 'исследователи' из Quad7 снова решили испытать на прочность инфраструктуру Microsoft: кто бы сомневался, что цель — простые, массовые атаки на пароли. Никто конкретный не нужен — требуется именно массовость, так проще рыть под фундамент.
TP-Link делает исключение, безопасности — предпраздничный патч, а причём тут пользователи Ziggo из провинциальных городков — отдельная загадка. Европейские и российские провайдеры раздавали тем же клиентам те же маршрутизаторы, правда, хорошо замаскированные под местные бренды — такая себе анонимность.
Американское CISA традиционно требует немедленного действия: либо обновляемся, либо собираем осколки. Новая версия firmware — редкий гость на старье, и TP-Link явно не ради любви к юзерам его делал. Хакеры привычно не выбирают цели — главное, чтобы аппаратура была плохо защищена и поношена временем. Скучно было бы, если бы в этой цифровой пьесе не сыграли все роли сразу.
