La faille par laquelle votre routeur se fait pirater a été corrigée en 2021
CVE-2021-35394 a cinq ans. Elle se trouve dans le Realtek Jungle SDK, un bloc de logiciel que des dizaines de fabricants ont intégré à leurs routeurs, points d'accès et boîtiers d'enregistrement sans jamais l'écrire eux-mêmes. Elle a été corrigée en 2021. Une bonne partie du matériel installé chez les gens n'a jamais reçu ce correctif, et les attaquants le savent.
Nozomi Networks Labs s'est penché sur une hausse des tentatives visant cette faille et a découvert un botnet que personne n'avait encore nommé. Ils l'appellent Cling. L'échantillon qu'ils ont décortiqué embarque des exploits pour huit vulnérabilités distinctes, débordant du matériel Realtek vers les routeurs LB-LINK et Linksys, les boîtiers Eir et FiberHome, et les enregistreurs de vidéosurveillance TBK et MVPower. Une fois entré, il se copie dans deux emplacements cachés, s'accroche aux fichiers de démarrage de l'appareil pour qu'un redémarrage ne le déloge pas, et remplace même la commande wget afin que l'appareil télécharge ce que veut l'opérateur.
Le plus habile, c'est la façon dont il reçoit ses ordres. Toutes les cinq secondes environ, il interroge 13 serveurs STUN publics, ces machines ordinaires que les appels vidéo utilisent pour trouver comment se joindre à travers une connexion domestique. Les réponses semblent venir de Google. Elles n'en viennent pas : l'adresse est usurpée, et la commande est glissée dans un champ censé contenir un identifiant aléatoire. Pour le réseau, cela ressemble à quelqu'un en appel vidéo. Ce que cela peut faire en réalité : scanner, creuser des tunnels, relayer du trafic et participer à des attaques par déni de service.
Rien sur votre PC ne montrera cela. L'appareil est la victime et il n'a pas d'écran. Cherchez sur le site du fabricant un micrologiciel pour votre modèle exact, désactivez la gestion à distance depuis internet si elle est active, et considérez un routeur qui ne reçoit plus de mises à jour depuis des années comme un objet à remplacer plutôt qu'à garder. Le scan réseau de Tendvane liste ce qui est réellement connecté chez vous, et c'est en général le moment où les gens se souviennent de la caméra du couloir.