Una infraestructura silenciosa que convierte routers en nodos de ataque

Los routers domésticos suelen pasar desapercibidos: rara vez se revisan y casi nunca se consideran un riesgo de seguridad. Precisamente esa discreción los convierte en objetivos ideales. Una investigación de SecurityScorecard revela que miles de dispositivos ASUS han sido comprometidos y forman parte de una operación remota denominada WrtHug, diseñada para sostener campañas encubiertas sin alertar a sus propietarios.

El hallazgo se produjo al detectar un patrón inusual: numerosos routers compartían el mismo certificado TLS con una vigencia de cien años, algo fuera de lo común en este tipo de equipos. Esa señal permitió identificar una campaña coordinada que aprovecha vulnerabilidades en el servicio AiCloud, el cual permite acceder de forma remota a archivos y dispositivos conectados.

Cómo funciona WrtHug.
Los atacantes explotan fallos en AiCloud para ejecutar comandos y modificar configuraciones sin intervención del usuario. Así, los routers se convierten en infraestructura intermediaria que oculta el origen real de futuras operaciones. Aunque ASUS ha publicado parches, la mayoría de equipos afectados son modelos antiguos o fuera de soporte, lo que multiplica el riesgo.

Modelos en riesgo
Entre los dispositivos comprometidos figuran:

• 4G-AC55U
• 4G-AC860U
• DSL-AC68U
• GT-AC5300
• GT-AX11000
• RT-AC1200HP
• RT-AC1300GPLUS
• RT-AC1300UHP

Muchos aún se utilizan en hogares y pequeñas oficinas, donde la falta de actualización los convierte en blancos fáciles.

Alcance geográfico y vínculos con China.
La operación se concentra en Asia-Pacífico, con especial presencia en Taiwán, Corea del Sur, Japón y Hong Kong, aunque también se han detectado casos en Rusia, Estados Unidos y Europa central. Curiosamente, no se han registrado incidentes en la China continental, lo que los analistas interpretan como un indicio contextual.

SecurityScorecard no atribuye la campaña de forma definitiva, pero señala similitudes con tácticas usadas por actores asociados a China, como la campaña AyySSHush y el uso de la vulnerabilidad CVE-2023-39780. Los expertos hablan de una “confianza baja-moderada” en que se trate de una red ORB, es decir, dispositivos comprometidos que actúan como nodos intermedios para encubrir operaciones.

Qué hacer si tienes un router ASUS

Detectar la intrusión no es sencillo, ya que los cambios no afectan al funcionamiento normal del dispositivo. Las recomendaciones son:

• Verificar si el modelo está en fin de vida y actualizar el firmware desde la web oficial de ASUS.
• Desactivar servicios remotos como AiCloud si no se utilizan.
• Revisar accesos no autorizados.
• Considerar reemplazar el equipo si ya no recibe soporte.
  

La operación WrtHug demuestra que los routers domésticos han dejado de ser simples puntos de acceso. Su capacidad de estar siempre encendidos y conectados los convierte en piezas estratégicas dentro de un tablero digital cada vez más complejo.