Roteadores

O grupo de ameaças ligado à Rússia, conhecido como APT28 ou Forest Blizzard, está associado a uma nova campanha de ciberespionagem que comprometeu roteadores MikroTik e TP-Link inseguros. Desde maio de 2025, a operação, chamada FrostArmada, tem como alvo dispositivos de internet domésticos e de pequenos escritórios (SOHO), explorando vulnerabilidades para redirecionar o tráfego DNS e coletar dados de rede de forma passiva. A técnica utilizada modifica as configurações de DNS dos roteadores comprometidos, permitindo que o tráfego seja desviado para servidores controlados pelos atacantes, onde credenciais de autenticação são capturadas. A campanha teve seu auge em dezembro de 2025, com mais de 18.000 endereços IP únicos de pelo menos 120 países se comunicando com a infraestrutura do APT28. O alvo principal inclui agências governamentais e provedores de serviços de e-mail e nuvem. A Microsoft e outras agências de segurança colaboraram para desativar a infraestrutura maliciosa, mas a natureza oportunista do ataque levanta preocupações sobre a segurança de dispositivos em ambientes corporativos. A exploração de vulnerabilidades, como a CVE-2023-50224, destaca a necessidade urgente de monitoramento e proteção de dispositivos de rede em uso.

A Comissão Federal de Comunicações (FCC) dos Estados Unidos implementou uma proibição que impede a venda de novos roteadores domésticos fabricados fora do país. A decisão, que visa proteger a segurança nacional, foi motivada por investigações que indicam que esses dispositivos podem ser utilizados como vetores de ciberespionagem. A medida se aplica a todos os modelos novos, mas os consumidores que já possuem roteadores de marcas como TP-Link e D-Link poderão continuar a usá-los. A proibição surge em um contexto de aumento de ataques cibernéticos, especialmente contra serviços essenciais, como água e energia, realizados por grupos hackers internacionais. A FCC justifica a ação como parte da Estratégia de Segurança Nacional de 2025, que busca realinhar a política externa dos EUA e proteger os cidadãos americanos de riscos cibernéticos.

A TP-Link anunciou a correção de várias vulnerabilidades em sua série de roteadores Archer NX, incluindo uma falha de gravidade crítica, identificada como CVE-2025-15517. Essa vulnerabilidade permite que atacantes contornem a autenticação e façam upload de novos firmwares, afetando os modelos Archer NX200, NX210, NX500 e NX600. A falha se origina de uma verificação de autenticação ausente em certos endpoints CGI do servidor HTTP, permitindo acesso não autenticado a ações que deveriam ser restritas a usuários autenticados. Além disso, a TP-Link removeu uma chave criptográfica hardcoded (CVE-2025-15605) que permitia a atacantes autenticados descriptografar e modificar arquivos de configuração. Outras duas vulnerabilidades de injeção de comando (CVE-2025-15518 e CVE-2025-15519) também foram corrigidas, permitindo que administradores executassem comandos arbitrários. A empresa recomenda fortemente que os usuários atualizem para a versão mais recente do firmware para evitar possíveis ataques. A CISA já havia classificado outras falhas da TP-Link como exploradas em ataques, destacando a necessidade de atenção contínua à segurança desses dispositivos.

A Comissão Federal de Comunicações dos EUA (FCC) anunciou a proibição da importação de novos roteadores de consumo fabricados no exterior, citando riscos inaceitáveis à segurança cibernética e nacional. O presidente da FCC, Brendan Carr, afirmou que a medida visa proteger os cidadãos americanos e as redes de comunicação do país. Os roteadores estrangeiros foram incluídos na ‘Covered List’, a menos que tenham recebido uma aprovação condicional do Departamento de Guerra ou do Departamento de Segurança Interna, que ateste a ausência de riscos. A decisão foi motivada por uma determinação de segurança nacional que destaca como esses dispositivos podem ser explorados por atores estatais e não estatais para realizar espionagem cibernética e comprometer a infraestrutura crítica dos EUA. A FCC também mencionou que roteadores comprometidos podem ser usados para ataques em larga escala, como ‘password spraying’ e acesso não autorizado a redes. Embora a nova política não afete roteadores já adquiridos, ela ressalta a vulnerabilidade dos dispositivos fabricados no exterior, especialmente em um contexto onde adversários como grupos patrocinados pelo Estado chinês têm utilizado botnets formadas por esses roteadores para atacar setores críticos. A FCC enfatiza que a segurança das redes americanas é uma prioridade e que as vulnerabilidades introduzidas por roteadores estrangeiros são inaceitáveis.

A Comissão Federal de Comunicações dos Estados Unidos (FCC) atualizou sua ‘Covered List’, incluindo todos os roteadores de consumo fabricados no exterior, o que proíbe a venda de novos modelos no país. Essa lista, criada pela Lei de Redes de Comunicações Seguras e Confiáveis de 2019, contém equipamentos e serviços que representam riscos inaceitáveis à segurança nacional. A decisão foi baseada em uma determinação de segurança nacional que identificou riscos na cadeia de suprimentos, podendo afetar a economia dos EUA e sua infraestrutura crítica. A FCC destacou que roteadores estrangeiros foram utilizados em ataques cibernéticos a infraestruturas vitais, como os perpetrados pelos hackers Volt, Flax e Salt Typhoon. Embora a nova regra não afete imediatamente os consumidores, que continuarão a usar roteadores existentes, a disponibilidade de novos modelos pode ser reduzida e os preços podem aumentar devido ao processo de aprovação regulatória. Exceções foram feitas para alguns roteadores utilizados pelo Departamento de Guerra e pelo Departamento de Segurança Interna, que não representam riscos de segurança. Fabricantes estrangeiros ainda podem buscar aprovação nos EUA, desde que divulguem informações sobre sua estrutura corporativa e cadeia de suprimentos.

Os roteadores, muitas vezes negligenciados pelos usuários, são alvos preferenciais para hackers devido à sua posição central na rede doméstica. Ao comprometer um roteador, os cibercriminosos podem monitorar e manipular todo o tráfego de dados que passa por ele, sem a necessidade de invadir cada dispositivo individualmente. Um exemplo recente é o malware DKnife, que opera silenciosamente desde 2019, permitindo que hackers interceptem conexões e redirecionem usuários para sites falsos, como páginas de bancos, onde podem roubar credenciais. Além disso, o malware pode substituir downloads legítimos por versões infectadas, aumentando ainda mais o risco. A falta de proteção nos roteadores, que não possuem antivírus ou alertas visíveis, torna essa vulnerabilidade ainda mais crítica. Para proteger sua rede, é essencial que os usuários atualizem regularmente o firmware do roteador, alterem senhas padrão e utilizem firewalls adequados. A segurança da rede depende da proteção do elo mais fraco, que neste caso é o roteador.

Uma vulnerabilidade crítica foi identificada no sistema operacional Junos OS Evolved, utilizado em roteadores da série PTX da Juniper Networks. Denominada CVE-2026-21902, essa falha pode permitir que um atacante não autenticado execute código remotamente com privilégios de root. A origem do problema está na atribuição incorreta de permissões no framework de ‘Detecção de Anomalias On-Box’, que deveria ser acessível apenas por processos internos através da interface de roteamento interna. Contudo, a falha permite o acesso ao framework por meio de uma porta exposta externamente. Como o serviço é executado com privilégios de root e está habilitado por padrão, um atacante que já estiver na rede pode obter controle total do dispositivo sem autenticação. A vulnerabilidade afeta versões do Junos OS Evolved anteriores a 25.4R1-S1-EVO e 25.4R2-EVO. A Juniper Networks já disponibilizou correções para as versões afetadas. Embora a empresa não tenha conhecimento de exploração maliciosa até o momento da publicação do aviso de segurança, recomenda-se restringir o acesso aos pontos vulneráveis e, se necessário, desabilitar o serviço vulnerável. Essa situação é preocupante, especialmente considerando que equipamentos da Juniper são alvos atrativos para hackers avançados, devido ao seu uso por provedores de serviços de internet e grandes empresas.

A Zyxel, fornecedora de redes de Taiwan, divulgou atualizações de segurança para corrigir uma vulnerabilidade crítica que afeta mais de uma dúzia de modelos de roteadores. Identificada como CVE-2025-13942, essa falha de injeção de comandos foi encontrada na função UPnP de dispositivos como CPE 4G LTE/5G NR, CPE DSL/Ethernet, ONTs de fibra e extensores sem fio. A Zyxel alerta que atacantes remotos não autenticados podem explorar essa vulnerabilidade para executar comandos do sistema operacional em dispositivos não corrigidos, utilizando requisições SOAP UPnP maliciosas. No entanto, a empresa ressalta que a exploração bem-sucedida é limitada, pois requer que tanto o UPnP quanto o acesso WAN estejam habilitados, sendo que este último está desativado por padrão. Além disso, a Zyxel também corrigiu duas vulnerabilidades de injeção de comandos pós-autenticação (CVE-2025-13943 e CVE-2026-1459) que permitem a execução de comandos do sistema por meio de credenciais comprometidas. A CISA dos EUA está monitorando 12 vulnerabilidades da Zyxel que estão sendo ativamente exploradas. A empresa recomenda fortemente que os usuários instalem os patches para garantir a proteção adequada.

Pesquisadores da Cisco Talos revelaram a existência do DKnife, um spyware ativo desde 2019 que tem como alvo roteadores, permitindo que cibercriminosos monitorem e manipulem dados de dispositivos conectados à rede. O DKnife utiliza a técnica adversary-in-the-middle (AitM) para interceptar atualizações legítimas de aplicativos, substituindo-as por versões maliciosas. Entre suas funcionalidades, destacam-se a capacidade de ler dados trafegados, enviar informações roubadas aos hackers, atualizar arquivos maliciosos em dispositivos Android e desencriptar comunicações seguras para roubar senhas. O malware também consegue monitorar aplicativos de mensagens, como WeChat e Signal, e se oculta de antivírus para evitar detecções. Embora os principais alvos sejam usuários na China, a evolução do DKnife indica uma colaboração com outras ameaças, como a WizardNet, que se espalhou por diversos países. Para mitigar os riscos, recomenda-se atualizar o firmware dos roteadores e desabilitar o gerenciamento remoto, fechando portas de invasão.

Cibercriminosos estão aproveitando uma vulnerabilidade crítica em roteadores D-Link de gateway DSL que não recebem suporte há anos. A falha, identificada como CVE-2026-0625, afeta o endpoint dnscfg.cgi devido à má sanitização em uma biblioteca CGI, permitindo a execução remota de códigos maliciosos. Os modelos afetados incluem DSL-526B, DSL-2640B, DSL-2740R e DSL-2780B, todos considerados ’end-of-life’ desde 2020, o que significa que não receberão mais atualizações de firmware ou patches de segurança. A D-Link recomenda que os usuários desses dispositivos os substituam por modelos mais novos. A empresa ainda investiga se outros produtos podem ser impactados pela falha. Embora não se saiba quais hackers estão explorando a vulnerabilidade, a maioria das configurações permite apenas acesso LAN a interfaces administrativas. A exploração da falha pode ocorrer através de ataques baseados em navegador ou mirando dispositivos configurados para administração remota. A situação é preocupante, pois a falta de suporte para esses dispositivos pode expor redes a riscos significativos.

Uma nova vulnerabilidade crítica, identificada como CVE-2026-0625, foi descoberta em roteadores DSL da D-Link, com um alto índice de severidade de 9.3 no CVSS. Essa falha, que se refere a uma injeção de comandos no endpoint ‘dnscfg.cgi’, permite que atacantes remotos não autenticados injetem e executem comandos de shell arbitrários, resultando em execução remota de código. Os modelos afetados incluem DSL-2740R, DSL-2640B, DSL-2780B e DSL-526B, todos com status de fim de vida desde 2020. A D-Link está investigando a situação após um alerta da VulnCheck em dezembro de 2025, mas a identificação precisa dos modelos afetados é complexa devido a variações de firmware. A exploração ativa dessa vulnerabilidade foi registrada em novembro de 2025, e a empresa recomenda que os proprietários de dispositivos afetados considerem a substituição por modelos que recebam atualizações regulares de firmware e segurança. A falha expõe um mecanismo de configuração DNS que já foi utilizado em campanhas de sequestro de DNS em larga escala, permitindo que atacantes alterem silenciosamente as entradas de DNS, comprometendo a segurança de toda a rede conectada ao roteador.

Uma nova campanha de hackers chineses, identificada como Operação WrtHug, comprometeu milhares de roteadores ASUS WRT globalmente, visando criar uma rede de espionagem. Pesquisadores da SecurityScorecard relataram que a operação explora seis vulnerabilidades específicas, incluindo CVE-2023-41345 a CVE-2025-2492, relacionadas ao serviço ASUS AiCLOUD e a falhas de OS Injection. Os atacantes conseguiram obter privilégios elevados em dispositivos SOHO considerados ‘fim de vida’, que são frequentemente utilizados por provedores de internet. A maioria dos dispositivos afetados compartilha um certificado TLS auto-assinado com uma data de expiração de 100 anos, facilitando a persistência dos hackers. Aproximadamente 50% das vítimas estão localizadas em Taiwan, levantando suspeitas sobre a origem chinesa dos atacantes. O incidente destaca a importância de monitorar serviços desatualizados e a necessidade de vigilância constante contra campanhas de intrusão patrocinadas por estados, que estão em evolução contínua para ampliar suas capacidades de espionagem.

Pesquisadores em cibersegurança identificaram o malware PolarEdge, um botnet que visa roteadores de marcas como Cisco, ASUS, QNAP e Synology. Documentado pela primeira vez em fevereiro de 2025, o PolarEdge utiliza uma falha de segurança conhecida (CVE-2023-20118) para se infiltrar nos dispositivos, baixando um script shell que executa um backdoor. Este backdoor, implementado em ELF e baseado em TLS, monitora conexões de clientes e pode executar comandos recebidos de um servidor de comando e controle (C2). PolarEdge opera em dois modos: um modo de conexão reversa e um modo de depuração, permitindo modificações em sua configuração. Além disso, o malware emprega técnicas de anti-análise para ocultar suas operações e não garante persistência após reinicializações, embora utilize processos filhos para reativar-se. A descoberta do PolarEdge é relevante, especialmente considerando a crescente integração de dispositivos IoT e a vulnerabilidade de roteadores, que são alvos comuns de ataques. A situação é agravada pela possibilidade de que o malware tenha começado a operar desde junho de 2023, indicando um período prolongado de atividade maliciosa.

Pesquisadores revelaram uma falha crítica de segurança em roteadores empresariais que utilizam o sistema DrayOS, permitindo que atacantes remotos não autenticados provoquem corrupção de memória, quedas de sistema e potencialmente executem código arbitrário. A vulnerabilidade está presente na Interface Web do Usuário (WebUI), que aceita requisições HTTP(S) sem validação adequada de entrada. Quando explorada, essa falha pode dar controle total sobre os dispositivos afetados, permitindo que os atacantes se movam mais profundamente nas redes corporativas. A exploração ocorre ao enviar requisições maliciosas para a WebUI em interfaces de rede com acesso remoto habilitado. A DrayTek já lançou atualizações de firmware para corrigir a vulnerabilidade, e os usuários são aconselhados a atualizar imediatamente para evitar riscos de exploração. Para mitigar a ameaça, recomenda-se desabilitar o acesso remoto à WebUI e implementar listas de controle de acesso (ACLs) que restrinjam o acesso a hosts confiáveis. Além disso, é importante realizar auditorias de patch e testes de penetração periódicos para garantir a segurança das interfaces de gerenciamento remoto.

Pesquisadores de segurança identificaram três vulnerabilidades críticas no firmware do roteador TOTOLINK X6000R, versão V9.4.0cu.1360_B20241207, lançado em 28 de março de 2025. Essas falhas permitem que atacantes não autenticados provoquem condições de negação de serviço, corrompam arquivos do sistema e executem comandos arbitrários no dispositivo. As vulnerabilidades são: CVE-2025-52905, que permite injeção de argumentos e negação de serviço; CVE-2025-52906, uma vulnerabilidade crítica de injeção de comandos que possibilita a execução remota de comandos; e CVE-2025-52907, que permite a corrupção de arquivos do sistema devido a uma lista de bloqueio incompleta. Todas as falhas estão relacionadas à interface web do roteador, especificamente no endpoint /cgi-bin/cstecgi.cgi, que não valida adequadamente as entradas. A TOTOLINK já lançou uma atualização de firmware para corrigir essas falhas e recomenda que todos os usuários atualizem imediatamente. Além disso, práticas de segurança adicionais, como a mudança de credenciais padrão e a segmentação de dispositivos IoT, são aconselhadas para mitigar riscos futuros.

Em junho de 2025, a equipe de Detecção e Pesquisa de Ameaças da Sekoia.io identificou requisições POST anômalas em Roteadores Celulares Industriais Milesight, que resultaram na distribuição em massa de mensagens SMS de phishing. Os atacantes exploraram um ponto de extremidade de API não autenticado para enviar cargas JSON que ativavam funções de entrega de SMS. A análise revelou que mais de 19.000 roteadores Milesight estão acessíveis publicamente na internet, com 572 deles apresentando acesso não autenticado às suas APIs de SMS. A maioria dos dispositivos vulneráveis estava nas versões de firmware 32.2.x.x e 32.3.x.x, com uma concentração geográfica significativa na Europa, especialmente na França, Bélgica e Turquia. As campanhas de smishing variaram entre envios em massa e campanhas direcionadas, utilizando domínios maliciosos que se passavam por serviços confiáveis. A exploração desses roteadores destaca a necessidade urgente de proteger dispositivos IoT e de borda, recomendando auditorias de APIs, atualização de firmware e monitoramento contínuo do tráfego dos dispositivos.

Recentemente, a TP-Link confirmou uma vulnerabilidade crítica em vários modelos de roteadores, que ainda não possui correção. A falha, identificada pelo pesquisador Mehrun da ByteRay, é uma vulnerabilidade de zero-day relacionada à sobrecarga de buffer no Protocolo de Gerenciamento CPE WAN (CWMP). Essa falha permite a execução remota de códigos maliciosos, especialmente quando o tamanho dos buffers ultrapassa 3072 bytes. Os atacantes podem explorar essa vulnerabilidade através de um servidor CWMP malicioso, comprometendo roteadores que utilizam credenciais padrão ou firmwares desatualizados. Modelos como Archer AX10 e AX1500 já foram confirmados como vulneráveis, e a TP-Link está desenvolvendo um patch para modelos fora da Europa. Enquanto isso, recomenda-se que os usuários alterem as senhas padrão, desativem o CWMP se não for necessário e atualizem seus dispositivos para a versão mais recente do firmware. A situação é preocupante, especialmente considerando que botnets têm explorado falhas em roteadores para disseminar malware e roubar credenciais, como observado em ataques recentes.