Firma CloudSEK opublikowała 28 października 2026 roku raport o botnecie, który nazwała Doorway. W październiku jej badacze trafili na dwa identyczne, publicznie dostępne katalogi zostawione przez operatorów. Było w nich około 41 GB danych roboczych: kod źródłowy, wyniki skanowania, logi i notatki. Rzadko widać tak dokładnie, jak wygląda od środka kampania wymierzona w domowy i biurowy sprzęt sieciowy.

W co celuje

Sercem botnetu jest silnik napisany w Ruście, liczący około 21 870 wierszy kodu, z 59 modułami eksploitów. Obejmują kamery IP, routery i terminale światłowodowe (ONU, czyli skrzynki instalowane przez dostawców internetu), a także oprogramowanie serwerowe w Javie: Openfire, Jenkins, Tomcat i ActiveMQ. Silnik ma wbudowane 34 domyślne pary loginu i hasła i zapamiętuje te, które zadziałały, więc z czasem zgaduje coraz skuteczniej.

Jedno ze skanowań trwało od 19 września do 19 października 2026 roku. Z logów CloudSEK wyciągnął między innymi:

  • 7369 udanych logowań do MikroTik RouterOS na 4923 urządzeniach, często z dopisanymi ustawieniami serwera pośredniczącego SOCKS
  • 4671 wpisów o dołączeniu do modułów z 4217 adresów IP
  • 1060 rekordów abonentów PPPoE jednego dostawcy internetu
  • 20 przypadków zdalnego wykonania kodu w Jenkinsie i 16 wgranych wtyczek do Openfire
  • 18 przejętych routerów ZBT i MoreQuick przez moduł o nazwie DARKLANTERN
  • 1772 adresy IP ofiar, które dało się przypisać do lokalizacji

Według własnego rejestru operatora w ciągu jednej godziny było 11 363 dołączenia i 58 920 pobrań złośliwego kodu. W plikach jest też eksploit na RouterOS wykorzystujący CVE-2023-30799, który uruchamia na procesorze MIPS zdalną powłokę. CloudSEK nie potwierdził, że działa na dużą skalę: w logu z ataków są trzy próby i wszystkie się nie udały.

Jak to działa od środka

Linki do złośliwego kodu są podpisane HMAC i przypisane do adresu IP ofiary, więc badacz nie może ich po prostu pobrać. Żądania przedstawiają się jako „Hello World”. Plik WATCHER-BRIEF.md wygląda jak notatka przekazania zmiany w zespole utrzymania, a według CloudSEK sesje wskazują na korzystanie z narzędzi opartych na modelach językowych. W chwili publikacji raportu kampania nadal trwała.

Co sprawdzić

Większość udanych ataków opiera się na dwóch rzeczach: panelu administracyjnym dostępnym z internetu i haśle, którego nikt nie zmienił. CloudSEK zaleca:

  • wyłączyć dostęp do panelu kamer, routerów i terminali ONU z internetu
  • zmienić domyślne hasła
  • wyłączyć Telnet i UPnP, jeśli nie są potrzebne
  • sprawdzić w MikroTikach, czy nie działa serwer pośredniczący SOCKS na porcie 1080 i czy nie pojawiły się nieznane konta, na przykład „admin” albo „devel”

Jeśli router MikroTik w domu albo w małym biurze ma ustawienia serwera pośredniczącego, których nikt nie dodawał, uznaj go za przejęty i przywróć ustawienia fabryczne.