Napadači provaljivali u Zyxel svičeve, čak i one zakrpljene

Zyxel svičevi sa zakrpama iz juna i dalje nisu bili zaštićeni. Svič je mrežni razdelnik saobraćaja u koji se uključuju računari, serveri, štampači, IP telefoni i kamere. Kroz njega prolazi sav njihov saobraćaj. Serija GS1900 obuhvata jeftinije upravljive svičeve, namenjene manjim firmama. U junu je Zyxel zakrpio propust kroz koji napadač bez lozinke, preko stranice za podešavanje sviča, može da pokreće komande na samom sviču. Od sredine avgusta grupa sa kineskog govornog područja provalila je u 996 takvih svičeva u 48 zemalja i odnela njihova podešavanja i šifrovane administratorske lozinke. Firma GreyNoise objavila je to 21. septembra i napad pripisala junskom propustu, a američka CISA ga je istog dana stavila na listu aktivno zloupotrebljenih. Nedelju dana kasnije istraživači firme Binarly našli su na serveru napadača i sam alat za napad. Na spisku meta imao je i verzije sa junskom zakrpom, i radio je na zakrpljenom firmveru svih deset modela. Junska zakrpa je dodala proveru, ali napadač je pre nje mogao da pokvari brojač na koji se ta provera oslanja. Zyxel je novi propust potvrdio 11. oktobra, ispravku izdao 22. oktobra, a savet za ranjivost objavio 3. novembra. U njemu se ne pominju ni napadi ni junska zakrpa. Koliko je uređaja provaljeno kroz novi propust a koliko kroz stari, nije poznato. GreyNoise istu ili povezanu grupu vezuje za kampanju Red Heron, koja je ovog leta provaljivala u Gitea servere, i za krađu više od 18.500 zapisa iz WordPress sajtova državnih ustanova i malih firmi.