Die als CVE-2025-29635 geführte Sicherheitslücke beruht darauf, dass ein durch den Angreifer kontrollierbarer Funktionswert ohne Validierung in einen Befehlspuffer kopiert wird. Ausnutzen lässt sie sich über präparierte POST-Anfragen. Laut Akamai entnimmt der Router den Wert, der schließlich im Befehlspuffer landet, dem Anfragetext, ohne zu prüfen, aus welchem Formularfeld er stammt.
Die beobachteten Angriffsversuche zielen auf denselben Code und lösen denselben Systemaufruf aus wie ein Proof-of-Concept-Exploit, der im vergangenen Jahr auf GitHub veröffentlicht und inzwischen wieder entfernt wurde. Im Ausführungspfad wird ein Shell-Skript geladen, das eine Schadsoftware herunterlädt und startet. Diese weist zahlreiche Mirai-Merkmale auf, darunter eine XOR-Kodierung, eine fest einprogrammierte Zeichenfolge zur Konsolenausführung und eine fest hinterlegte IP-Adresse für den Downloader.
Betroffen ist die Firmware der D-Link-Router DIR-823X in den Versionen 240126 und 24082. Die Geräte wurden im vergangenen Jahr eingestellt und werden vom Hersteller nicht mehr mit Updates versorgt. D-Link empfahl nach eigenen Angaben dringend, das Produkt außer Betrieb zu nehmen, und warnte, dass jede weitere Nutzung ein Risiko für die angeschlossenen Geräte sein könne.
Nach Angaben von Akamai richtet dieselbe Angreifergruppe ihre Aktivitäten auch gegen Schwachstellen in Routern von TP-Link und ZTE. Für den Aufbau der Schadsoftware griffen die Angreifer den Beobachtungen zufolge nicht auf sogenanntes Vibe Coding zurück.
Akamai ordnet den Vorfall in ein größeres Bild ein: Mirai-Kampagnen belasten die Branche weiterhin, und ein Großteil des ursprünglichen Quellcodes werde von unterschiedlichen Akteuren immer wieder verwendet — von erfahrenen wie von unerfahrenen. Die niedrige Einstiegshürde und mögliche finanzielle Anreize gehörten zu den Gründen, warum sich Einzelne dem Botnet-Umfeld zuwendeten und zu Bedrohungsakteuren würden.