Laut dem Bericht von Akamai betrifft die Schwachstelle die D-Link-Router der Serie DIR-823X in den Firmware-Versionen 240126 und 24082. Ein authentifizierter Angreifer kann darüber beliebige Befehle ausführen, indem er eine POST-Anfrage an den Endpunkt /goform/set_prohibiting sendet und so die Remote-Code-Ausführung auslöst.

Die Forscher, die die Lücke entdeckten, veröffentlichten zunächst einen Proof-of-Concept-Exploit auf GitHub, zogen ihn aber später wieder zurück.

Nach den Beobachtungen von Akamai senden die Angreifer POST-Anfragen, die über beschreibbare Pfade die Verzeichnisse wechseln, anschließend ein Shell-Skript (dlink.sh) von einer externen IP-Adresse herunterladen und es ausführen. Das Skript installiert eine auf Mirai basierende Schadsoftware namens „tuxnokill", die mehrere Prozessorarchitekturen unterstützt.

In ihren Fähigkeiten bringt die Malware das übliche Repertoire von Mirai für verteilte Denial-of-Service-Angriffe (DDoS) mit, darunter TCP-SYN/ACK/STOMP-, UDP-Flood- und HTTP-Null-Angriffe.

Akamai stellte zudem fest, dass derselbe Akteur hinter der Kampagne auch CVE-2023-1389 in TP-Link-Routern sowie eine separate RCE-Schwachstelle in ZTE-ZXV10-H108L-Routern ausnutzt. Bei allen Geräten beobachteten die Forscher dasselbe Angriffsmuster, das jeweils in der Ausführung einer Mirai-Schadsoftware mündet.

Die betroffenen D-Link-Geräte erreichten im November 2024 das Ende ihrer Lebensdauer. Es ist daher wahrscheinlich, dass die letzte verfügbare Firmware CVE-2025-29635 nicht behebt. Da D-Link auch bei festgestellter aktiver Ausnutzung keine Ausnahmen macht, ist nicht damit zu rechnen, dass der Hersteller nun noch einen Patch bereitstellt. BleepingComputer hat D-Link zu der gemeldeten Aktivität und zum Stand einer möglichen Korrektur angefragt.

Nutzern von Routern, die das Ende ihres Supports erreicht haben, wird empfohlen, auf ein neueres, aktiv unterstütztes Modell mit regelmäßigen Sicherheitsupdates umzusteigen, nicht benötigte Fernwartungszugänge zu deaktivieren, voreingestellte Administrator-Passwörter zu ändern und die Konfiguration auf unerwartete Änderungen zu überwachen.