ไมโครซอฟท์ออกรายงานถึงมัลแวร์ Trickbot ที่เป็นต้นทางการแฮกสู่บริการอื่นๆ เช่น มัลแวร์เรียกค่าไถ่, การวางโปรแกรมขุดเงินคริปโต, หรือการให้กลุ่มแฮกเกอร์อื่นเข้ายึดเครื่องของเหยื่อ (access-as-a-service) โดยกลุ่ม Trickbot นี้ดำเนินการมาได้นานตั้งแต่ปี 2016 มีแนวทางสำคัญคือการแฮกอุปกรณ์ IoT หรือเราท์เตอร์ เพื่อเป็นฐานในการไปแฮกเป้าหมายที่แท้จริงอีกที

ทีมวิจัยของบริษัท Eclypsium รายงานผลการสำรวจเราท์เตอร์ MikroTik ที่ได้รับความนิยมอย่างสูงในหมู่ธุรกิจขนาดเล็ก พบว่าผู้ใช้จำนวนมากไม่ยอมอัพเดตเฟิร์มแวร์ จนทำให้แฮกเกอร์สามารถเข้ายึดเราท์เตอร์เหล่านี้ได้โดยง่าย

Eclypsium สำรวจข้อมูลจาก Shodan พบว่าเราท์เตอร์ที่น่าจะเข้าข่ายมีช่องโหว่มีอยู่ถึง 300,000 ไอพี และในจำนวนนี้มีประมาณ 20,000 เครื่องที่เปิดบริการ proxy แล้วแอบใส่สคริปต์ขุดเงินคริปโตเอาไว้

ช่องโหว่ทั้งหมดที่ใช้สำรวจครั้งนี้ถูกแก้ไขใน RouterOS รุ่นใหม่ๆ ทั้งหมดแล้ว โดยช่องโหว่มีการรายงานมานานกว่า 2 ปี แต่ผู้ใช้จำนวนหนึ่งก็ยังไม่ได้อัพเดตแพตช์

Simon Kenin จาก Trustwave รายงานถึงการขุดเงินคริปโตเป็นวงกว้างในช่วงเดือนที่ผ่านมา ทำให้คาดได้ว่าอาจจะมีเว็บขนาดใหญ่ถูกแอบฝังสคริปต์ แต่กลับพบว่าสคริปต์มาจากเราท์เตอร์ MikroTik ที่ไม่ได้แพตช์

ช่องโหว่ของ RouterOS ของ MikroTik ค้นพบตั้งแต่เดือนเมษายนที่ผ่านมา หลังมีรายงานช่องโหว่เพียงวันเดียว และทางบริษัทก็ออกแพตช์ไปเรียบร้อยแล้ว อย่างไรก็ตามเราท์เตอร์จำนวนมากยังคงไม่ได้อัพเดต

เมื่อแฮกเกอร์ยึดเราท์เตอร์ได้แล้ว จะคอนฟิก webproxy ให้ดักหน้าเพจที่ error ทั้งหมด ทำให้ผู้ใช้ทั่วไปสามารถใช้งานเว็บต่อไปได้ แต่เมื่อเข้าหน้าที่เป็น error เมื่อใดสคริปต์ขุดเหมืองก็จะเริ่มทำงาน ผู้ใช้บางรายระบุว่าบางกรณีก็ปล่อยสคริปต์ขุดเหมืองทุกหน้า ไม่เฉพาะหน้า error อย่างเดียว