Эксперты по кибербезопасности обнаружили новую кампанию по распространению модификации ботнета Mirai под названием RondoDox, которая активно эксплуатирует уязвимости в устройствах интернета вещей (IoT). Согласно исследованиям, проведенным в партнерстве с компанией Efflux, злоумышленники используют более десятка различных эксплойтов для атак на маршрутизаторы, IP-камеры и сетевые хранилища.
Описание
Кампания была впервые зафиксирована 15 июля текущего года и продолжает набирать обороты. Особенностью данной угрозы является многоэтапная архитектура атаки. Первоначально выполняется shell-скрипт, который подготавливает систему для загрузки основного вредоносного модуля. Интересно, что злоумышленники используют ограниченный набор IP-адресов для распространения, причем большинство из них принадлежат телекоммуникационным компаниям, предоставляющим услуги населению.
Анализ инфраструктуры показал, что основным распределительным узлом в последние месяцы стал адрес 74.194.191[.]52, на который приходится более 5000 инцидентов. Примечательно, что злоумышленники периодически реактивируют старые IP-адреса, что может свидетельствовать о хорошо продуманной стратегии сохранения работоспособности инфраструктуры.
Второй этап атаки представляет собой набор исполняемых файлов для различных архитектур процессоров, включая ARM, MIPS, x86 и другие. Это позволяет вредоносной программе работать практически на любом IoT-устройстве. Все файлы названы по шаблону "rondo" с указанием архитектуры, что упрощает их идентификацию.
Первоначальный скрипт демонстрирует высокую степень адаптации к целевой системе. Он последовательно проверяет наличие различных инструментов загрузки, включая wget, curl и busybox. Кроме того, скрипт активно пытается обнаружить и удалить следы предыдущих заражений, а также отключает системы безопасности, такие как SELinux и AppArmor.
Особого внимания заслуживает перечень эксплуатируемых уязвимостей. Среди них присутствуют как давно известные, так и недавно обнаруженные уязвимости в оборудовании различных производителей. Например, CVE-2023-1389 в маршрутизаторах TP-Link Archer AX21 позволяет выполнять произвольные команды без аутентификации. Уязвимость CVE-2025-34043 в сетевых видеорегистраторах Vacron также представляет серьезную угрозу.
Эксперты отмечают, что многие из этих уязвимостей связаны с инъекцией команд через веб-интерфейсы устройств. Это подчеркивает важность своевременного обновления прошивок и изменения стандартных паролей. Особенно учитывая, что некоторые уязвимости позволяют злоумышленникам получать полный контроль над устройством без необходимости аутентификации.
Кампания демонстрирует растущую тенденцию к целенаправленным атакам на IoT-инфраструктуру. Использование скомпрометированных резидентных IP-адресов усложняет обнаружение и блокировку вредоносной активности. Кроме того, многообразие целевых архитектур свидетельствует о стремлении злоумышленников максимизировать охват потенциальных жертв.
Специалисты рекомендуют организациям и частным пользователям уделять особое внимание безопасности сетевых устройств. Регулярное обновление прошивок, отключение неиспользуемых сервисов и мониторинг сетевой активности могут значительно снизить риск заражения. Также важно использовать сложные уникальные пароли и при возможности ограничивать доступ к административным интерфейсам из внешних сетей.
Обнаруженная кампания наглядно демонстрирует, что IoT-устройства остаются привлекательной мишенью для киберпреступников. Сочетание устаревшего программного обеспечения, слабой конфигурации безопасности и длительного жизненного цикла делает эту категорию оборудования особенно уязвимой для современных угроз.
Индикаторы компрометации
