Лаборатория FortiGuard Labs обнаружила новый ботнет, названный "RustoBot", который распространяется через уязвимости в устройствах TOTOLINK. Вредоносная программа написана на языке программирования Rust.
Описание
В январе и феврале 2025 года было замечено увеличение атак с использованием уязвимостей TOTOLINK, включая уязвимости инъекции команд. Было также выявлено, что атаки произошли в Японии, Тайване, Вьетнаме и Мексике, основными целями стали компании в технологическом секторе.
Вредоносная программа "RustoBot" имеет версии для пяти архитектур, включая x86, и распространяется с помощью скриптов-загрузчиков и файлов tftp и get. Вредоносный код RustoBot декодирует свою конфигурацию с использованием алгоритма XOR и использует системные API-функции для выполнения команд. Также обнаружено, что ботнет RustoBot осуществляет разрешение доменов C2, используя DNS-over-HTTPS, и проводит DDoS-атаки.
FortiGuard Labs также обнаружила еще одну уязвимость, CVE-2024-12987, которая затронула устройства DrayTek и используется злоумышленниками вместе с уязвимостями TOTOLINK. Эта уязвимость представляет собой инъекцию команды ОС и позволяет удаленно управлять устройствами DrayTek.
Кроме того, вредоносная программа RustoBot использует DNS-over-HTTPS для скрытия своего вредоносного трафика среди легитимного HTTPS-трафика. Программа пытается разрешить четыре домена: dvrhelper[.]anondns[.]net, techsupport[.]anondns[.]net, rustbot[.]anondns[.]net и miraisucks[.]anondns[.]net.
Индикаторы компрометации
