В последние недели эксперты FortiGuard Labs зафиксировали активность нового ботнета под названием RondoDox, который использует две критические уязвимости - CVE-2024-3721 и CVE-2024-12856 - для заражения устройств и создания скрытой инфраструктуры для кибератак. Этот ботнет отличается от распространенных аналогов, таких как Mirai или Gafgyt, и обладает рядом особенностей, которые делают его особенно опасным.
Описание
Первая из эксплуатируемых уязвимостей, CVE-2024-3721, затрагивает DVR-устройства TBK моделей DVR-4104 и DVR-4216 и связана с некорректной обработкой параметров в URL-пути, что позволяет выполнять произвольные команды на устройстве. Вторая, CVE-2024-12856, атакует маршрутизаторы Four-Faith серий F3x24 и F3x36 через веб-интерфейс управления временем системы. Обе уязвимости уже активно используются злоумышленниками, подчеркивая необходимость срочного обновления ПО на уязвимых устройствах.
Особенность RondoDox в том, что он разработан для маскировки под легальный трафик игровых платформ, VPN-сервисов и других популярных сервисов, включая Valve, Minecraft, Discord, OpenVPN и WireGuard. Это значительно усложняет его обнаружение традиционными средствами защиты. Ботнет распространяется через скомпрометированные Linux-системы, нацеливаясь на широкий спектр архитектур, включая ARM, MIPS, x86-64 и AArch64. При этом он использует сложные методы персистентности, такие как модификация файлов инициализации системы, внедрение в cron-задачи и подмена критически важных исполняемых файлов.
После заражения устройства RondoDox декодирует конфигурационные данные с помощью XOR-шифрования и устанавливает связь с командным сервером, расположенным по адресу 83.150.218.93. Основная функция ботнета - организация DDoS-атак через HTTP, UDP и TCP, причем атакующий трафик искусно маскируется под легальные соединения. Например, при атаке с имитацией OpenVPN в пакетах используются «магические байты», характерные для этого протокола.
Эксперты отмечают, что RondoDox демонстрирует высокий уровень изощренности: он не только избегает обнаружения, но и активно противодействует анализу, убивая процессы, связанные с сетевыми утилитами (например, Wireshark или tcpdump), и переименовывая системные файлы, такие как iptables или passwd, в случайные строки символов. Это затрудняет восстановление системы после заражения.
Угроза RondoDox подчеркивает важность своевременного обновления ПО, мониторинга сетевой активности и применения продвинутых систем обнаружения аномалий. Эксперты рекомендуют организациям усилить защиту IoT-устройств и маршрутизаторов, а также внедрять решения для анализа поведения сетевого трафика, способные выявлять замаскированные атаки.
Пока активность RondoDox остается ограниченной, но его техническая сложность и способность обходить традиционные средства защиты говорят о том, что этот ботнет может стать серьезной проблемой в ближайшем будущем. Компаниям следует уже сейчас принимать меры для минимизации рисков, включая сегментацию сетей и регулярный аудит безопасности.
Индикаторы компрометации
