Угроза RondoDox: от DDoS до майнинга - эволюция многофункционального ботнета

Группировка RondoDox, активная с мая 2025 года, демонстрирует классический пример эволюции современной киберугрозы: от специализированного инструмента для организации распределённых атак на отказ в обслуживании (DDoS) до сложного многофункционального вредоносного ПО, способного не только выводить из строя целевые системы, но и тайно использовать вычислительные мощности заражённых устройств для майнинга криптовалюты. Недавний анализ сотен образцов, проведённый специалистами по кибербезопасности, позволил детально восстановить цепочку заражения, изучить внутреннее устройство ботнета и проследить его развитие за восемь месяцев, что даёт ценные инсайты для специалистов по защите.

Описание

Цепочка заражения и начальный имплант

Заражение начинается с эксплуатации уязвимостей в сетевых службах, как правило, на устройствах Интернета вещей (IoT) или устаревших серверах. После успешного взлома полезная нагрузка использует инъекцию команд для выполнения скрипта-дроппера прямо из памяти, без записи на диск. Этот начальный имплант выполняет несколько ключевых задач. Прежде всего, он пытается скрыть своё присутствие, перенаправляя все системные сообщения в никуда и проверяя, не запущен ли он из терминала, что может указывать на анализ. Затем следует агрессивная "зачистка территории": скрипт перебирает запущенные процессы и принудительно завершает те из них, чьи исполняемые файлы находятся в общих каталогах вроде "/tmp" или "/dev", где часто размещаются другие вредоносные программы. Таким образом, RondoDox устраняет конкурентов, обеспечивая себе монополию на ресурсы системы.

Следующий этап - поиск доступного для записи каталога. Скрипт последовательно проверяет более десятка стандартных путей, от "/dev/shm" до "/lib", создавая и удаляя тестовый файл. Последний успешно записанный путь становится местом для размещения основного бинарного файла ботнета. Наконец, дроппер определяет архитектуру системы и загружает подходящий исполняемый файл "rondo" с одного из управляемых злоумышленниками серверов. Интересно, что в аргументах запуска передаётся тип эксплуатируемой уязвимости (например, "react" для React2Shell), что позволяет операторам ботнета отслеживать эффективность различных векторов атаки.

Основной модуль: стойкость, скрытность и расширенные возможности

После выполнения скрипта управление переходит к основному бинарному файлу, который воплощает в себе весь спектр вредоносных функций. Его первая задача - максимально усложнить обнаружение и анализ. Модуль использует технику наномайтов (nanomites): процесс раздваивается, и дочерний поток начинает следить за родительским, проверяя, не был ли к нему подключён отладчик через файл "/proc/<pid>/status". При обнаружении слежения оба процесса аварийно завершаются. Далее вредоносное ПО делает себя демоном, меняет счётчик для механизма OOM-Killer, чтобы система не завершила его при нехватке памяти, и маскируется, переименовывая свой исполняемый файл в случайное имя и перемещая его в каталог "/lib/systemd/".

Закрепление в системе (persistence) реализовано комплексно. Модуль не только создаёт собственные записи в "cron", "rc.local" и папках "init.d", но и предварительно "чистит" эти же механизмы у других угроз, удаляя подозрительные задания, которые могут запускать статически скомпилированные ELF-файлы. Для дальнейшего противодействия анализу вредоносное ПО в цикле завершает процессы, связанные с известными инструментами вроде "busybox" или "ufw", и даже переименовывает системные утилиты, такие как "iptables" или "shutdown".

Новым этапом эволюции, отмеченным с ноября 2025 года, стала интеграция майнера криптовалюты Monero (XMRig). После настройки режима максимальной производительности для всех ядер CPU, модуль загружает майнер, даёт ему имя "softirq" и запускает, подключаясь к прокси-серверу злоумышленников. В командной строке майнера в качестве имени пользователя снова фигурирует тип уязвимости, позволяя оценивать "доходность" каждого вектора атаки.

Командование и управление: текстовый протокол и арсенал DDoS

После установки и маскировки модуль пытается выйти на связь с центром управления (C2). Он случайным образом выбирает один из двух хардкодных IP-адресов и устанавливает TCP-соединение на порт 8443. Протокол взаимодействия текстовый и может использовать простое XOR-шифрование с односимвольным ключом. После отправки приветственного сообщения (например, "rondo react.x86_64.persisted 1") бот переходит в режим ожидания команд.

Исследователи выделили 16 различных команд, которые может принимать модуль. Три из них служат для управления самим ботом: завершение работы, выполнение произвольной системной команды и принудительное завершение указанного процесса. Остальные 13 команд - это арсенал для организации DDoS-атак на разных уровнях сетевой модели OSI. Бот способен генерировать атаки на канальном (например, флуд сырыми UDP-пакетами с подменой IP-адреса отправителя), транспортном (SYN-флуд, TCP-флуд) и прикладном уровнях. Особый интерес представляет поддержка 28 специализированных протоколов, многие из которых связаны с онлайн-играми (CS:GO, Fortnite, Roblox) или VPN-сервисами (OpenVPN, WireGuard). Это указывает на возможную специализацию группировки на оказании давления на игровые сервисы или провайдеров. Для атак с подменой IP-адреса в коде жёстко прописаны 39 диапазонов сетей хостинг-провайдера OVH, что может использоваться для маскировки трафика под легитимный.

Эволюция угрозы: постоянное развитие

Анализ временной шкалы образцов с мая 2025 по январь 2026 года показывает активный цикл разработки. Изначально ботнет был ориентирован в основном на DDoS. Однако со временем злоумышленники значительно расширили список поддерживаемых архитектур процессоров, усложнили методы обфускации строк (перейдя от простого XOR к кастомным алгоритмам с заменой и сдвигами), усилили механизмы удаления конкурирующего вредоносного ПО. Ключевым нововведением стала интеграция майнинга в ноябре 2025 года, превратившая ботнет из инструмента вандализма в источник прямого дохода. Одновременно развивался и арсенал DDoS-команд, добавились атаки по новым протоколам и более сложные методы спуфинга.

Для специалистов по информационной безопасности история RondoDox служит напоминанием о важности базовых принципов защиты: своевременное обновление программного обеспечения, особенно на периферийных сетевых устройствах, сегментация сети, мониторинг несанкционированных исходящих соединений и подозрительной активности процессов, такой как создание скрытых файлов в системных каталогах или попытки изменения параметров планировщика задач "cron". Ботнеты, объединяющие в себе разрушительный потенциал и финансовую мотивацию, остаются одной из самых устойчивых и адаптивных угроз в киберпространстве.

Индикаторы компрометации

IPv4

124.198.131.185
124.198.131.83
135.148.68.54
14.103.145.202
14.103.145.211
154.91.254.95
169.255.72.169
192.159.99.95
192.183.232.142
192.253.248.5
193.26.115.178
193.26.115.195
23.228.188.126
37.32.15.8
38.59.219.27
41.231.37.153
45.125.66.100
45.135.194.11
45.135.194.32
45.135.194.34
45.153.34.156
45.156.87.165
45.8.145.203
45.88.186.32
45.88.186.85
45.92.1.50
45.94.31.201
45.94.31.89
70.184.13.47
74.194.191.52
78.153.149.90
83.150.218.93
83.252.42.112
87.121.84.132
87.121.84.31
87.121.84.75
99.241.94.234

SHA256
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YARA

rule iot_rondodox_binary {

meta:

description = "Detects the rondodox binary"

author = "jcfg"

date = "2026-01-14"

hash = "7f28d9922662307156b5d5cd1c217e724a23466bab5bb03bd29f098b7e8251b0"

strings:

// Strings that format the commands are not yet encrypted

$s0 = "%s %s %s %d %d %d %d %d" ascii nocase

$s1 = "%s %s %s %d %d %d %d" ascii nocase

$s2 = "%s %s %s %d %d %d" ascii nocase

$s3 = "%s %s %s %d %d" ascii nocase

$s4 = "%s %s %s %d %d %d %s %d %d %d" ascii nocase

$s5 = "%s %s %d %s %d %d %d" ascii nocase

$s6 = "%s %s %d %d %s %d %d %d" ascii nocase

$s7 = "%s %s %d %s %d %d %s %d %d %d" ascii nocase

// Older samples still contain plain strings

$t0 = "/tmp/contact.txt" ascii nocase

$t1 = "SSH-2.0-MoTTY_Release_0.82" ascii nocase

$t2 = "SNOEN" ascii // rondo

$t3 = "@reboot %s %s.persisted" ascii nocase

$t4 = "rondo" ascii nocase

// From string decryption sub 5 to even bytes

$asm0 = { 80 6c 18 ff 05 4? ff c0 4? ff c2 4? 39 c4 74 ?? f6 c2 01 74 ?? 80 44 18 ff 05 4? ff c0 4? ff c2 4? 39 c4 75 ?? }

// Rotate Left 5

$asm1 = { 0f b6 44 19 ff 89 c2 c1 e0 05 c1 fa 03 09 c2 88 54 19 ff 4? ff c1 4? 39 cc 75 ?? }

// Subtract 9 to all bytes

$asm2 = { b8 01 00 00 00 80 6c 18 ff 09 4? ff c0 4? 39 c4 75 ?? }

condition:

filesize < 500KB and

uint32(0) == 0x464c457f and

3 of them

}

rule iot_rondodox_script {

meta:

description = "Detects the rondodox script"

author = "jcfg"

date = "2025-11-06"

hash = "81d8941016dcc0dc42f57c6f4948c8a837b9c8c9ecc37908dfb092ac2dcf8cae"

strings:

$s0 = "(chmod 777 rondo || busybox chmod 777 rondo) || (chmod +x rondo || busybox chmod +x rondo)" ascii nocase

$s1 = "rm -rf rondo" ascii nocase

$s2 = "chmod 777 rondo||busybox chmod 777 rondo" ascii nocase

$s3 = "./rondo" ascii nocase

condition:

filesize < 15KB and

2 of them

}