Группировка RondoDox, активная с мая 2025 года, демонстрирует классический пример эволюции современной киберугрозы: от специализированного инструмента для организации распределённых атак на отказ в обслуживании (DDoS) до сложного многофункционального вредоносного ПО, способного не только выводить из строя целевые системы, но и тайно использовать вычислительные мощности заражённых устройств для майнинга криптовалюты. Недавний анализ сотен образцов, проведённый специалистами по кибербезопасности, позволил детально восстановить цепочку заражения, изучить внутреннее устройство ботнета и проследить его развитие за восемь месяцев, что даёт ценные инсайты для специалистов по защите.
Описание
Цепочка заражения и начальный имплант
Заражение начинается с эксплуатации уязвимостей в сетевых службах, как правило, на устройствах Интернета вещей (IoT) или устаревших серверах. После успешного взлома полезная нагрузка использует инъекцию команд для выполнения скрипта-дроппера прямо из памяти, без записи на диск. Этот начальный имплант выполняет несколько ключевых задач. Прежде всего, он пытается скрыть своё присутствие, перенаправляя все системные сообщения в никуда и проверяя, не запущен ли он из терминала, что может указывать на анализ. Затем следует агрессивная "зачистка территории": скрипт перебирает запущенные процессы и принудительно завершает те из них, чьи исполняемые файлы находятся в общих каталогах вроде "/tmp" или "/dev", где часто размещаются другие вредоносные программы. Таким образом, RondoDox устраняет конкурентов, обеспечивая себе монополию на ресурсы системы.
Следующий этап - поиск доступного для записи каталога. Скрипт последовательно проверяет более десятка стандартных путей, от "/dev/shm" до "/lib", создавая и удаляя тестовый файл. Последний успешно записанный путь становится местом для размещения основного бинарного файла ботнета. Наконец, дроппер определяет архитектуру системы и загружает подходящий исполняемый файл "rondo" с одного из управляемых злоумышленниками серверов. Интересно, что в аргументах запуска передаётся тип эксплуатируемой уязвимости (например, "react" для React2Shell), что позволяет операторам ботнета отслеживать эффективность различных векторов атаки.
Основной модуль: стойкость, скрытность и расширенные возможности
После выполнения скрипта управление переходит к основному бинарному файлу, который воплощает в себе весь спектр вредоносных функций. Его первая задача - максимально усложнить обнаружение и анализ. Модуль использует технику наномайтов (nanomites): процесс раздваивается, и дочерний поток начинает следить за родительским, проверяя, не был ли к нему подключён отладчик через файл "/proc/<pid>/status". При обнаружении слежения оба процесса аварийно завершаются. Далее вредоносное ПО делает себя демоном, меняет счётчик для механизма OOM-Killer, чтобы система не завершила его при нехватке памяти, и маскируется, переименовывая свой исполняемый файл в случайное имя и перемещая его в каталог "/lib/systemd/".
Закрепление в системе (persistence) реализовано комплексно. Модуль не только создаёт собственные записи в "cron", "rc.local" и папках "init.d", но и предварительно "чистит" эти же механизмы у других угроз, удаляя подозрительные задания, которые могут запускать статически скомпилированные ELF-файлы. Для дальнейшего противодействия анализу вредоносное ПО в цикле завершает процессы, связанные с известными инструментами вроде "busybox" или "ufw", и даже переименовывает системные утилиты, такие как "iptables" или "shutdown".
Новым этапом эволюции, отмеченным с ноября 2025 года, стала интеграция майнера криптовалюты Monero (XMRig). После настройки режима максимальной производительности для всех ядер CPU, модуль загружает майнер, даёт ему имя "softirq" и запускает, подключаясь к прокси-серверу злоумышленников. В командной строке майнера в качестве имени пользователя снова фигурирует тип уязвимости, позволяя оценивать "доходность" каждого вектора атаки.
Командование и управление: текстовый протокол и арсенал DDoS
После установки и маскировки модуль пытается выйти на связь с центром управления (C2). Он случайным образом выбирает один из двух хардкодных IP-адресов и устанавливает TCP-соединение на порт 8443. Протокол взаимодействия текстовый и может использовать простое XOR-шифрование с односимвольным ключом. После отправки приветственного сообщения (например, "rondo react.x86_64.persisted 1") бот переходит в режим ожидания команд.
Исследователи выделили 16 различных команд, которые может принимать модуль. Три из них служат для управления самим ботом: завершение работы, выполнение произвольной системной команды и принудительное завершение указанного процесса. Остальные 13 команд - это арсенал для организации DDoS-атак на разных уровнях сетевой модели OSI. Бот способен генерировать атаки на канальном (например, флуд сырыми UDP-пакетами с подменой IP-адреса отправителя), транспортном (SYN-флуд, TCP-флуд) и прикладном уровнях. Особый интерес представляет поддержка 28 специализированных протоколов, многие из которых связаны с онлайн-играми (CS:GO, Fortnite, Roblox) или VPN-сервисами (OpenVPN, WireGuard). Это указывает на возможную специализацию группировки на оказании давления на игровые сервисы или провайдеров. Для атак с подменой IP-адреса в коде жёстко прописаны 39 диапазонов сетей хостинг-провайдера OVH, что может использоваться для маскировки трафика под легитимный.
Эволюция угрозы: постоянное развитие
Анализ временной шкалы образцов с мая 2025 по январь 2026 года показывает активный цикл разработки. Изначально ботнет был ориентирован в основном на DDoS. Однако со временем злоумышленники значительно расширили список поддерживаемых архитектур процессоров, усложнили методы обфускации строк (перейдя от простого XOR к кастомным алгоритмам с заменой и сдвигами), усилили механизмы удаления конкурирующего вредоносного ПО. Ключевым нововведением стала интеграция майнинга в ноябре 2025 года, превратившая ботнет из инструмента вандализма в источник прямого дохода. Одновременно развивался и арсенал DDoS-команд, добавились атаки по новым протоколам и более сложные методы спуфинга.
Для специалистов по информационной безопасности история RondoDox служит напоминанием о важности базовых принципов защиты: своевременное обновление программного обеспечения, особенно на периферийных сетевых устройствах, сегментация сети, мониторинг несанкционированных исходящих соединений и подозрительной активности процессов, такой как создание скрытых файлов в системных каталогах или попытки изменения параметров планировщика задач "cron". Ботнеты, объединяющие в себе разрушительный потенциал и финансовую мотивацию, остаются одной из самых устойчивых и адаптивных угроз в киберпространстве.
Индикаторы компрометации
YARA
