RondoDox Botnet

Οι καμπάνιες κακόβουλου λογισμικού που αξιοποιούν το botnet RondoDox έχουν επεκτείνει δραματικά την επιφάνεια επιθέσεών τους, στοχεύοντας πλέον πάνω από 50 ευπάθειες σε περισσότερους από 30 προμηθευτές. Οι ειδικοί ασφαλείας περιγράφουν αυτήν την προσέγγιση ως «exploit shotgun», αντανακλώντας την αδιάκριτη στόχευση ενός ευρέος φάσματος υποδομών που εκτίθενται στο διαδίκτυο. Τα επηρεαζόμενα συστήματα περιλαμβάνουν δρομολογητές, ψηφιακές συσκευές εγγραφής βίντεο (DVR), συσκευές εγγραφής βίντεο δικτύου (NVR), συστήματα CCTV, διακομιστές ιστού και πολλές άλλες συσκευές συνδεδεμένες στο δίκτυο.

Πρώιμες Εισβολές και Ιστορικό Πλαίσιο

Η πρώτη αξιοσημείωτη δραστηριότητα του RondoDox παρατηρήθηκε τον Ιούλιο του 2025, όταν οι ερευνητές κατέγραψαν επιθέσεις σε DVR TBK και δρομολογητές Four-Faith. Αυτές οι συσκευές στρατολογούνταν σε ένα botnet που είχε σχεδιαστεί για να εκτελεί κατανεμημένες επιθέσεις άρνησης υπηρεσίας (DDoS) σε πρωτόκολλα HTTP, UDP και TCP.

Μια συγκεκριμένη απόπειρα εισβολής εντοπίστηκε στις 15 Ιουνίου 2025, στοχεύοντας τους δρομολογητές TP-Link Archer μέσω του CVE-2023-1389, ένα ελάττωμα που αξιοποιήθηκε επανειλημμένα από την αποκάλυψή του στα τέλη του 2022. Αυτά τα περιστατικά υπογραμμίζουν τη συνεχή εξέλιξη του RondoDox από ευκαιριακές επιθέσεις σε μία μόνο συσκευή σε ευρύτερες, πιο συντονισμένες εκστρατείες.

Εκτεταμένη Διανομή Μέσω Loader-as-a-Service

Το RondoDox υιοθέτησε πρόσφατα ένα μοντέλο φόρτωσης ως υπηρεσίας (LaaS), ενσωματώνοντας το ωφέλιμο φορτίο του παράλληλα με το κακόβουλο λογισμικό Mirai και Morte. Αυτή η τακτική επιτρέπει στους εισβολείς να διανέμουν πολλαπλές απειλές ταυτόχρονα, περιπλέκοντας τις προσπάθειες ανίχνευσης και αποκατάστασης.

Βασικά χαρακτηριστικά αυτής της εκτεταμένης καμπάνιας περιλαμβάνουν:

• Χρήση αδύναμων διαπιστευτηρίων, μη απολυμανμένων εισροών και παλαιών CVE για την παραβίαση συσκευών
• Στόχευση δρομολογητών SOHO, συσκευών IoT και εταιρικών εφαρμογών
• Πολυδιανυσματική εκμετάλλευση, που σηματοδοτεί μια μετατόπιση από τον οπορτουνισμό μίας μόνο συσκευής στη συντονισμένη ανάπτυξη botnet

Ευρεία Εκμετάλλευση Οπλοστασίου

Το RondoDox χρησιμοποιεί πλέον σχεδόν 56 ευπάθειες, 18 από τις οποίες παραμένουν χωρίς αναγνωριστικά CVE. Τα συστήματα που έχουν υποστεί εκμετάλλευση καλύπτουν ένα ευρύ φάσμα προμηθευτών, όπως:

D-Link, TVT, LILIN, Fiberhome, Linksys, BYTEVALUE, ASMAX, Brickcom, IQrouter, Ricon, Nexxt, NETGEAR, Apache, TBK, TOTOLINK, Meteobridge, Digiever, Edimax, QNAP, GNU, Dasan, Tenda, LB-LINK, AVTECH, Zyxel, Hytec Inter, Belkin, Billion και Cisco.

Αυτό το αυξανόμενο οπλοστάσιο καταδεικνύει την αυξανόμενη πολυπλοκότητα του botnet και την ικανότητά του να εκμεταλλεύεται τόσο γνωστά όσο και προηγουμένως μη καταγεγραμμένα τρωτά σημεία.

Επιπτώσεις για την Κυβερνοασφάλεια

Οι τελευταίες καμπάνιες RondoDox αντιπροσωπεύουν μια σημαντική εξέλιξη στην αυτοματοποιημένη εκμετάλλευση δικτύων. Συνδυάζοντας τις λειτουργίες loader-as-a-service με ένα διευρυμένο σύνολο exploits, οι επιτιθέμενοι προχωρούν πέρα από τις ευκαιριακές επιθέσεις σε μεμονωμένες συσκευές και κατευθύνονται προς στρατηγικές, πολυδιανυσματικές λειτουργίες botnet.

Οι ομάδες ασφαλείας πρέπει να παραμένουν σε εγρήγορση, δίνοντας προτεραιότητα στην επιδιόρθωση γνωστών τρωτών σημείων, στην παρακολούθηση ύποπτης δραστηριότητας δικτύου και στην ανάπτυξη εργαλείων προληπτικής ανίχνευσης για τον μετριασμό του κινδύνου που θέτουν αυτές οι ταχέως εξελισσόμενες απειλές.