AryStinger pahavara

Äsja avastatud pahavaraperekond nimega AryStinger muudab mahajäetud koduruuterid ulatuslikuks luure- ja puhverserverivõrguks, mitte traditsioonilisteks hajutatud teenusetõkestamise (DDoS) botnet'ideks, mida tavaliselt seostatakse ohustatud võrguseadmetega. Turvauurijad on juba tuvastanud vähemalt 4300 nakatunud ruuterit ja eeldatavasti kasvab see arv jätkuvalt.

Erinevalt tavapärastest pahavarakampaaniatest, mis keskenduvad teenuste häirimisele, on AryStinger loodud küberrünnakute varajaste etappide toetamiseks. Ohustatud seadmeid kasutatakse interneti skannimiseks, töötavate teenuste tuvastamiseks, alamdomeenide loendamiseks, võrguliikluse tunneldamiseks ja käskude kaugjuhtimiseks enne kogutud teabe edastamist operaatoritele. Iga nakatunud ruuter toimib tõhusalt nii luuresõlmena kui ka anonüümseks muutva vahendajana, mis varjab ründaja tegelikku päritolu.

Vananeva riistvara ja ammu unustatud haavatavuste sihtimine

Kampaania sihtmärgiks on peamiselt Realtek RTL819X kiibistikuga ruuterid – riistvara, mida kasutati laialdaselt aastatel 2012–2015. Teadlased märkasid pahavara esmakordselt 12. märtsil 2026, kui nakkused pärinesid ühelt IP-aadressilt.

Levitatud pahavara oli Linuxi ELF-binaarfail, mis algselt ei suutnud VirusTotali ühtegi mootorit tuvastada. See nakatus kahe vanema haavatavuse ärakasutamise teel:

• CVE-2013-3307, mis mõjutab teatud Linksysi ruutereid.
• CVE-2016-5681 mõjutab teatud D-Linki seadmeid.

Enamik nakatunud süsteemidest on D-Linki tooted, kusjuures DIR-850L mudel moodustab umbes 75 protsenti nakkustest. Geograafiliselt on nakkused koondunud Lõuna-Koreasse (48 protsenti) ja Hiinasse (32 protsenti), millele järgnevad Rootsi, Malaisia ja Singapur.

Laienemine ruuteritest kaugemale

Teine pahavara variant ilmus 26. aprillil 2026, sihtides QNAP NAS-seadmeid läbi CVE-2025-11837, mis on koodisüstimise haavatavus, mis mõjutab QNAP-i pahavara eemaldamise utiliiti. Kuigi haavatavus oli juba 2025. aasta novembris parandatud, hakkasid ründajad seda ära kasutama mitu kuud hiljem.

Iroonilisel kombel on nakkuse allikaks NAS-seadme enda pahavara eemaldamise rakendus. Teatatud 4300 nakatunud süsteemi arv hõlmab ainult nakatunud RTL819X ruutereid ja ei arvesta mõjutatud NAS-seadmeid.

Kergekaaluline pahavara võimsate võimalustega

AryStingeri ruuteriversioon on kirjutatud C-keeles ja on tahtlikult kergekaaluline, arvestades vanemate riistvarade piiratud ressursse. Selle peamised funktsioonid on mass-DNS-skannimine ja liikluse tunneldamine.

Go keeles arendatud NAS-i versioon pakub oluliselt laiemaid võimalusi. See suudab skannida nii sise- kui ka välisvõrke ning juurutada luureutiliite nagu fscan, ksubdomain ja httpx. Funktsioon nimega ScriptWork võimaldab operaatoritel käivitada ründaja poolt edastatud Go, Java või Pythoni lähtekoodi otse nakatunud süsteemis, välistades vajaduse iga sihtmärgi jaoks eraldi binaarfailide kompileerimiseks.

Nakatunud seadmete ja juhtimis- ja kontrollserverite (C2) vaheline suhtlus toimub HTTP ja HTTPS-i kaudu, kasutades Protobuf-kodeeringuga liiklust, mis on hägustatud lihtsa XOR-skeemiga, samas kui Go-põhine variant lisab gzip-tihenduse. Suured skannimisülesanded jagatakse väiksemateks segmentideks ja hajutatakse üle botneti, võimaldades paralleelseid luureoperatsioone.

Püsivus ja kuritarvitamise potentsiaal

Pahavara säilitab pikaajalise juurdepääsu, juurutades ruuterite jaoks Dropbeari SSH-serveri pordil 2332 ja ohustatud NAS-süsteemides gs-netcati. Uurijad tuvastasid ka kõvakodeeritud autentimisvõtme „sh_#@!_2024_secret“, millesse lisatud „2024“ võib viidata sellele, et operatsiooni arendus algas sel aastal, kuigi seda ei saa kindlalt kinnitada.

Kuigi peamine eesmärk näib olevat luure, saab pahavara DNS-i skannimisvõimalusi suunata ka DNS-i lahendajate poole, et vajadusel genereerida teenusetõkestusliiklust.

Tuttav muster: operatiivsed releekarbivõrgud

AryStingeri loodud infrastruktuur sarnaneb väga operatiivsete releekastide (ORB) võrkudega. Need võrgud koosnevad ohustatud kasutuselt kõrvaldatud ruuteritest ja IoT-seadmetest, mis võimaldavad ohutegelastel skannimistoiminguid teostada ja pahatahtlikku liiklust edastada, jäädes samal ajal raskesti jälgitavaks.

See lähenemisviis kajastab varasemaid intsidente. 2025. aasta mais lammutasid FBI ja USA justiitsministeerium teenused 5socks ja Anyproxy, mis olid teeninud raha kodukasutajate puhverserveri juurdepääsust, kasutades ära vananenud Linksys ja Cisco ruutereid, mis olid nakatunud TheMooni pahavaraga. Hiljuti on ORB-operatsioonid, näiteks LapDogs, sarnaselt toetunud vananevate seadmete parandamata haavatavustele.

Praegu ei ole AryStingerit lõplikult seostatud ühegi konkreetse ohuallikaga. Operatsioonimudel on aga eksimatu: vananenud riistvara ja unustatud haavatavused muudetakse salajaseks infrastruktuuriks, mis toetab keerukate küberrünnakute algstaadiumis tegutsemist.

Avastamis- ja leevendamisstrateegiad

Potentsiaalselt kahjustatud seadmeid käitavad organisatsioonid ja üksikisikud peaksid viivitamatult uurima ohtude märke ja rakendama pikaajalisi parandusmeetmeid.

• Jälgige väljaminevaid ühendusi AryStingeri käsklus- ja juhtimisserverite ning allalaadimisdomeenidega.

• Kontrollige kataloogi /tmp/bin tundmatute binaarfailide suhtes.

• Otsi kahtlaseid protsesse nimega syswapd0h või syswapd0w.

Kõige tõhusam kaitse on endiselt lihtne: kõrvaldada kasutuselt võrguseadmed, mis enam püsivara värskendusi ei saa, ja keelata internetiga kokkupuutunud seadmetel kaughaldus igal võimalusel. Riistvara, mis aastaid tagasi turvapaikade saamise lõpetas, ei saa tõenäoliselt kaitset tänapäevaste ohtude eest.