RondoDox Botnet

کمپین‌های بدافزاری که از بات‌نت RondoDox استفاده می‌کنند، سطح حمله خود را به طرز چشمگیری گسترش داده‌اند و اکنون بیش از ۵۰ آسیب‌پذیری را در بیش از ۳۰ فروشنده هدف قرار داده‌اند. کارشناسان امنیتی این رویکرد را به عنوان یک «تفنگ ساچمه‌ای اکسپلویت» توصیف می‌کنند که نشان‌دهنده هدف قرار دادن بی‌هدف طیف وسیعی از زیرساخت‌های در معرض اینترنت است. سیستم‌های آسیب‌دیده شامل روترها، ضبط‌کننده‌های ویدئویی دیجیتال (DVR)، ضبط‌کننده‌های ویدئویی شبکه (NVR)، سیستم‌های دوربین مداربسته، سرورهای وب و بسیاری دیگر از دستگاه‌های متصل به شبکه هستند.

نفوذهای اولیه و زمینه تاریخی

اولین فعالیت قابل توجه RondoDox در ژوئیه ۲۰۲۵ مشاهده شد، زمانی که محققان حملاتی را به DVR های TBK و روترهای Four-Faith ثبت کردند. این دستگاه‌ها به یک بات‌نت تبدیل می‌شدند که برای انجام حملات انکار سرویس توزیع‌شده (DDoS) در پروتکل‌های HTTP، UDP و TCP طراحی شده بود.

یک تلاش نفوذ خاص در ۱۵ ژوئن ۲۰۲۵ شناسایی شد که روترهای TP-Link Archer را از طریق CVE-2023-1389 هدف قرار می‌داد، نقصی که از زمان افشای آن در اواخر سال ۲۰۲۲ بارها مورد سوءاستفاده قرار گرفته است. این حوادث، تکامل مداوم RondoDox را از حملات فرصت‌طلبانه تک دستگاهی به کمپین‌های گسترده‌تر و هماهنگ‌تر برجسته می‌کند.

توزیع گسترده از طریق Loader-as-a-Service

RondoDox اخیراً مدل بارگذاری به عنوان سرویس (LaaS) را اتخاذ کرده است و بار داده خود را در کنار بدافزارهای Mirai و Morte بسته‌بندی می‌کند. این تاکتیک به مهاجمان اجازه می‌دهد تا چندین تهدید را به طور همزمان توزیع کنند و تلاش‌های شناسایی و اصلاح را پیچیده‌تر کنند.

ویژگی‌های کلیدی این کمپین گسترده عبارتند از:

• استفاده از اعتبارنامه‌های ضعیف، ورودی‌های غیرقابل‌کنترل و CVEهای قدیمی برای نفوذ به دستگاه‌ها
• هدف قرار دادن روترهای SOHO، دستگاه‌های اینترنت اشیا و برنامه‌های سازمانی
• بهره‌برداری چندوجهی، نشان‌دهنده‌ی تغییر از فرصت‌طلبی تک‌دستگاهی به استقرار هماهنگ بات‌نت

زرادخانه‌ی بهره‌برداری گسترده

RondoDox اکنون نزدیک به ۵۶ آسیب‌پذیری را شناسایی کرده است که ۱۸ مورد از آنها بدون شناسه CVE باقی مانده‌اند. سیستم‌های مورد سوءاستفاده طیف گسترده‌ای از فروشندگان را شامل می‌شوند، از جمله:

دی-لینک، تی‌وی‌تی، لیلین، فایبرهوم، لینکسیس، بایت‌والو، ای‌اس‌ام‌ایکس، بریک‌کام، آی‌کروتر، ریکون، نِکس‌تی، نت‌گیر، آپاچی، تی‌بی‌کی، توتولینک، متئوبریج، دیجی‌اور، ادیمکس، کیونپ، گنو، داسان، تندا، ال‌بی-لینک، ای‌وی‌تک، زایکسل، هایتک اینتر، بلکین، بیلیون و سیسکو.

این زرادخانه رو به رشد، پیچیدگی روزافزون بات‌نت و ظرفیت آن برای بهره‌برداری از آسیب‌پذیری‌های شناخته‌شده و قبلاً ناشناخته را نشان می‌دهد.

پیامدهای امنیت سایبری

آخرین پویش‌های RondoDox نشان‌دهنده‌ی تکامل قابل توجهی در بهره‌برداری خودکار از شبکه هستند. با ترکیب عملیات loader-as-a-service با مجموعه‌ای گسترده از سوءاستفاده‌ها، مهاجمان فراتر از حملات فرصت‌طلبانه به دستگاه‌های منفرد، به سمت عملیات‌های استراتژیک و چندوجهی بات‌نت حرکت می‌کنند.

تیم‌های امنیتی باید هوشیار باشند، وصله کردن آسیب‌پذیری‌های شناخته‌شده را در اولویت قرار دهند، فعالیت‌های مشکوک شبکه را رصد کنند و ابزارهای تشخیص پیشگیرانه را برای کاهش خطر ناشی از این تهدیدهای به‌سرعت در حال تحول، به کار گیرند.