AryStinger-haittaohjelma

Äskettäin löydetty haittaohjelmaperhe nimeltä AryStinger muuttaa hylättyjä kotireitittimiä laajamittaiseksi tiedustelu- ja välityspalvelimeksi perinteisten hajautettujen palvelunestohyökkäysten (DDoS) sijaan, jotka yleensä yhdistetään vaarantuneisiin verkkolaitteisiin. Tietoturvatutkijat ovat jo tunnistaneet ainakin 4 300 tartunnan saanutta reititintä, ja määrän odotetaan kasvavan edelleen.

Toisin kuin perinteiset haittaohjelmakampanjat, jotka keskittyvät palveluiden häiritsemiseen, AryStinger on suunniteltu tukemaan kyberhyökkäysten alkuvaiheita. Vaarantuneet laitteet skannaavat internetiä, tunnistavat käynnissä olevat palvelut, luetteloivat aliverkkotunnukset, tunneloivat verkkoliikennettä ja suorittavat komentoja etänä ennen kerättyjen tietojen lähettämistä takaisin operaattoreille. Jokainen tartunnan saanut reititin toimii tehokkaasti sekä tiedustelukeskuksena että anonymisoivana välityspalvelimena, joka peittää hyökkääjän todellisen alkuperän.

Ikääntyvän laitteiston ja kauan unohdettujen haavoittuvuuksien torjunta

Kampanja kohdistuu ensisijaisesti Realtek RTL819X -piirisarjoja käyttäviin reitittimiin. Kyseistä laitteistoa käytettiin laajalti vuosina 2012–2015. Tutkijat havaitsivat haittaohjelman ensimmäisen kerran 12. maaliskuuta 2026, jolloin tartunnat olivat peräisin yhdestä IP-osoitteesta.

Läitetty haittaohjelma oli Linux ELF -binääritiedosto, joka aluksi välttyi VirusTotalin hakukoneilta. Se sai tartunnan hyödyntämällä kahta vanhempaa haavoittuvuutta:

• CVE-2013-3307 vaikuttaa tiettyihin Linksys-reitittimiin.
• CVE-2016-5681 vaikuttaa tiettyihin D-Link-laitteisiin.

Suurin osa tartunnan saaneista järjestelmistä on D-Linkin tuotteita, ja DIR-850L-mallin osuus tartunnoista on noin 75 prosenttia. Maantieteellisesti tartunnat keskittyvät Etelä-Koreaan (48 prosenttia) ja Kiinaan (32 prosenttia), joita seuraavat Ruotsi, Malesia ja Singapore.

Laajennus reitittimien ulkopuolelle

Toinen haittaohjelmavariantti ilmestyi 26. huhtikuuta 2026 ja iski QNAP NAS -laitteisiin CVE-2025-11837-haavoittuvuuden kautta. Kyseessä on QNAPin Malware Remover -apuohjelmaan vaikuttava koodininjektiohaavoittuvuus. Vaikka haavoittuvuus oli jo korjattu marraskuussa 2025, hyökkääjät alkoivat hyödyntää sitä useita kuukausia myöhemmin.

Ironista kyllä, tartuntavektori on NAS-laitteen oma haittaohjelmien poistosovellus. Raportoitu 4 300 tartunnan saaneen järjestelmän luku sisältää vain tartunnan saaneet RTL819X-reitittimet, eikä ota huomioon tartunnan saaneita NAS-laitteita.

Kevyt haittaohjelma tehokkailla ominaisuuksilla

AryStingerin reititinversio on kirjoitettu C-kielellä ja se on tarkoituksella pidetty kevyenä vanhempien laitteistojen rajallisten resurssien vuoksi. Sen ensisijaisia toimintoja ovat massa-DNS-skannaus ja liikenteen tunnelointi.

Go-kielellä kehitetty NAS-versio tarjoaa huomattavasti laajemmat ominaisuudet. Se voi skannata sekä sisäisiä että ulkoisia verkkoja ja ottaa käyttöön tiedusteluapuohjelmia, kuten fscan, ksubdomain ja httpx. ScriptWork-niminen ominaisuus antaa operaattoreille mahdollisuuden suorittaa hyökkääjän toimittamaa Go-, Java- tai Python-lähdekoodia suoraan tartunnan saaneessa järjestelmässä, mikä poistaa tarpeen kääntää erillisiä binääritiedostoja kullekin kohteelle.

Tartunnan saaneiden laitteiden ja komento- ja hallintapalvelimien (C2) välinen kommunikointi tapahtuu HTTP- ja HTTPS-protokollien kautta käyttäen Protobuf-koodattua liikennettä, joka on obfusoitu yksinkertaisella XOR-menetelmällä, kun taas Go-pohjaisessa versiossa käytetään gzip-pakkausta. Suuret skannaustehtävät jaetaan pienempiin osiin ja hajautetaan botnetin eri osiin, mikä mahdollistaa rinnakkaiset tiedusteluoperaatiot.

Pysyvyys ja väärinkäytön mahdollisuus

Haittaohjelma ylläpitää pitkäaikaista pääsyä järjestelmään käyttämällä Dropbear SSH -palvelinta porttiin 2332 reitittimiä ja gs-netcatia vaarantuneissa NAS-järjestelmissä. Tutkijat tunnistivat myös kovakoodatun todennusavaimen 'sh_#@!_2024_secret', jonka sisältämä '2024' saattaa viitata siihen, että operaation kehitys alkoi kyseisenä vuonna, vaikka tätä ei voidakaan vahvistaa varmasti.

Vaikka tiedustelu näyttää olevan ensisijainen tavoite, haittaohjelman DNS-skannausominaisuudet voidaan myös ohjata DNS-selvittelijöihin palvelunestohyökkäysliikenteen luomiseksi tarvittaessa.

Tuttu kaava: Toimivat relelaatikkoverkot

AryStingerin luoma infrastruktuuri muistuttaa läheisesti Operational Relay Box (ORB) -verkkoja. Nämä verkot koostuvat vaarantuneista käytöstä poistetuista reitittimistä ja IoT-laitteista, jotka mahdollistavat uhkatoimijoiden suorittamat skannausoperaatiot ja haitallisen liikenteen välittämisen, mutta niiden jäljittämisen on pysyttävä vaikeana.

Lähestymistapa heijastelee aiempia tapauksia. Toukokuussa 2025 FBI ja Yhdysvaltain oikeusministeriö lakkauttivat 5socks- ja Anyproxy-palvelut, jotka olivat rahallistaneet kotitalouksien välityspalvelinyhteyksiä hyödyntämällä vanhentuneita Linksys- ja Cisco-reitittimiä, jotka oli tartutettu TheMoon-haittaohjelmalla. Viime aikoina ORB-operaatiot, kuten LapDogs, ovat samalla tavalla luottaneet ikääntyvien laitteiden korjaamattomiin haavoittuvuuksiin.

Tällä hetkellä AryStingerin toimintaa ei ole kiistatta yhdistetty mihinkään tiettyyn uhkatoimijaan. Toimintamalli on kuitenkin kiistaton: vanhentunutta laitteistoa ja unohdettuja haavoittuvuuksia muunnetaan huomaamattomaksi infrastruktuuriksi, joka tukee kehittyneiden kyberhyökkäysten alkuvaiheita.

Havaitsemis- ja lieventämisstrategiat

Mahdollisesti vaurioituneita laitteita käyttävien organisaatioiden ja yksilöiden tulisi välittömästi tutkia vaarantumisen merkkejä ja toteuttaa pitkän aikavälin korjaavia toimenpiteitä.

• Valvo lähteviä yhteyksiä AryStingerin komento- ja ohjauspalvelimille ja latausalueille.

• Tarkista /tmp/bin-hakemisto tuntemattomien binäärien varalta.

• Etsi epäilyttäviä prosesseja nimeltä syswapd0h tai syswapd0w.

Tehokkain puolustuskeino on edelleen yksinkertainen: poista käytöstä elinkaarensa päättäneet verkkolaitteet, jotka eivät enää vastaanota laiteohjelmistopäivityksiä, ja poista etähallinta käytöstä internetille alttiissa laitteissa aina kun mahdollista. Laitteisto, joka on lakannut vastaanottamasta tietoturvapäivityksiä vuosia sitten, ei todennäköisesti saa suojaa nykyaikaisia uhkia vastaan.