RondoDox Botnet IoT -hyökkäyskampanja

Kyberturvallisuusanalyytikot ovat paljastaneet noin yhdeksän kuukautta kestäneen erittäin itsepintaisen kampanjan, joka on aktiivisesti kohdistunut esineiden internetin (IoT) laitteisiin ja verkkosovelluksiin. Operaation tavoitteena on ollut koota haavoittuvia järjestelmiä RondoDoxiksi kutsutuksi bottiverkoksi, mikä osoittaa hyökkääjien kärsivällisyyttä ja operatiivista kypsyyttä.

React2Shell: Kriittinen aloituskohta

Joulukuussa 2025 tutkijat havaitsivat kampanjan hyödyntävän React2Shelliä (CVE-2025-55182) ensisijaisena alkuperäisen käyttöoikeuden mekanismina. Tämä kriittinen haavoittuvuus, jonka CVSS-pistemäärä on 10,0, vaikuttaa React Server Components (RSC)- ja Next.js-toteutuksiin. Kun sitä ei korjata, se mahdollistaa todentamattoman koodin suorittamisen etänä, mikä antaa hyökkääjille käytännössä täyden hallinnan alttiina oleviin järjestelmiin.

Vaikutus mittakaavassa: Globaali vaikutus

Joulukuun 2025 loppuun mennessä kerättyjen telemetriatietojen mukaan maailmanlaajuisesti noin 90 300 haavoittuvaa tapausta on edelleen alttiina. Suurin osa niistä sijaitsee Yhdysvalloissa, ja niiden osuus on noin 68 400 järjestelmää. Muita merkittävästi haavoittuvia alueita ovat Saksa, jossa on noin 4 300 tapausta, Ranska, jossa on 2 800, ja Intia, jossa on 1 500, mikä korostaa ongelman maailmanlaajuista ulottuvuutta.

RondoDox kehittää hyödyntämisarsenaaliaan

RondoDox tunnistettiin ensimmäisen kerran vuoden 2025 alussa, ja se on tasaisesti laajentanut ominaisuuksiaan lisäämällä uusia N-päivän haavoittuvuuksia hyökkäystyökaluihinsa. Näitä ovat CVE-2023-1389 ja CVE-2025-24893. Aiemmissa raporteissa oli jo varoitettu botnetin React2Shellin käytöstä, mikä korosti trendiä, jossa äskettäin paljastuneet haavoittuvuudet aseistetaan nopeasti.

Kolme eskalaatiovaihetta

Ennen CVE-2025-55182:n aseistamista RondoDox-kampanja eteni strukturoidun eskalaatiosyklin läpi:

Maaliskuu–huhtikuu 2025 : Kohdennettu tiedustelu yhdistettynä manuaaliseen haavoittuvuuksien löytämiseen ja testaukseen.

Huhtikuu–kesäkuu 2025 : Päivittäistä ja laajamittaista yleisten verkkoalustojen, kuten WordPressin, Drupalin ja Struts2:n, sekä IoT-laitteiston, mukaan lukien Wavlink-reitittimien, testausta.

Heinäkuu–joulukuun alku 2025 : Täysin automatisoitu, tunneittainen käyttöönotto, joka on suunniteltu maksimaalisen tavoittavuuden ja pysyvyyden takaamiseksi.

Joulukuun hyökkäykset: Hyötykuormat ja sitkeys

Joulukuussa 2025 havaitun toiminnan aikana uhkatoimijat etsivät alttiita Next.js-palvelimia ja yrittivät ottaa käyttöön useita haitallisia komponentteja. Näihin kuuluivat kryptovaluutan louhijat, bottiverkkojen lataaja ja kuntotarkastusapuohjelma sekä Mirai-pohjainen bottiverkon variantti, joka on räätälöity x86-järjestelmille.

Keskeinen komponentti, '/nuts/bolts', toimii hyökkääjien puolustavana roolina. Se lopettaa systemaattisesti kilpailevat haittaohjelmat ja kolikonlouhijat ennen kuin hakee ensisijaisen bottibinääritiedoston komento- ja hallintainfrastruktuuristaan (C2). Yksi tunnistettu variantti puhdistaa tartunnan saaneet isännät aggressiivisesti poistamalla jälkiä kilpailevista bottiverkoista, Docker-pohjaisista hyötykuormista, aiempien kampanjoiden jäänteistä ja niihin liittyvistä cron-töistä ja samalla luomalla pysyvyyden muokkaamalla /etc/crontab-tiedostoa.

Haittaohjelma vahvistaa yksinoikeutta skannaamalla jatkuvasti /proc-tiedostojärjestelmää tunnistaakseen aktiiviset suoritettavat tiedostot ja lopettamalla kaikki valkoisella listalla olevat prosessit noin 45 sekunnin välein. Tämä toiminta estää tehokkaasti muiden uhkatoimijoiden uudelleentartuntayritykset.

Riskien vähentäminen ja altistumisen rajoittaminen

RondoDoxin aiheuttaman uhan torjumiseksi tietoturvatiimien tulisi omaksua monikerroksinen puolustusstrategia:

• Päivitä Next.js-käyttöönotot viipymättä täysin korjattuihin versioihin, jotka korjaavat CVE-2025-55182-ongelman.
• Eristä IoT-laitteet erillisten VLAN-verkkojen sisällä sivuttaisliikkeen rajoittamiseksi.
• Ota käyttöön verkkosovelluspalomuurit (WAF) ja valvo jatkuvasti poikkeavien prosessien suoritusta.
• Estä ennakoivasti bottiverkkoon liittyvä tunnettu komento- ja hallintainfrastruktuuri.

Yhdessä nämä toimenpiteet vähentävät merkittävästi tietomurron todennäköisyyttä ja auttavat hillitsemään jatkuvan bottiverkkotoiminnan vaikutuksia.