רשת הבוטים של RondoDox

קמפיינים של תוכנות זדוניות המנצלים את רשת הבוטים RondoDox הרחיבו באופן דרמטי את שטח התקיפה שלהם, וכעת הם מכוונים ליותר מ-50 פגיעויות ביותר מ-30 ספקים. מומחי אבטחה מתארים גישה זו כ"רובה ציד", המשקף את הפגיעה חסרת ההבחנה במגוון רחב של תשתיות החשופות לאינטרנט. המערכות שנפגעו כוללות נתבים, מקליטי וידאו דיגיטליים (DVR), מקליטי וידאו רשתיים (NVR), מערכות CCTV, שרתי אינטרנט ומכשירים רבים אחרים המחוברים לרשת.

חדירות מוקדמות והקשר היסטורי

הפעילות הבולטת הראשונה של RondoDox נצפתה ביולי 2025, כאשר חוקרים תיעדו התקפות על מכשירי DVR ונתבים של Four-Faith של TBK. מכשירים אלה גויסו לרשת בוטים שנועדה לבצע התקפות מניעת שירות מבוזרות (DDoS) בפרוטוקולי HTTP, UDP ו-TCP.

ניסיון חדירה ספציפי זוהה ב-15 ביוני 2025, שכוון נגד נתבי TP-Link Archer באמצעות CVE-2023-1389, פגם שנוצל שוב ושוב מאז חשיפתו בסוף 2022. אירועים אלה מדגישים את ההתפתחות המתמשכת של RondoDox מהתקפות אופורטוניסטיות על מכשיר בודד לקמפיינים רחבים ומתואמים יותר.

הפצה מורחבת באמצעות Loader-as-a-Service

לאחרונה אימצה RondoDox מודל של טוען-כשירות (LaaS), ואורזת את המטען שלה לצד תוכנות זדוניות כמו Mirai ו-Morte. טקטיקה זו מאפשרת לתוקפים להפיץ מספר איומים בו זמנית, מה שמסבך את מאמצי הגילוי והתיקון.

המאפיינים העיקריים של קמפיין מורחב זה כוללים:

• שימוש באישורים חלשים, קלט לא מחוטא ו-CVEs מדור קודם כדי לפגוע במכשירים
• מיקוד בנתבים של SOHO, מכשירי IoT ואפליקציות ארגוניות
• ניצול רב-וקטורי, המאותת על מעבר מאופורטוניזם של מכשיר בודד לפריסה מתואמת של בוטנטים

ארסנל ניצול רחב

RondoDox משתמשת כעת בכמעט 56 פגיעויות, 18 מהן נותרו ללא מזהי CVE. המערכות המנוצלות משתרעות על פני מגוון רחב של ספקים, כולל:

D-Link, TVT, LILIN, Fiberhome, Linksys, BYTEVALUE, ASMAX, Brickcom, IQrouter, Ricon, Nexxt, NETGEAR, Apache, TBK, TOTOLINK, Meteobridge, Digiever, Edimax, QNAP, GNU, Dasan, Tenda, LB-LINK, AVTECH, Zyxel, Hytec Inter, Belkin, Billion ו-Cisco.

ארסנל הגדל הזה מדגים את התחכום הגובר של הבוטנט ואת יכולתו לנצל פגיעויות ידועות וגם פגיעויות שלא תועדו בעבר.

השלכות על אבטחת סייבר

קמפייני RondoDox האחרונים מייצגים אבולוציה משמעותית בניצול אוטומטי של רשתות. על ידי שילוב של פעולות "loader-as-a-service" עם מערך מורחב של ניצול לרעה, תוקפים עוברים מעבר להתקפות אופורטוניסטיות על מכשירים בודדים לכיוון פעולות בוטנט אסטרטגיות מרובות וקטורים.

צוותי אבטחה חייבים להישאר ערניים, לתעדף תיקון פגיעויות ידועות, לנטר פעילות חשודה ברשת ולפרוס כלי זיהוי פרואקטיביים כדי להפחית את הסיכון שמציבים איומים אלה, המתפתחים במהירות.