RondoDox Botnet

Ang mga kampanya ng malware na gumagamit sa botnet ng RondoDox ay kapansin-pansing pinalawak ang kanilang pag-atake, na ngayon ay nagta-target ng higit sa 50 mga kahinaan sa higit sa 30 mga vendor. Inilalarawan ng mga eksperto sa seguridad ang diskarteng ito bilang isang 'exploit shotgun', na sumasalamin sa walang pinipiling pag-target sa isang malawak na hanay ng imprastraktura na nakalantad sa internet. Kabilang sa mga apektadong system ang mga router, digital video recorder (DVR), network video recorder (NVR), CCTV system, web server, at marami pang ibang device na konektado sa network.

Mga Maagang Panghihimasok at Makasaysayang Konteksto

Ang unang kapansin-pansing aktibidad ng RondoDox ay naobserbahan noong Hulyo 2025, nang idokumento ng mga mananaliksik ang mga pag-atake sa mga TBK DVR at Four-Faith na mga router. Ang mga device na ito ay inilalagay sa isang botnet na idinisenyo upang magsagawa ng mga distributed denial-of-service (DDoS) na pag-atake sa mga HTTP, UDP, at TCP na mga protocol.

May nakitang partikular na pagtatangkang panghihimasok noong Hunyo 15, 2025, na nagta-target sa mga TP-Link Archer router sa pamamagitan ng CVE-2023-1389, isang depektong paulit-ulit na pinagsamantalahan mula noong ibunyag ito noong huling bahagi ng 2022. Itinatampok ng mga insidenteng ito ang patuloy na ebolusyon ng RondoDox mula sa mga oportunistang single-device na pag-atake patungo sa mas malawak na pag-atake sa isang device.

Pinalawak na Pamamahagi sa Pamamagitan ng Loader-as-a-Service

Kamakailan ay nagpatibay ang RondoDox ng modelong loader-as-a-service (LaaS), na naglalagay ng kargamento nito kasama ng Mirai at Morte malware. Ang taktika na ito ay nagbibigay-daan sa mga umaatake na mamahagi ng maraming banta nang sabay-sabay, na nagpapalubha sa mga pagsusumikap sa pagtuklas at remediation.

Kabilang sa mga pangunahing katangian ng pinalawak na kampanyang ito ang:

• Paggamit ng mga mahihinang kredensyal, hindi nalinis na mga input, at mga legacy na CVE para ikompromiso ang mga device
• Pag-target ng mga SOHO router, IoT device, at enterprise application
• Multi-vector exploitation, na nagpapahiwatig ng pagbabago mula sa single-device oportunism tungo sa coordinated botnet deployment

Malawak na Pagsasamantala sa Arsenal

Gumagamit na ngayon ang RondoDox ng halos 56 na kahinaan, 18 sa mga ito ay nananatiling walang CVE identifier. Ang mga pinagsasamantalahang sistema ay sumasaklaw sa malawak na hanay ng mga vendor, kabilang ang:

D-Link, TVT, LILIN, Fiberhome, Linksys, BYTEVALUE, ASMAX, Brickcom, IQrouter, Ricon, Nexxt, NETGEAR, Apache, TBK, TOTOLINK, Meteobridge, Digiever, Edimax, QNAP, GNU, Dasan, Tenda, LB-LINK, AVTECH, Billion Inter Zyxel, Cisco, at.

Ang lumalagong arsenal na ito ay nagpapakita ng pagtaas ng pagiging sopistikado ng botnet at ang kapasidad nito na samantalahin ang parehong kilala at dati nang hindi dokumentado na mga kahinaan.

Mga Implikasyon para sa Cybersecurity

Ang pinakabagong mga kampanya ng RondoDox ay kumakatawan sa isang makabuluhang ebolusyon sa automated na pagsasamantala sa network. Sa pamamagitan ng pagsasama-sama ng mga pagpapatakbo ng loader-as-a-service na may pinalawak na hanay ng pagsasamantala, ang mga umaatake ay gumagalaw nang higit pa sa mga oportunistang pag-atake sa mga iisang device patungo sa mga madiskarteng, multi-vector na pagpapatakbo ng botnet.

Dapat manatiling mapagbantay ang mga security team, na inuuna ang pag-aayos ng mga kilalang kahinaan, pagsubaybay para sa kahina-hinalang aktibidad ng network, at pag-deploy ng mga proactive na tool sa pag-detect upang mabawasan ang panganib na dulot ng mabilis na umuusbong na mga banta na ito.