Falhas antigas em roteadores facilitam expansão do botnet AryStinger

A botnet AryStinger infectou cerca de 4,3 mil roteadores antigos, formando uma rede global usada para reconhecimento, ocultação de tráfego e apoio a ataques.
Os alvos principais foram roteadores com chips Realtek RTL819X (lanzados entre 2012 e 2015) e falhas antigas, como CVE-2013-3307 e CVE-2016-5681.
Modelos da D-Link e da Linksys aparecem entre os afetados, com destaque para o D-Link DIR-850L; após a infecção, o roteador passa a atuar como ponto intermediário.
A ameaça não busca apenas derrubar sites; o objetivo é mapear alvos, identificar serviços expostos, procurar subdomínios e criar túneis para movimentar dados.
A Coreia do Sul concentra a maior parte das infecções, seguida por China, Suécia, Malásia e Singapura; há também uma versão para dispositivos NAS, indicando possível expansão.

A botnet AryStinger comprometeu cerca de 4,3 mil roteadores antigos para formar uma rede global utilizada por criminosos. A campanha não visa derrubar sites de forma massiva, mas sim mapear alvos, identificar serviços expostos, buscar subdomínios e criar túneis para movimentar dados. A descoberta foi documentada pela QiAnXin XLab.

Os dispositivos afetados pertencem principalmente a roteadores com chips Realtek RTL819X, com modelos lançados entre 2012 e 2015. Falhas antigas ainda presentes nesses aparelhos permitem a expansão da botnet, incluindo vulnerabilidades CVE-2013-3307 e CVE-2016-5681.

Entre os equipamentos atingidos, aparecem roteadores da D-Link e da Linksys, com destaque para o D-Link DIR-850L. Após a infecção, o roteador passa a atuar como ponto intermediário na rede controlada pelos operadores da AryStinger.

A operação utiliza os dispositivos infectados como cabos de ocultação da origem das ações. Em vez de direcionar ataques diretamente, a botnet se vale do tráfego para ocultar o verdadeiro destino das ações realizadas pela gangue

Alvos, alcance e evolução da campanha

Segundo a análise, a AryStinger atua de forma discreta, dificultando a detecção por usuários comuns. A rede infectada pode continuar funcionando normalmente, executando tarefas em segundo plano designadas pelos criminosos.

Dados de geolocalização indicam que a Coreia do Sul concentra a maior parte das infecções observadas, seguida por China, Suécia, Malásia e Singapura. Especialistas também identificaram uma variante voltada a dispositivos NAS, sugerindo possível expansão futura da campanha.