A botnet AryStinger comprometeu cerca de 4,3 mil roteadores antigos para formar uma rede global utilizada por criminosos. A campanha não visa derrubar sites de forma massiva, mas sim mapear alvos, identificar serviços expostos, buscar subdomínios e criar túneis para movimentar dados. A descoberta foi documentada pela QiAnXin XLab.
Os dispositivos afetados pertencem principalmente a roteadores com chips Realtek RTL819X, com modelos lançados entre 2012 e 2015. Falhas antigas ainda presentes nesses aparelhos permitem a expansão da botnet, incluindo vulnerabilidades CVE-2013-3307 e CVE-2016-5681.
Entre os equipamentos atingidos, aparecem roteadores da D-Link e da Linksys, com destaque para o D-Link DIR-850L. Após a infecção, o roteador passa a atuar como ponto intermediário na rede controlada pelos operadores da AryStinger.
A operação utiliza os dispositivos infectados como cabos de ocultação da origem das ações. Em vez de direcionar ataques diretamente, a botnet se vale do tráfego para ocultar o verdadeiro destino das ações realizadas pela gangue
Alvos, alcance e evolução da campanha
Segundo a análise, a AryStinger atua de forma discreta, dificultando a detecção por usuários comuns. A rede infectada pode continuar funcionando normalmente, executando tarefas em segundo plano designadas pelos criminosos.
Dados de geolocalização indicam que a Coreia do Sul concentra a maior parte das infecções observadas, seguida por China, Suécia, Malásia e Singapura. Especialistas também identificaram uma variante voltada a dispositivos NAS, sugerindo possível expansão futura da campanha.
Entre na conversa da comunidade