RondoDox: botnet evolve con 56 vulnerabilità su diversi router. C’è anche il tuo?

Il nuovo botnet RondoDox segna una svolta nell’evoluzione delle campagne malware contro dispositivi connessi. Secondo Trend Micro e Zero Day Initiative, la rete criminale sfrutta 56 vulnerabilità distribuite su 30 vendor differenti, combinando tecniche di exploit massivo e modelli di loader-as-a-service per raggiungere infrastrutture globali. La campagna, attiva dal giugno 2025, si espande rapidamente fino a ottobre, con un picco di attività rilevato il 22 settembre. RondoDox rappresenta un caso emblematico di come i criminali informatici stiano automatizzando lo sfruttamento di dispositivi IoT e edge, riducendo i tempi di infezione e aumentando la resilienza delle proprie reti di comando e controllo.

Evoluzione della botnet RondoDox

Le prime tracce operative di RondoDox risalgono al 15 giugno 2025, con lo sfruttamento della vulnerabilità CVE-2023-1389 nel router TP-Link Archer AX21, originariamente dimostrata al Pwn2Own Toronto 2022. Gli exploit, che consentono bypass di autenticazione e command injection, vengono successivamente integrati in un’infrastruttura di attacco automatizzata. A settembre, Trend Micro osserva un cambio di paradigma: RondoDox abbandona gli attacchi mirati e passa a un approccio shotgun, colpendo indiscriminatamente dispositivi esposti in rete.

Il malware si diffonde attraverso un downloader shell script che verifica directory scrivibili, ignora segnali di terminazione e installa un payload persistente. Quest’ultimo si avvia automaticamente al riavvio del sistema, modifica i permessi di file di sistema e termina processi di rete e strumenti diagnostici come Wireshark, tcpdump e netstat, impedendo agli analisti di eseguire debug o analisi post-infezione. RondoDox è progettato per sopravvivere nel tempo: rinomina file di sistema come iptables e passwd con stringhe casuali, compromettendo le funzioni di amministrazione e rendendo complesso il recupero. Il suo codice include una configurazione cifrata con XOR, che nasconde l’indirizzo del server C2 83.150.218.93, e riceve comandi per attacchi DDoS via HTTP, UDP e TCP. La botnet camuffa il traffico imitando applicazioni popolari come Valve, Minecraft, Fortnite, Discord, OpenVPN e WireGuard, rendendo difficile la rilevazione anche per i sistemi IDS più avanzati.

Vulnerabilità sfruttate su larga scala

La forza di RondoDox risiede nella sua capacità di sfruttare simultaneamente decine di vulnerabilità note e non documentate, spaziando dai router domestici ai sistemi industriali. Tra le falle più sfruttate emergono la CVE-2024-3721 su TBK DVR-4104, che consente command injection sul path /device.rsp, e la CVE-2024-12856 sui router Four-Faith F3x24, dove un bug in apply.cgi permette l’esecuzione remota di comandi autenticati.

Queste vulnerabilità, spesso presenti in dispositivi lasciati senza aggiornamenti o configurati con porte aperte e firmware obsoleti, vengono trasformate in armi operative per il controllo di telecamere, router e sistemi di registrazione video. I dispositivi infetti vengono poi riconvertiti in proxy stealth per il traffico dei server C2, utilizzati per attacchi DDoS a pagamento e truffe multilivello. La campagna coinvolge vendor come TP-Link, Four-Faith, TBK, QNAP, D-Link, TOTOLINK, Cisco e Netgear, con exploit che spaziano dal 2016 al 2025. In totale, trentotto delle 56 vulnerabilità hanno un CVE assegnato, mentre le restanti indicano la possibile presenza di zero-day ancora non divulgati. La prevalenza di bug di command injection evidenzia la fragilità strutturale dei firmware embedded, ancora privi di pratiche di sicurezza moderne.

Architettura e tecniche di evasione

RondoDox opera come botnet modulare e multi-architettura, in grado di adattarsi ad ambienti ARM, MIPS, PowerPC, x86 e AArch64. Il suo loader-as-a-service consente agli operatori di distribuire in modo rapido varianti compatibili, integrando componenti di malware noti come Mirai e Morte. Il downloader shell controlla i mount point per directory noexec, crea una libreria temporanea in /tmp/lib, scarica l’eseguibile principale e ne cancella le tracce dalla history di sistema. La persistenza è garantita tramite modifiche a /etc/init.d/, crontab e /etc/inittab, con processi configurati per il riavvio automatico. Una volta attivo, il malware elimina processi di rete e strumenti di analisi, sostituisce binari legittimi e stabilisce connessioni cifrate al server C2. La comunicazione utilizza DNS-over-HTTPS (DoH) per risolvere dinamicamente gli indirizzi di comando e aggirare i controlli di rete. Le routine di cifratura basate su XOR e chiavi statiche proteggono le configurazioni interne e complicano la decrittazione da parte dei ricercatori. Il comportamento evasivo include la terminazione automatica di altri malware, in particolare cryptominer concorrenti, e l’uso di pattern di traffico mascherati come pacchetti di gioco o VPN, una strategia che consente di sfuggire alle firme comportamentali tradizionali.

Casi e impatti osservati

FortiGuard Labs e CloudSEK hanno documentato un’escalation notevole nelle attività di scanning e infezione nel mese di settembre 2025, con la diffusione simultanea di exploit per CVE-2024-3721 e CVE-2024-12856. L’impatto si è esteso a magazzini, piccole imprese e reti retail, ambienti dove i dispositivi IoT sono spesso installati e dimenticati, privi di segmentazione e aggiornamenti. Gli attaccanti hanno usato tali dispositivi come nodi proxy per occultare il traffico C2 e lanciare attacchi DDoS-for-hire. Alcuni ambienti industriali hanno subito interruzioni di rete e perdita temporanea di visibilità su sistemi di monitoraggio. L’infrastruttura di RondoDox continua a evolversi con nuovi moduli ELF distribuiti su architetture aggiuntive, e una crescente integrazione di exploit N-day e zero-day per ampliare la base di infezioni. Il malware si distingue per la persistenza a lungo termine e la capacità di sopravvivere ai reboot, caratteristiche che lo rendono una minaccia paragonabile a Mozi e RustoBot, ma con un livello di adattabilità superiore.

Raccomandazioni di difesa

Le contromisure suggerite da Trend Micro e FortiGuard ruotano attorno alla patch immediata dei dispositivi vulnerabili, alla segmentazione delle reti OT e IoT e alla rimozione o isolamento dei dispositivi inutilizzati. È essenziale disattivare servizi non necessari, aggiornare firmware e password di default, e monitorare il traffico di rete anomalo attraverso sistemi di telemetria IPS. Le organizzazioni dovrebbero implementare regole di firewall restrittive, limitare l’accesso remoto tramite VPN sicure, e adottare autenticazione multifattore per la gestione dei dispositivi. L’analisi costante dei log e gli audit periodici di sicurezza sono fondamentali per identificare dispositivi esposti, mentre la condivisione di intelligence settoriale aiuta a prevenire ondate di infezioni simili. Il caso RondoDox conferma che la scarsa igiene di sicurezza negli ambienti IoT resta una delle principali vulnerabilità sistemiche, capace di trasformare router, telecamere e DVR in vettori di attacco coordinati a livello globale.

Ecco la lista dei Router