Uma nova ameaça silenciosa está a atingir equipamentos de rede desatualizados em todo o mundo. A rede de malware conhecida como AryStinger já comprometeu mais de quatro mil routers para os transformar em intermediários de tráfego ilícito, segundo a análise detalhada publicada pela equipa de segurança XLab.
Como funciona a rede de ataque aos equipamentos
Os especialistas descobriram que esta ameaça converte os aparelhos infetados em executores controlados à distância. Na prática, o atacante consegue dividir grandes tarefas de varrimento em pequenos fragmentos, distribuindo-os por vários routers para execução paralela. Este método distribuído permite realizar o reconhecimento inicial de redes de forma eficiente e aumenta a taxa de sucesso de intrusões posteriores.
Além de usar os routers comprometidos como um trampolim para outras operações maliciosas, o código consegue alterar as definições de DNS. Isto permite intercetar a navegação do utilizador e monitorizar silenciosamente todo o tráfego de entrada e saída, com o objetivo de roubar dados confidenciais.
A praga tira partido de falhas de segurança antigas, como a CVE-2013-3307, a CVE-2016-5681 e a CVE-2025-11837. Os alvos principais são os modelos D-Link DIR-850L e DIR-818LW, equipamentos que já tinham estado na mira de outras redes de ataque no passado. Quase metade das infeções regista-se na Coreia do Sul, seguida pela China, Suécia, Malásia e Singapura.
Variantes avançadas e medidas de proteção na rede
Durante a investigação, foram identificadas duas versões distintas desta ameaça. A primeira, escrita em linguagem C, foca-se nos routers desatualizados. A segunda variante, desenvolvida em Go, tem como alvo os sistemas de armazenamento NAS. Embora esta última tenha um alcance mais limitado de momento, apresenta capacidades muito superiores, incluindo a execução de comandos, pesquisa de IPs e exploração da rede interna através de ferramentas de código aberto.
A versão para sistemas NAS suporta comandos em ambientes Go, Java e Python, embora o processo de compilação exija dependências no sistema anfitrião, o que pode gerar ruído e alertar os administradores para a intrusão.
Para evitar que a ligação à internet seja usada para fins ilícitos, é fundamental substituir os routers que já não recebem suporte oficial dos fabricantes. Caso o equipamento ainda seja suportado, os utilizadores devem instalar as atualizações de firmware mais recentes, alterar a palavra-passe padrão da conta de administração e desativar qualquer painel de gestão remota.
Nenhum comentário
Seja o primeiro!