I ricercatori cinesi di XLab (Qianxin) hanno rilevato una nuova botnet, denominata AryStinger, formata da oltre 4.000 vecchi router D-Link con chip RTL819X (anche alcuni Linksys). L’infezione è avvenuta sfruttando vulnerabilità del 2013 e del 2016, per le quali non sono state rilasciate patch (i dispositivi non sono più supportati dal produttore taiwanese). Esiste anche una variante che prende di mira i NAS.
I router D-Link sono preferiti dai cybercriminali
La botnet, individuata a marzo, sfrutta le vulnerabilità CVE-2013-3307 e CVE-2016-5681. Leggendo le date è chiaro che si tratta di vecchi bug, per i quali il produttore non ha rilasciato una patch perché i router non sono più supportati. Le tracce di AryStinger sono state rilevate nei D-Link DIR-850L, DIR-818L/LW, DIR-817LW e DIR-816L che si trovano principalmente in Corea del Sud e Cina (circa 4.300 unità).
I ricercatori hanno scoperto due varianti. La più diffusa è quella per i suddetti router con chip RTL819X. AryStinger comunica con il server C2 (command and control), al quale invia le informazioni dei dispositivi e dal quale attende la ricezione dei comandi. A differenza di altre botnet usate per eseguire attacchi DDoS, AryStinger viene utilizzata per effettuare la scansione della rete, l’identificazione dei servizi e il forwarding del traffico (i router diventano proxy residenziali) per nascondere la reale provenienza.
Ogni dispositivo viene trasformato in “esecutore” e i cybercriminali possono suddividere i compiti per l’esecuzione in parallelo. Il malware può anche stabilire una persistenza tramite SSH, cambiare le impostazioni DNS, dirottare il browser verso siti infetti e monitorare il traffico per rubare informazioni sensibili.
I vecchi router di D-Link sono spesso sfruttati per creare botnet, tra cui Mirai e AVrecon (smantellata nel 2023, ma ripristinata nei mesi successivi).
La seconda variante della botnet sfrutta la vulnerabilità CVE-2025-11837 dei NAS QNAP. È meno diffusa, ma più avanzata. Può effettuare la scansione degli indirizzi IP e DNS, eseguire comandi e scaricare altri malware.
Gli utenti devono sempre installare l’ultima versione dei firmware, cambiare la password predefinita e disattivare la gestione remota. I router non più supportati dai produttori dovrebbero essere sostituiti.
Ti potrebbe interessare
22 giu 2026