Onderzoekers van Qianxin’s XLab ontdekten het AryStinger-botnet, dat meer dan 4.000 verouderde routers omtovert tot proxys voor kwaadaardig verkeer. De malware misbruikt kwetsbaarheden zoals CVE-2013-3307 en CVE-2025-11837, vooral op D-Link DIR-850L- en DIR-818LW-modellen.
Het botnet benuttigt gecompromitteerde apparaten als *executors* voor taken zoals scannen, proxyverkeer en commandouitvoering. Hierdoor kan een aanvaller grote taken opsplitsen en parallel uitvoeren, wat de efficiëntie en het succespercentage van latere intrusies verhoogt. Daarnaast kan AryStinger DNS-instellingen wijzigen om verkeer om te leiden en netwerkverkeer te monitoren of te stelen.
Volgens de telemetriegegevens van XLab bevinden bijna de helft van de infecties zich in Zuid-Korea (48,5 procent), gevolgd door China (31,8 procent) en Zweden (6,4 procent). De onderzoekers identificeerden twee varianten: een C-gebaseerde versie voor verouderde routers en een Go-gebaseerde versie voor NAS-systemen. Die laatste biedt geavanceerdere functionaliteiten zoals IP- en DNS-scannen.
Technische capaciteiten en beperkingen
De NAS-variant van AryStinger beschikt over extra mogelijkheden, zoals het uitvoeren van shellcommando’s, Go-, Java- en Python-code. Toch zijn er beperkingen: het compileren van broncode vereist runtime-omgevingen op de host, wat geluid kan veroorzaken en de stalth-modus kan doorbreken.
XLab waarschuwt dat de gedistribueerde DNS-scanninginfrastructuur van AryStinger potentieel kan worden misbruikt voor grote volumes DNS-verzoeken, hoewel dergelijke aanvallen nog niet zijn waargenomen.
Advies voor gebruikers
Eigenaars van end-of-life routers wordt aangeraden om deze te vervangen door nieuwe, actief ondersteunde modellen. Daarnaast is het belangrijk om de nieuwste firmware-updates toe te passen, het standaardbeheerderwachtwoord te wijzigen en externe beheerpanelen uit te schakelen.