La botnet RondoDox continúa expandiéndose y ha logrado aprovechar más de cincuenta vulnerabilidades en routers, DVR, NVR y servidores, afectando infraestructuras de todo el mundo. Este avance refleja el crecimiento de las campañas automatizadas de infección masiva que ponen en riesgo la seguridad de miles de dispositivos conectados.

Según los investigadores, RondoDox ha pasado de atacar objetivos concretos a buscar vulnerabilidades en masa, afectando a equipos de más de 30 fabricantes distintos. Entre ellos se incluyen routers domésticos (SOHO), cámaras IP y servidores web expuestos en Internet. Varias de las fallas explotadas ni siquiera cuentan con un identificador CVE asignado.

El malware utiliza una estrategia tipo “shotgun exploit”, es decir, lanza múltiples intentos de explotación al mismo tiempo para aumentar las posibilidades de éxito. En su repertorio se incluyen vulnerabilidades conocidas como la CVE-2023-1389 que afecta a los routers TP-Link Archer, además de fallos presentes en equipos de D-Link, Linksys, Netgear y Apache.
Para su propagación, RondoDox se apoya en servicios de tipo loader-as-a-service, combinando cargas útiles derivadas de Mirai y Morte. Gracias a esto, logra comprometer routers, grabadores de video y otros dispositivos con contraseñas débiles o sistemas sin actualizar.

Las consecuencias pueden ser graves. RondoDox conforma enormes redes de bots capaces de ejecutar ataques DDoS (HTTP, UDP, TCP) y extender intrusiones automatizadas a escala global. Esto amenaza la disponibilidad de servicios críticos y la privacidad de los datos. Casos como el de la botnet AISURU responsable de algunos de los mayores ataques DDoS recientes demuestran el poder de estas redes, que pueden operar con más de 300.000 dispositivos comprometidos.

Para reducir el riesgo, los expertos recomiendan mantener siempre el firmware actualizado, instalar los parches de seguridad disponibles, desactivar servicios innecesarios y utilizar contraseñas robustas. También es importante segmentar la red y vigilar accesos inusuales en los dispositivos de borde. Si se detecta algún comportamiento sospechoso, lo ideal es aislar el equipo afectado, restaurarlo a su configuración de fábrica y aplicar las actualizaciones antes de reconectarlo.

La rápida evolución de RondoDox, junto con su fusión con variantes como Mirai, refuerza la necesidad de adoptar una gestión proactiva de vulnerabilidades tanto en entornos IoT como empresariales. Solo con buenas prácticas de seguridad, monitoreo constante y actualizaciones regulares se puede mitigar el impacto de amenazas que cada día ganan más complejidad y alcance.

fuente: unaaldia[.]hispasec[.]com