بدافزار AryStinger 4300 روتر قدیمی را آلوده کرده تا شبکه پروکسی شناسایی بسازد

یک خانواده بدافزار جدید به نام «AryStinger» روترهای خانگی فراموش‌شده را به شبکه‌ای توزیع‌شده برای شناسایی اولیه (reconnaissance) و پروکسی تبدیل می‌کند. شرکت امنیتی XLab از QiAnXin اعلام کرده که تاکنون حداقل ۴٬۳۰۰ روتر آلوده شناسایی شده و این رقم همچنان در حال افزایش است. این بدافزار بر روترهای مبتنی بر تراشه‌های RTL819X شرکت Realtek که مربوط به سال‌های ۲۰۱۲ تا ۲۰۱۵ هستند تمرکز دارد و از دو آسیب‌پذیری قدیمی CVE-2013-3307 در روترهای Linksys و CVE-2016-5681 در روترهای D-Link بهره می‌برد. حدود ۷۵ درصد دستگاه‌های آلوده از مدل DIR-850L شرکت D-Link هستند و از نظر جغرافیایی، کره جنوبی با ۴۸ درصد و چین با ۳۲ درصد بیشترین سهم را دارند. یک نسخه دوم از این بدافزار نیز در ۲۶ آوریل ظاهر شده که دستگاه‌های ذخیره‌ساز تحت شبکه (NAS) شرکت QNAP را از طریق آسیب‌پذیری CVE-2025-11837 هدف قرار می‌دهد.

دستگاه‌های آلوده به عنوان گره‌های اجرایی (Executor) عمل می‌کنند؛ اینترنت را اسکن می‌کنند، سرویس‌ها را شناسایی می‌کنند، زیردامنه‌ها را فهرست می‌کنند و ترافیک را تونل می‌زنند تا هویت مهاجم واقعی پنهان بماند. نسخه مربوط به روترها به زبان C نوشته شده و سبک است، در حالی که نسخه NAS با زبان Go توسعه یافته و قابلیت‌های پیشرفته‌تری از جمله اجرای کدهای Go، Java یا Python ارائه‌شده توسط مهاجم را دارد. XLab هنوز هویت عاملان پشت این بدافزار را تأیید نکرده، اما الگوی کلی با شبکه‌های رله عملیاتی (ORB) که گروه‌های دولتی برای پنهان‌سازی ردپای خود استفاده می‌کنند مطابقت دارد. توصیه اصلی کارشناسان، بازنشسته کردن روترهای فاقد پشتیبانی نرم‌افزاری و غیرفعال کردن مدیریت از راه دور (remote administration) است.