AryStinger: a rede de reconhecimento que nasce de roteadores esquecidos e NAS fora de suporte

Uma nova árvore de infraestrutura maliciosa floresceu aproveitando o que muitos acreditavam inofensivo: roteadores domésticos esquecidos e caixas NAS fora de suporte. QiAnXin XLab batizou a família como AryStinger, e descreve uma implantação que não busca transformar cada equipamento em uma arma de saturação, mas em uma rede de reconhecimento e proxy que opera na fase anterior a uma intrusão: digitalização maciça, pegada de serviços, enumeração de subdomínios, tunelização de tráfego e execução de comandos a pedido de um operador remoto.

A diferença com os botnets tradicionais é crucial. Enquanto as velhas árvores de bots acabavam alimentando campanhas de DDoS ou mineração, AryStinger constrói uma malha de nodos que ocultam a origem do atacante e fazem o trabalho sujo da exploração: cada roteador ou NAS infectado atua como um um nó de footprinting e um relay para o tráfego, permitindo dividir barridos em tarefas paralelas e encobrir a proveniência de sondas e conexões.

As principais vítimas são equipamentos antigos baseados no chipset Realtek RTL819X (modelos fabricados em torno de 2012–2015) e certos dispositivos D-Link e Linksys, explorando vulnerabilidades já conhecidas como CVE-2013-3307 e CVE-2016-5681. Esse padrão — aproveitar falhas n-day em firmware nunca atualizado — é a receita para converter hardware em desuso em infraestrutura opaca e duradoura; uma unidade concreta, o modelo DIR-850L de D‐Link, supõe uma porção desproporcional da piscina infectada relatada por XLab.

Os investigadores relatam pelo menos 4.300 roteadores comprometidos e um viés geográfico claro para a Coreia do Sul e para a China, e detectaram também uma segunda estirpe que afetou caixas QNAP através de CVE-2025-11837, uma injeção de código contra a ferramenta de remoção de malware da QNAP. A tática é especialmente inquietante: a própria utilidade pensada para limpar equipamentos se torna vetor de entrada quando contém uma vulnerabilidade e o fabricante já patchou o erro meses antes de ser explorado na natureza.

Tecnicamente, AryStinger adota uma abordagem pragmática: o binário para roteadores está escrito em C, muito leve para caber em hardware limitado, e se concentra em digitalização DNS e tunelização; o build para NAS, escrito em Go, incorpora ferramentas de reconhecimento como fscan, ksubdomain e httpx, e acrescenta uma funcionalidade chamada "ScriptWork" que permite executar código Go, Java ou Python fornecido pelo atacante sem necessidade de compilar por objetivo. A comunicação com o C2 usa o HTTP/HTTPS com tráfego codificado por Protobuf e ofuscado por XOR — suficiente para evitar controlos triviais — e em alguns casos gzip. A persistência é reforçada com um servidor Dropbear ouvindo num porto fixo (2332) e uma chave SSH codificada (sh_#@!_2024_secret), um sinal de antiguidade operacional que sugere atividade prévia a 2026.

Este padrão não é novo em forma, sim em escala e em objetivos. Operações anteriores com serviços de proxy residenciais (como a desarticulação de 5socks e Anyproxy por autoridades) ou as chamadas Operational Relay Boxes (ORB) documentadas por equipas de resposta mostraram como redes de dispositivos domésticos servem a atores que necessitam furtividade e capacidade de reconhecimento sem atar suas ferramentas a servidores facilmente observáveis.

As implicações para empresas e usuários são múltiplas. Para um atacante, milhares de relays repartidos por países distintos reduz enormemente a capacidade de rastrear e atribuir atividade, e acelera o reconhecimento a nível com baixo custo de infraestrutura. Para defensores e equipamentos de resposta, esses nós significam falsos positivos e ruídos, precisam de correlação de telemetria mais fina e bloqueio a nível de rede para mitigar vazamentos e túneis. Além disso, a mesma capacidade de digitalização pode redireccionar-se para gerar tráfego para resolutores e forçar degradação ou estados do tipo DoS dirigidos.

Se você administra ou depende de hardware doméstico, as verificações práticas são simples, mas obrigatórias: audita o tráfego cessante a partir da LAN em busca de conexões a domínios e C2 conhecidos (os IOCs iniciais citados por XLab incluem domínios de descarga como ajb8.com), inspecionou /tmp/bin em dispositivos em busca de executáveis não autorizados, e monitoriza processos incomuns com nomes como nomes syswapd0h ou syswapd0w. Para confirmar amostras e reputação, ferramentas como Vírus total Eles podem ajudar, mas não substituem uma análise de rede e integridade local.

A solução definitiva, no entanto, é política e de gestão de ativos: retirar equipamentos que levam anos sem adesivos, substituí-los por modelos com suporte, ou isolá-los em segmentos de rede com regras rigorosas de egress. Desactivar a administração remota exposta, alterar as credenciais por defeito, desactivar o UPnP quando não for necessário e limitar o acesso SSH são medidas que reduzem a superfície de ataque enquanto a substituição é planejada. Em ambientes corporativos e de fornecedores de serviços, convém instrumentar detecção para digitalização DNS em massa e padrões de tunelização, e preparar listas de bloqueio para domínios e IPs associados a campanhas ativas.

Este incidente é um lembrete de que a segurança não é apenas adesivos: é gestão de ciclo de vida. Uma equipe que deixou de receber atualizações em 2016 não vai se tornar seguro por arte de magia. Converter um roteador doméstico em parte de uma rede de espionagem demonstra que a ameaça olha para os dispositivos mais humildes e permanentes de nossas infra-estruturas. A resposta deve combinar detecção mais fina, políticas de substituição e, sobretudo, consciência de que o hardware esquecido pode ser a primeira trincheira da seguinte intrusão.