Una nueva y sofisticada familia de malware, denominada RustDuck, está reescribiéndose en el lenguaje de programación Rust para secuestrar routers domésticos, cámaras IP, decodificadores Android y servidores mal protegidos. El objetivo final de esta botnet es orquestar ataques de Denegación de Servicio Distribuido (DDoS) contra sitios web y servicios en línea, saturándolos con tráfico no deseado hasta colapsarlos. Los investigadores han observado su rápida evolución desde febrero de 2026, destacando su capacidad de adaptación y sus avanzados métodos de evasión.
RustDuck se propaga a través de una combinación de debilidades de seguridad bien conocidas. El vector de ataque más común es la explotación de dispositivos expuestos a internet con contraseñas predeterminadas o débiles en servicios de inicio de sesión remoto como Telnet y SSH. También aprovecha vulnerabilidades no parcheadas en equipos de diversos fabricantes como TVT, Ruijie, TP-Link y ZTE, así como fallas específicas ya conocidas, como CVE-2017-17215 en routers Huawei HG532, CVE-2025-29635 en routers D-Link DIR-823X, CVE-2024-1781 en routers Totolink X6000R y CVE-2018-8007 en Apache CouchDB. Su alcance se extiende a software web vulnerable como ThinkPHP, Jenkins y Hadoop YARN.
Lo que distingue a RustDuck es su ingeniería. El malware se instala en dos etapas: un cargador ligero que descifra y desempaqueta un módulo central más robusto, que es la parte reescrita en Rust. Los binarios de Rust son intrínsecamente más difíciles de analizar, y RustDuck implementa técnicas avanzadas para derivar claves, esconderse de los analistas y comunicarse con sus servidores de comando y control (C2). Antes de ejecutar cualquier acción, el malware realiza una serie de verificaciones para detectar entornos de investigación, como la presencia de herramientas de análisis (Wireshark, gdb), depuradores, huellas de honeypots o la detección de hardware de máquinas virtuales. Si se identifica en un entorno de este tipo, el malware borra sus rastros y se detiene, dificultando su estudio. Sus comunicaciones están cifradas con algoritmos modernos como ChaCha20-Poly1305 y AES-GCM, rotando las claves cada diez minutos para mezclarse con el tráfico web legítimo.
La defensa contra RustDuck no reside en un solo parche, ya que es un malware. Las acciones preventivas clave incluyen: asegurar que las interfaces de gestión remota no estén expuestas a internet, desactivar servicios innecesarios como Android Debug Bridge, Telnet y SSH, y reemplazar las contraseñas predeterminadas por credenciales robustas. Es fundamental aplicar todos los parches de seguridad disponibles para dispositivos y software. En el caso de equipos al final de su vida útil (EOL) sin soporte, como algunos routers D-Link o Totolink mencionados, la recomendación es retirarlos de servicio y reemplazarlos. Finalmente, se deben bloquear los Indicadores de Compromiso (IoC) conocidos, como hashes de archivos, dominios de control y direcciones IP de origen, alimentándolos a sus sistemas de monitoreo y seguridad.
Qué significa para tu empresa: La aparición de botnets como RustDuck subraya la necesidad de una postura de seguridad proactiva y robusta. La capacidad de este malware para evolucionar rápidamente y evadir la detección en entornos de investigación demuestra que las amenazas actuales requieren una defensa multicapa y una vigilancia constante. Para mitigar eficazmente estos riesgos, es crucial implementar una seguridad gestionada por capas que incluya un firewall perimetral NGFW, protección de endpoints EDR/XDR y un SOC con monitoreo 24/7. Estas capacidades permiten detectar y responder a ataques sofisticados, identificar actividades sospechosas y proteger su infraestructura de los riesgos inherentes a dispositivos mal configurados o vulnerables.
Fuente original: The Hacker News — ver artículo →