RustDuck botnet viết lại bằng Rust, nhắm router và máy chủ để phát DDoS
"Researchers reported a new two-stage botnet malware family, RustDuck, that targets routers, IP cameras, Android boxes, and exposed servers for DDoS attacks. The malware spreads via weak credentials and multiple known vulnerabilities, including CVE-2017-17215, CVE-2025-29635, CVE-2024-1781, and CVE-2018-8007, while its newer core is being rewritten in Rust and includes anti-analysis and encrypted command-and-control features. Mitigation focuses on removing public remote-management exposure, patching or replacing vulnerable devices, and blocking known indicators of compromise."
Tác động bảo mật đáng kể do khả năng chiếm quyền trên nhiều lớp thiết bị và điều khiển để thực hiện DDoS; đặc biệt nguy hiểm bởi các CVE nhắm vào router/thiết bị và cơ chế chống phân tích + mã hóa C2 giúp duy trì hoạt động.
Rủi ro vận hành chủ yếu đến từ khả năng làm gián đoạn dịch vụ do DDoS và chi phí xử lý sự cố khi thiết bị nội bộ bị lộ/chiếm quyền; mức độ ảnh hưởng phụ thuộc vào việc doanh nghiệp có quản trị từ xa công khai và mức độ vá lỗ hổng hay không.
Các nhà nghiên cứu ghi nhận một họ mã độc botnet hai giai đoạn mang tên RustDuck. Mục tiêu của nó gồm router gia đình, IP camera, Android box và các máy chủ/thiết bị lộ ra Internet, sau đó tổ chức thành mạng để gây DDoS bằng cách bơm lưu lượng nhằm làm gián đoạn dịch vụ đích. Nhóm theo dõi từ tháng 2/2026 và nhấn mạnh tốc độ thay đổi nhanh của biến thể.
RustDuck lan truyền không dựa vào một kỹ thuật duy nhất mà kết hợp nhiều “cửa” quen thuộc: (1) thiết bị để lộ Telnet/SSH với mật khẩu yếu hoặc mặc định; (2) khai thác lỗ hổng trên thiết bị/firmware, gồm các CVE CVE-2017-17215, CVE-2025-29635, CVE-2024-1781, CVE-2018-8007; và (3) nhắm các phần mềm web như ThinkPHP, Jenkins, Hadoop YARN.
Điểm đáng chú ý là lõi mới đang được viết lại từ C sang Rust, kèm cơ chế chống phân tích và truyền thông được mã hóa (ví dụ ChaCha20-Poly1305, AES-GCM, HKDF-SHA256, Curve25519). Khuyến nghị: loại bỏ quản trị từ xa khỏi Internet, vá/ thay thế thiết bị hết vòng đời, tắt ADB/Telnet/SSH khi không cần, và đưa hash/indicator do báo cáo cung cấp vào giám sát để chặn lây nhiễm.