Migliaia di router D-Link diventano una rete di proxy e scanner
Il pericolo non è solo l'infezione di 4.000 router: è la trasformazione di dispositivi domestici in una struttura distribuita per scansione e relay. Così il traffico di ricognizione e le prime fasi di intrusione arrivano da molte IP residenziali, si frammentano e diventano molto più difficili da attribuire o bloccare.
Qianxin XLab attribuisce ad AryStinger il controllo di oltre 4.000 router D-Link obsoleti, soprattutto DIR-850L e DIR-818LW. Il malware li usa come executors remoti per scanning, proxying, tunneling e command execution, e può anche alterare il DNS e osservare il traffico in transito; le infezioni si concentrano soprattutto in Corea del Sud e Cina.
Per chi difende servizi esposti su Internet, il punto non è il singolo modello colpito ma la comparsa di una fascia di infrastruttura avversaria fatta di router compromessi. Una volta entrati in questa rete, gli attaccanti possono mascherare la ricognizione e rendere molto meno efficace il blocco basato sugli IP.