بات‌نت RustDuck با بازنویسی در Rust، روترها و سرورهای آسیب‌پذیر را برای حملات DDoS هدف گرفت

پژوهشگران امنیت سایبری از شناسایی یک بات‌نت جدید با نام RustDuck خبر داده‌اند؛ بدافزاری که با هدف قرار دادن روترهای خانگی، دوربین‌های تحت شبکه، Android Boxها و سرورهای دارای پیکربندی ضعیف، آن‌ها را به بخشی از یک شبکه بات‌نت برای اجرای حملات منع سرویس توزیع‌شده (DDoS) تبدیل می‌کند.

بر اساس گزارشی که توسط پژوهشگران XLab در شرکت QiAnXin منتشر شده، این بدافزار از فوریه ۲۰۲۶ تحت رصد قرار داشته است. اگرچه RustDuck در مقایسه با بات‌نت‌های بزرگ امروزی هنوز گستردگی زیادی ندارد، اما سرعت توسعه، بازنویسی هسته آن با زبان Rust و استفاده از تکنیک‌های پیشرفته برای فرار از شناسایی، نشان می‌دهد که این تهدید می‌تواند در آینده به یکی از بازیگران مهم حملات DDoS تبدیل شود.

روش‌های انتشار RustDuck RustDuck برای نفوذ به دستگاه‌ها تنها به یک روش متکی نیست، بلکه از ترکیبی از ضعف‌های امنیتی شناخته‌شده استفاده می‌کند.

اولین روش، سوءاستفاده از دستگاه‌هایی است که سرویس‌های Telnet و SSH آن‌ها با رمزهای عبور پیش‌فرض یا ضعیف در اینترنت در دسترس قرار دارد. در چنین شرایطی، مهاجمان با حدس زدن یا استفاده از اعتبارنامه‌های رایج، کنترل دستگاه را در اختیار می‌گیرند.

روش دوم، بهره‌برداری از آسیب‌پذیری‌های وصله‌نشده در تجهیزات مختلف است. طبق گزارش XLab، این بدافزار رابط Android Debug Bridge (ADB) و همچنین آسیب‌پذیری‌های موجود در محصولات شرکت‌های TVT، Ruijie، TP-Link و ZTE را هدف قرار می‌دهد.

علاوه بر این، RustDuck از چندین آسیب‌پذیری شناخته‌شده نیز سوءاستفاده می‌کند، از جمله:

CVE-2017-17215؛ آسیب‌پذیری اجرای کد از راه دور در روترهای Huawei HG532 که پیش‌تر توسط بات‌نت Mirai نیز مورد بهره‌برداری قرار گرفته بود. CVE-2025-29635؛ آسیب‌پذیری تزریق فرمان در روترهای از رده خارج D-Link DIR-823X که در فهرست آسیب‌پذیری‌های مورد سوءاستفاده سازمان CISA نیز قرار گرفته است. CVE-2024-1781؛ آسیب‌پذیری تزریق فرمان در روتر Totolink X6000R که تاکنون وصله‌ای برای آن منتشر نشده است. CVE-2018-8007؛ آسیب‌پذیری اجرای کد از راه دور در Apache CouchDB.

این بدافزار همچنین نرم‌افزارهای ThinkPHP، Jenkins و Hadoop YARN را نیز هدف قرار می‌دهد؛ موضوعی که دامنه حملات آن را از تجهیزات اینترنت اشیا تا سرورهای سازمانی گسترش می‌دهد.

به گفته پژوهشگران، تاکنون بیش از ۲۰ سرور توزیع‌کننده RustDuck شناسایی شده که فعال‌ترین آن‌ها در آدرس 176.65.139[.]204 قرار دارد.

بازنویسی هسته بدافزار با Rust یکی از مهم‌ترین ویژگی‌های RustDuck، بازنویسی تدریجی هسته اصلی آن از زبان C به Rust است.

کارشناسان معتقدند فایل‌های تولیدشده با Rust معمولاً مهندسی معکوس دشوارتری نسبت به نمونه‌های مبتنی بر C دارند. بررسی‌های XLab نیز نشان می‌دهد نسخه جدید RustDuck از روش‌های پیشرفته‌تری برای تولید کلیدهای رمزنگاری، محافظت از ارتباطات و جلوگیری از تحلیل استفاده می‌کند که نشان‌دهنده توسعه فعال این پروژه است.

مکانیزم‌های پیشرفته فرار از تحلیل RustDuck پیش از آغاز فعالیت، محیط اجرای خود را بررسی می‌کند تا مطمئن شود روی یک سیستم واقعی اجرا شده و نه در محیط‌های تحلیل بدافزار.

این بدافزار وجود ابزارهایی مانند Wireshark، gdb، دیباگرها، Honeypotها و ماشین‌های مجازی را بررسی کرده و برای هر مورد مشکوک امتیازی در نظر می‌گیرد. اگر میزان ریسک از حد مشخصی فراتر رود، بدون اجرای فعالیت مخرب، آثار خود را حذف کرده و اجرای خود را متوقف می‌کند.

از دیگر قابلیت‌های ضدتحلیل این بدافزار می‌توان به موارد زیر اشاره کرد:

بررسی آدرس‌های اینترنتی رزروشده برای شناسایی شبکه‌های آزمایشگاهی. مقایسه دو منبع زمانی مختلف به‌منظور تشخیص Sandboxهایی که زمان اجرای بدافزار را تسریع می‌کنند. حذف خودکار ردپا در صورت تشخیص محیط تحلیل. ارتباطات رمزنگاری‌شده

RustDuck برای برقراری ارتباط با سرورهای فرماندهی و کنترل (C2) از الگوریتم‌های رمزنگاری مدرن استفاده می‌کند.

این بدافزار از ChaCha20-Poly1305 برای مرحله تبادل اولیه، AES-GCM برای انتقال دستورات، HKDF-SHA256 برای مشتق‌سازی کلیدها و Curve25519 برای تبادل کلید بهره می‌برد. همچنین کلیدهای رمزنگاری هر ۱۰ دقیقه یک‌بار تغییر کرده و ارتباطات شبکه به‌گونه‌ای طراحی شده‌اند که مشابه ترافیک معمول HTTPS به نظر برسند.

قابلیت‌های عملیاتی پس از آلوده شدن دستگاه، اپراتورهای بات‌نت قادرند دستورات مختلفی را برای سیستم‌های آلوده ارسال کنند که از جمله آن‌ها می‌توان به آغاز یا توقف حملات DDoS، دریافت وضعیت دستگاه، تغییر سرورهای فرماندهی و به‌روزرسانی خودکار بدافزار اشاره کرد.

گزارش XLab نشان می‌دهد زیرساخت فرماندهی RustDuck عمدتاً از سرویس‌های رایگان Dynamic DNS مانند DuckDNS استفاده می‌کند و نام این بات‌نت نیز از همین سرویس الهام گرفته شده است.

بخشی از روند رو‌به‌رشد بات‌نت‌های مبتنی بر Rust RustDuck نخستین بات‌نتی نیست که با زبان Rust توسعه یافته است. پیش از این نیز بات‌نت RustoBot با هدف آلوده‌سازی روترها و اجرای حملات DDoS شناسایی شده بود.

هم‌زمان، سال ۲۰۲۶ یکی از پرتنش‌ترین سال‌ها از نظر حملات DDoS محسوب می‌شود. در ماه‌های اخیر، بات‌نت‌هایی مانند AISURU با بهره‌گیری از میلیون‌ها دستگاه آلوده، حملاتی با حجمی نزدیک به ۳۰ ترابیت بر ثانیه را رقم زدند؛ هرچند زیرساخت این شبکه‌ها در نهایت طی یک عملیات بین‌المللی از کار افتاد.

پژوهشگران همچنین به نکته جالبی اشاره کرده‌اند؛ فعال‌ترین سرور توزیع RustDuck در همان محدوده آدرس IP قرار دارد که پیش‌تر برای یک بات‌نت دیگر مبتنی بر ADB گزارش شده بود. اگرچه هنوز ارتباط مستقیمی میان این دو کمپین تأیید نشده، اما این هم‌پوشانی می‌تواند نشانه‌ای از استفاده مشترک از زیرساخت‌های میزبانی باشد.

توصیه‌های امنیتی کارشناسان برای کاهش خطر آلودگی به RustDuck، رعایت موارد زیر را توصیه می‌کنند:

غیرفعال کردن Telnet، SSH و Android Debug Bridge در صورت عدم نیاز. استفاده از رمزهای عبور قوی و منحصربه‌فرد و حذف اعتبارنامه‌های پیش‌فرض. به‌روزرسانی مستمر سیستم‌عامل، نرم‌افزارها و تجهیزات شبکه. جایگزینی تجهیزات پایان عمر (End-of-Life) که دیگر وصله امنیتی دریافت نمی‌کنند. مسدودسازی شاخص‌های نفوذ (IOC)، هش فایل‌ها و دامنه‌های فرماندهی منتشرشده در گزارش XLab. جمع‌بندی

RustDuck اگرچه هنوز در مقیاس بزرگ‌ترین بات‌نت‌های جهان فعالیت نمی‌کند، اما بهره‌گیری از زبان Rust، استفاده از الگوریتم‌های رمزنگاری مدرن، قابلیت‌های پیشرفته ضدتحلیل و امکان به‌روزرسانی از راه دور، آن را به یکی از پیشرفته‌ترین تهدیدهای نوظهور حوزه اینترنت اشیا و حملات DDoS تبدیل کرده است. کارشناسان معتقدند حتی اگر RustDuck به یک بات‌نت عظیم تبدیل نشود، تکنیک‌های به‌کاررفته در آن به احتمال زیاد در آینده توسط سایر گروه‌های تهدید مورد استفاده قرار خواهند گرفت.