Un nuevo jugador en el ecosistema DDoS
Una nueva familia de malware de dos etapas llamada RustDuck está secuestrando routers domésticos, cámaras IP, cajas Android y servidores mal protegidos para integrarlos en una red diseñada a derribar sitios web y servicios en línea. Los investigadores de QiAnXin's XLab lo rastrean desde febrero de 2026, y señalan que lo relevante no es su tamaño actual, sino la rapidez con la que evoluciona.
El objetivo final es un ataque de denegación de servicio distribuido (DDoS): inundar un objetivo con tráfico basura desde las máquinas infectadas hasta que colapse. RustDuck es un competidor más en un campo saturado, pero destaca por dos razones: se está reescribiendo del lenguaje C a Rust, y sus versiones más recientes emplean medidas extremas para evitar ser estudiadas o neutralizadas.
Cómo se propaga
RustDuck no depende de un único truco ingenioso. Emplea una mezcla de vulnerabilidades antiguas y conocidas, esperando que alguna funcione. La primera es la más clásica: dispositivos conectados a internet con contraseñas débiles o por defecto en sus servicios de acceso remoto (Telnet y SSH). Si acierta la contraseña, entra.
La segunda son bugs sin parchear en los dispositivos. XLab indica que RustDuck ataca interfaces de depuración Android expuestas y fallos en equipos de TVT (DVRs y cámaras), Ruijie, TP-Link y ZTE, además de varias vulnerabilidades conocidas de hace años que aún persisten en internet:
- CVE-2017-17215: ejecución remota de código en routers Huawei HG532, explotada por botnets originales de estilo Mirai en 2017.
- CVE-2025-29635: inyección de comandos en routers D-Link DIR-823X descatalogados, que Akamai observó siendo explotados por variantes de Mirai en marzo de 2026. CISA la añadió a su lista de vulnerabilidades explotadas conocidas al mes siguiente.
- CVE-2024-1781: inyección de comandos en routers Totolink X6000R, cuyo fabricante nunca respondió a la divulgación.
- CVE-2018-8007: ruta de ejecución remota de código en Apache CouchDB que un administrador autenticado puede aprovechar.
La tercera vía es el software web. RustDuck también ataca fallos conocidos en ThinkPHP, Jenkins y Hadoop YARN, lo que extiende su alcance desde hardware doméstico barato hasta software de servidor expuesto. XLab contó más de 20 direcciones de internet distribuyendo el malware, siendo la más activa 176.65.139[.]204.
Qué lo hace escurridizo
RustDuck se instala en dos etapas: un pequeño cargador que descifra y desempaqueta un módulo central más pesado. Ese núcleo es donde reside la ingeniería interesante, y es la parte que se está reescribiendo en Rust. Los binarios de Rust son generalmente más difíciles de analizar que los de C que han potenciado el malware de dispositivos durante años, y XLab afirma que el núcleo en Rust de RustDuck muestra un nivel real en la derivación de claves, la ocultación del análisis y la comunicación con sus servidores. El cambio indica un desarrollo activo, no un simple reemplazo de código filtrado.
La señal más clara es lo difícil que las muestras más recientes trabajan para permanecer ocultas. Antes de hacer nada, RustDuck ejecuta una lista de verificación para decidir si ha caído en el laboratorio de un investigador de seguridad en lugar de en un dispositivo víctima real. Busca herramientas de análisis como Wireshark y gdb, depuradores adjuntos a su propio proceso, huellas de una trampa honeypot, e incluso hardware de máquina virtual. Cada acierto suma puntos a una puntuación de riesgo. Si se supera un umbral, el malware borra sus rastros y se cierra antes de que alguien pueda observarlo en ejecución.
Dos de esas comprobaciones destacan. Una intenta silenciosamente alcanzar una dirección de internet reservada para pruebas que nunca debería responder; si algo responde, RustDuck sabe que está dentro de una red falsa diseñada para engañar al malware, y aborta. Otra compara dos relojes para detectar sandboxes que aceleran el tiempo para que el malware muestre sus cartas rápidamente.
Sus comunicaciones están fuertemente protegidas. RustDuck cifra su tráfico con cifrados modernos: ChaCha20-Poly1305 para el handshake, AES-GCM una vez que recibe órdenes. Deriva sus claves con HKDF-SHA256 y un intercambio Curve25519, las rota cada diez minutos, y disfraza la conexión para que parezca tráfico web cifrado normal, camuflándose así. Una vez que un dispositivo se registra, los operadores pueden enviar una lista corta de órdenes: iniciar un ataque, detenerlo, informar estado, cambiar a nuevos servidores de control, o actualizar silenciosamente el malware a una versión más reciente. Las direcciones de control recurren a servicios DNS dinámicos gratuitos como duckdns.org, de donde proviene el 'Duck' en el nombre.
Esto encaja en un patrón mayor
RustDuck no es el primer botnet que recurre a Rust. En abril de 2025, Fortinet documentó RustoBot, un botnet basado en Rust que se propagaba a través de routers Totolink y otros para ejecutar ataques DDoS, usando la misma receta: routers baratos, un lenguaje moderno y tráfico de inundación bajo demanda. También llega en un año brutal para los DDoS. El mismo tipo de botnet, a gran escala, ha producido las mayores inundaciones registradas. AISURU y un grupo de botnets relacionados, con más de tres millones de dispositivos secuestrados entre ellos, impulsaron ataques cercanos a 30 Tbps antes de que una operación liderada por EE.UU. derribara su infraestructura esta primavera. En comparación, RustDuck es pequeño. La preocupación es la dirección hacia la que se dirige.
Un detalle que merece una segunda mirada: la dirección de entrega más activa de RustDuck, 176.65.139[.]204, se encuentra en el mismo bloque pequeño de direcciones que el servidor detrás de un botnet DDoS separado que atacaba ADB reportado en la primavera de 2026. Podría ser una coincidencia o un hosting blindado compartido, y XLab no vincula los dos, pero la superposición es algo que vale la pena verificar.
Qué hacer
No hay parche para RustDuck en sí, porque es malware, no un único bug. La defensa implica cerrar las puertas por las que entra:
- Retirar las interfaces de gestión remota de la internet pública. Desactivar Android Debug Bridge, Telnet y SSH donde no sean necesarios, y nunca dejarlos accesibles con contraseñas por defecto.
- Actualizar lo que se pueda, reemplazar lo que no. CouchDB tiene versiones corregidas a las que actualizar, pero algunos de estos routers están al final de su vida útil. Para el D-Link DIR-823X, el consejo de CISA es retirarlo del servicio en lugar de esperar un parche que no llegará, y el fabricante de Totolink nunca respondió a la divulgación. El hardware sin soporte debe ser reemplazado, no reparado.
- Bloquear los indicadores conocidos. El informe de XLab lista los hashes de archivo del malware, los dominios de control y las direcciones de origen; intégralos en tu monitoreo.
RustDuck es un botnet pequeño que lleva la ingeniería de uno serio. Ya sea que crezca hasta convertirse en una amenaza real o se desvanezca, las técnicas que está probando (una reescritura en Rust y una rutina paranoica para esconderse de los investigadores) son las partes que otros grupos probablemente tomarán prestadas.
Deja una respuesta