Underc0de - La Casa de los Informáticos

Una nueva amenaza cibernética denominada RustDuck está captando la atención de la comunidad de ciberseguridad por su capacidad para comprometer miles de dispositivos conectados a Internet y convertirlos en parte de una botnet especializada en ataques de denegación de servicio distribuida (DDoS).

De acuerdo con una investigación realizada por XLab, el laboratorio de seguridad de QiAnXin, esta familia de malware ha permanecido activa desde febrero de 2026 y destaca no solo por la diversidad de dispositivos que puede infectar, sino también por la rapidez con la que evoluciona. Los expertos consideran que RustDuck representa una nueva generación de malware para dispositivos IoT, ya que incorpora técnicas avanzadas de evasión, cifrado moderno y una migración progresiva del tradicional lenguaje C hacia Rust, dificultando considerablemente su análisis.

¿Qué es RustDuck?

RustDuck es una botnet de dos etapas diseñada para secuestrar dispositivos vulnerables como:

• Routers domésticos.
• Cámaras IP.
• Grabadores digitales de video (DVR).
• Decodificadores Android.
• Servidores Linux expuestos a Internet.

Una vez comprometidos, estos equipos pasan a formar parte de una infraestructura controlada remotamente por los operadores del malware, quienes pueden utilizarlos para lanzar ataques DDoS masivos contra sitios web, plataformas empresariales, servicios en línea o cualquier objetivo conectado a Internet.

Aunque actualmente la botnet aún no alcanza el tamaño de campañas históricas como Mirai o AISURU, los investigadores advierten que el verdadero peligro reside en la velocidad con la que sus desarrolladores están incorporando nuevas capacidades.

Cómo infecta RustDuck los dispositivos

A diferencia de otras familias de malware que explotan una única vulnerabilidad, RustDuck emplea múltiples vectores de ataque simultáneamente para aumentar sus probabilidades de éxito.

1. Contraseñas débiles y credenciales por defecto

El método más sencillo sigue siendo uno de los más efectivos.

RustDuck busca dispositivos con servicios Telnet y SSH expuestos a Internet que aún utilizan credenciales predeterminadas o contraseñas débiles. Mediante ataques automatizados de fuerza bruta logra acceder al sistema e instalar el malware.

2. Explotación de vulnerabilidades conocidas

La botnet también aprovecha numerosas vulnerabilidades críticas que continúan presentes en dispositivos sin actualizar.

Entre las más relevantes destacan:

• CVE-2017-17215, vulnerabilidad de ejecución remota de código en routers Huawei HG532, ampliamente utilizada por variantes de Mirai.
• CVE-2025-29635, falla de inyección de comandos en routers D-Link DIR-823X que continúa siendo explotada activamente.
• CVE-2024-1781, vulnerabilidad de ejecución de comandos en routers Totolink X6000R.
• CVE-2018-8007, vulnerabilidad de ejecución remota de código en Apache CouchDB.

Muchas de estas fallas permanecen activas porque los dispositivos afectados han llegado al final de su ciclo de vida y ya no reciben actualizaciones de seguridad.

3. Ataques contra aplicaciones y servidores web

RustDuck no limita sus ataques al hardware doméstico.

También intenta comprometer servidores vulnerables que ejecutan tecnologías ampliamente utilizadas, entre ellas:

• ThinkPHP
• Jenkins
• Hadoop YARN

Esta estrategia amplía significativamente la superficie de ataque, permitiendo que tanto pequeñas redes domésticas como infraestructuras empresariales puedan verse comprometidas.

Una arquitectura de malware mucho más sofisticada

Uno de los aspectos más llamativos de RustDuck es su diseño modular.

La infección comienza con un pequeño cargador (loader), cuyo objetivo consiste en descargar, descifrar y descomprimir el módulo principal del malware.

Es precisamente este núcleo donde reside la mayor parte de la inteligencia del botnet.

Los investigadores observaron que las versiones recientes están siendo reescritas en Rust, un lenguaje moderno que ofrece ventajas tanto para desarrolladores legítimos como para ciberdelincuentes.

Desde el punto de vista del análisis forense, los binarios compilados en Rust resultan considerablemente más complejos de desensamblar que aquellos escritos en C, dificultando la ingeniería inversa y ralentizando las investigaciones.

Técnicas avanzadas para evitar ser detectado

RustDuck incorpora un amplio conjunto de mecanismos diseñados específicamente para impedir que los investigadores analicen su funcionamiento.

Antes de ejecutar cualquier acción maliciosa, realiza numerosas comprobaciones para determinar si se encuentra dentro de un entorno de análisis.

Entre ellas destacan:

• Detección de herramientas como Wireshark y GDB.
• Identificación de depuradores conectados al proceso.
• Búsqueda de indicadores típicos de honeypots.
• Detección de máquinas virtuales.
• Comprobación de hardware utilizado en laboratorios de análisis.

Cada indicador encontrado incrementa una puntuación de riesgo.

Si el malware concluye que está siendo observado por un investigador, elimina parte de su actividad y finaliza inmediatamente su ejecución, dificultando enormemente la obtención de evidencias.

Dos técnicas resultan especialmente ingeniosas.

La primera consiste en conectarse a una dirección IP reservada para pruebas que jamás debería responder. Si obtiene respuesta, interpreta que se encuentra dentro de un entorno artificial y abandona la ejecución.

La segunda compara distintos relojes internos del sistema para detectar sandboxes que aceleran el paso del tiempo con el objetivo de obligar al malware a revelar su comportamiento antes de lo previsto.

Comunicaciones cifradas y resistentes

RustDuck también protege cuidadosamente las comunicaciones con sus servidores de mando y control (C2).

Para ello utiliza algoritmos criptográficos modernos como:

• ChaCha20-Poly1305.
• AES-GCM.
• HKDF-SHA256.
• Curve25519 para el intercambio seguro de claves.

Además, las claves criptográficas se renuevan aproximadamente cada diez minutos y el tráfico se disfraza para parecer conexiones HTTPS normales, dificultando su detección mediante herramientas tradicionales de monitorización.

Una vez registrado un dispositivo, los operadores pueden enviar diversas órdenes, entre ellas:

• Iniciar ataques DDoS.
• Detener campañas activas.
• Consultar el estado del equipo comprometido.
• Cambiar el servidor de control.
• Actualizar silenciosamente el malware.

Para mantener la infraestructura flexible, RustDuck utiliza servicios gratuitos de DNS dinámico, especialmente DuckDNS, origen del término "Duck" utilizado en su nombre.

RustDuck sigue una preocupante tendencia en las botnets modernas

La utilización de Rust en el desarrollo de malware no constituye un caso aislado.

Durante 2025 ya se documentó RustoBot, otra botnet basada en Rust orientada a infectar routers Totolink y otros dispositivos IoT para ejecutar ataques DDoS.

RustDuck representa un paso más en esta evolución, confirmando que los ciberdelincuentes están adoptando tecnologías modernas para desarrollar malware más resistente al análisis y más difícil de detectar.

Esta evolución resulta especialmente preocupante en un año marcado por algunos de los mayores ataques DDoS jamás registrados, con campañas que han alcanzado volúmenes cercanos a los 30 Tbps, impulsadas por enormes botnets formadas por millones de dispositivos comprometidos.

Cómo protegerse frente a RustDuck

Aunque no existe un parche específico contra RustDuck, sí es posible reducir significativamente el riesgo aplicando buenas prácticas de seguridad.

Las principales recomendaciones incluyen:

Desactivar Telnet, SSH y Android Debug Bridge (ADB) cuando no sean necesarios.
Nunca utilizar contraseñas predeterminadas o credenciales débiles.
Mantener routers, cámaras IP, DVR y servidores completamente actualizados.
Sustituir equipos que ya no reciben soporte del fabricante.
Eliminar dispositivos obsoletos como determinados modelos de routers D-Link o Totolink que nunca recibirán correcciones.
Supervisar la red para detectar conexiones sospechosas hacia dominios de control conocidos.
Incorporar los indicadores de compromiso (IoC), hashes y direcciones IP publicados por XLab en las herramientas de monitorización y detección.

En fin...

RustDuck aún no es una de las botnets más grandes del panorama mundial, pero sí representa un claro indicador hacia dónde evoluciona el malware moderno. Su combinación de múltiples vectores de infección, sofisticadas técnicas anti-análisis, comunicaciones cifradas y una arquitectura reescrita en Rust demuestra un importante nivel de desarrollo que podría servir de modelo para futuras campañas maliciosas.

Para organizaciones y usuarios particulares, la principal defensa continúa siendo la misma: mantener los dispositivos actualizados, eliminar servicios expuestos innecesarios, reemplazar equipos sin soporte y aplicar controles de monitorización capaces de detectar comportamientos anómalos antes de que un dispositivo termine formando parte de una botnet utilizada para lanzar devastadores ataques DDoS.

Fuente: https://thehackernews.com/