RustDuck è una nuova famiglia di malware a due stadi progettata per creare una botnet e lanciare attacchi DDoS contro siti web e servizi online. La minaccia prende di mira un insieme ampio di dispositivi connessi, tra cui router domestici, telecamere IP, Android TV box e server esposti con configurazioni deboli.
Il meccanismo è semplice nel risultato ma efficace nell’impatto: i dispositivi compromessi vengono coordinati per inviare grandi volumi di traffico verso un bersaglio fino a renderlo irraggiungibile.
La diffusione di RustDuck avviene sfruttando più vettori. Il primo resta il più comune nel mondo IoT: credenziali deboli o predefinite su Telnet e SSH. Se un dispositivo è raggiungibile da Internet e protetto male, il malware tenta l’accesso e procede con l’infezione. Il secondo vettore riguarda vulnerabilità non corrette su apparati e software datati. Tra i bersagli figurano interfacce di debug Android esposte e falle note in prodotti di vari vendor, oltre a vulnerabilità storiche ancora presenti in rete. Il malware estende inoltre la superficie di attacco a componenti web e server come ThinkPHP, Jenkins e Hadoop YARN, unendo il mondo dei dispositivi economici a quello delle infrastrutture aziendali non aggiornate.
Dal punto di vista tecnico RustDuck si distingue per l’evoluzione rapida e per la riscrittura del modulo principale dal linguaggio C a Rust. Il processo di infezione prevede un loader leggero che decifra e decomprime un core più pesante. La scelta di Rust complica l’analisi e indica uno sviluppo attivo, non un semplice riuso di codice. Le versioni più recenti includono controlli anti-analisi e anti-sandbox: ricerca di strumenti come Wireshark e gdb, rilevamento di debugger, indicatori di honeypot e segnali di esecuzione in macchina virtuale. Se il rischio supera una soglia, il malware si auto-cancella e termina.
Anche le comunicazioni con i server di comando e controllo sono curate: cifratura moderna, derivazione chiavi con HKDF SHA256 e scambio Curve25519, rotazione frequente e traffico camuffato per sembrare normale traffico web cifrato. Gli operatori possono avviare o fermare il DDoS, richiedere stato, cambiare server di controllo e aggiornare il malware. Spesso vengono usati domini su servizi di dynamic DNS, da cui deriva il riferimento “Duck” nel nome.
Sul piano difensivo la priorità è ridurre l’esposizione: disabilitare ADB, Telnet e accessi remoti non necessari, imporre password robuste, aggiornare software e sostituire dispositivi fuori supporto. Utili anche il blocco degli indicatori noti e un monitoraggio continuo di domini e indirizzi sospetti legati alla botnet.