AryStinger: 4.000 router D-Link in un botnet globale

Il 21 giugno 2026 i ricercatori di Qianxin XLab hanno reso pubblica la scoperta di AryStinger, un botnet precedentemente non documentato che ha compromesso oltre 4.000 router D-Link fuori supporto. L'operazione dimostra che la fine del ciclo di vita dei dispositivi non arresta la minaccia: anzi, crea un bacino di infrastruttura de facto a disposizione di operatori criminali.

Come AryStinger costruisce la propria infrastruttura

I ricercatori di Qianxin XLab hanno identificato due varianti del malware. Una scritta in C prende di mira principalmente i router D-Link DIR-850L e DIR-818LW, entrambi end-of-life. Una seconda variante, sviluppata in Go, è progettata per sistemi NAS e integra strumenti open-source di penetration testing. La fonte non specifica l'entità della diffusione della variante NAS né i modelli esatti colpiti.

Il vettore di accesso sfrutta tre vulnerabilità: CVE-2013-3307, CVE-2016-5681 e CVE-2025-11837. La prima risale a tredici anni fa, la seconda a dieci, la terza è dell'anno in corso. Questo mix indica una strategia che non dipende dalla novità delle falle ma dalla certezza che i dispositivi EoL non riceveranno mai patch. I modelli DIR-850L e DIR-818LW erano già stati target del botnet AVrecon, smantellato da Lumen nel 2023.

Una volta insediato, il malware eleva il dispositivo a nodo proxy con funzionalità di tunneling, esecuzione comandi, manipolazione DNS e monitoraggio del traffico. La capacità di alterare le impostazioni DNS consente di dirottare la navigazione degli utenti. Il monitoraggio del traffico in entrata e in uscita espone potenzialmente ogni comunicazione che transita dal router.

L'architettura "Executor" e il modello di scansione distribuita

Il componente distintivo di AryStinger è il design denominato "Executor". Il sistema suddivide un task di scansione su larga scala in multipli chunk minori e li distribuisce a differenti Executor per esecuzione parallela.

"The attacker can split a massive scanning task into multiple small chunks and distribute them to different Executors for parallel execution" — Qianxin XLab researchers (via BleepingComputer)

Secondo i ricercatori, questo design distribuito "fornisce forte garanzia per la fluidità e il tasso di successo delle operazioni di intrusione successive". La citazione si riferisce alle attività di footprinting iniziali: il botnet non si limita a compromettere, ma prepara il terreno per intrusioni a valle attraverso ricognizione sistematica e parallelizzata.

La fonte non specifica chi acquisti o utilizzi questa infrastruttura proxy, né quali siano gli obiettivi finali del traffico tunnelato. Non emergono sovrapposizioni infrastrutturali che colleghino gli operatori di AryStinger a cluster di minaccia noti al momento attuale.

La geografia delle infezioni e il profilo dei dispositivi

La distribuzione geografica delle infezioni è concentrata. Secondo i dati di telemetria Qianxin, quasi la metà delle infezioni — 48,5% — si trova in Corea del Sud. La Cina segue con il 31,8%. Svezia, Malaysia e Singapore completano il quadro con rispettivamente 6,4%, 3,5% e 2,5%.

Il profilo dei dispositivi — router SOHO e piccole imprese — indica che la superficie di attacco non è costituita da infrastrutture critiche ma da endpoint di connettività domestica e professionale leggera. Questi dispositivi tipicamente mancano di team di sicurezza dedicati, di monitoraggio continuativo e di procedure di sostituzione programmata. La loro compromissione crea però un danno a valle: ogni traffico che transita diventa potenzialmente osservabile, e il router compromesso può essere riutilizzato come piattaforma per attacchi a obiettivi ulteriori.

Cosa fare adesso

Gli utenti con router D-Link DIR-850L o DIR-818LW devono considerare questi dispositivi non più sicuri per il traffico sensibile. La sostituzione con hardware supportato dal vendor è l'unica contromisura definitiva, dato che i modelli sono end-of-life e non ricevono aggiornamenti firmware.

Per chi non possa sostituire immediatamente il dispositivo, la segmentazione della rete riduce l'esposizione: isolare il router EoL in una subnet separata dai sistemi che gestiscono dati sensibili o operazioni finanziarie. Il monitoraggio del traffico DNS in uscita dal router permette di rilevare anomalie: query ricorrenti verso domini non riconducibili ai servizi abituali possono segnalare manipolazione delle impostazioni.

Le organizzazioni con parco dispositivi eterogeneo devono identificare attivamente i modelli EoL nell'inventario di rete. L'incidente AryStinger dimostra che la vulnerabilità CVE-2013-3307, nota da tredici anni, resta praticamente sfruttabile su hardware non aggiornato. La presenza di CVE-2025-11837 nel mix di falle utilizzate indica che gli operatori integrano anche vulnerabilità più recenti quando disponibili, rendendo ancora più urgente la rimozione di dispositivi fuori supporto.

Per i provider di connettività nelle regioni più colpite — Corea del Sud e Cina in particolare — il traffico anomalo in uscita dai router SOHO clienti merita attenzione. Pattern di scansione distribuita o tunneling verso endpoint non canonici possono riflettere partecipazione involontaria al botnet.

Domande aperte e limiti del report

Restano interrogativi fondamentali senza risposta nel report XLab. Secondo i ricercatori stessi, "many mysteries surrounding AryStinger remain to be solved".

Sul versante della variante NAS, la fonte non chiarisce quanti dispositivi siano coinvolti né quali brand o modelli siano specificamente bersagliati. L'integrazione di strumenti open-source di penetration testing nella variante Go indica comunque un livello di sofisticazione superiore rispetto alla sola botnet di router.

Fonti

• https://www.bleepingcomputer.com/news/security/arystinger-botnet-infected-thousands-of-d-link-routers-worldwide/
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.cisa.gov/binding-operational-directive-22-01
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog/reducing-significant-risk-known-exploited-vulnerabilities
• https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv
• https://nvd.nist.gov/vuln/detail/CVE-2025-14733
• https://cisa.gov/known-exploited-vulnerabilities-catalog