Пока мы обсуждаем, какой протокол лучше маскирует трафик, кто-то просто берёт и использует чужое оборудование как готовую инфраструктуру. AryStinger — это не протокол, а малварь, которая заразила более 4300 устаревших роутеров (MikroTik, TP-Link, D-Link — всё, что не обновлялось со времён динозавров) и построила из них прокси-сеть для разведки. Никаких тебе Reality с TLS-рукопожатиями — просто старый добрый бэкдор и ретрансляция трафика.
Контекст: проблема не нова. IoT-зомби-сети собирают годами, но AryStinger интересен тем, что не долбит DDoS, а аккуратно проксирует трафик — скорее всего, для скрытого сканирования целей или подмены источника атаки. Классика: владельцы роутеров думают, что их железо просто пылится, а оно уже работает на чужого дядю.
Как работает: после заражения (через известные уязвимости или слабые пароли — привет, admin/admin) малварь скачивает пейлоад, внедряется в память и открывает SOCKS-прокси на случайном порту. Дальше — команда с C2: «ты теперь выступаешь как промежуточный узел для трафика из точки А в точку Б». Никакого шифрования поверх шифрования — трафик идёт как есть, просто меняет IP на каждом хопе. DPI тут бессилен, потому что ничего не маскируется — это просто легитимные HTTP/HTTPS-запросы с кучей разных IP.
Сильные стороны для атакующего: дешево и сердито. Обслуживать ботнет из древних роутеров не нужно — они сами падают и поднимаются, владельцы не следят. Для обороняющегося — сущий ад: 4300 IP, каждый из которых может быть точкой входа, логи на роутерах часто отключены, а если включены — быстро забиваются.
Слабые стороны схемы: зависимость от устаревшего железа — как только роутер выключат или перепрошьют, нода пропадает. И латентность: через 5 хопов пинг уже не радует.
Текущий статус: инфекция активна, вендоры (MikroTik, TP-Link) выпустили бюллетени, но патчить 4300 роутеров за владельцев никто не будет. AryStinger живёт в дикой природе, и его жертвы — это те самые забытые коробки в подвалах и офисах.
Финальная мысль: когда в следующий раз будете настраивать VPN-протокол с обфускацией, вспомните — ваша безопасность стоит ровно столько, сколько усилий вы вложили в базовую гигиену. Если роутер не обновлялся три года, никакой WireGuard с AmneziaWG не спасёт — он уже работает на врага.
#AryStinger #ботнет #прокси #роутеры #безопасность
