AryStinger Botnetz infiziert tausende D-Link Router weltweit
Das AryStinger-Botnetz hat ueber 4.000 veraltete D-Link Router infiziert. Die Geraete werden als Proxy-Infrastruktur fuer Scans, Tunnel und Command-Execution missbraucht. Betroffen sind DIR-850L und DIR-818LW.
Was ist AryStinger?
Sicherheitsforscher von Qianxins XLab Threat Intelligence Team haben ein bisher unbekanntes Malware-Botnetz namens AryStinger entdeckt. Es hat mehr als 4.000 veraltete D-Link Router kompromittiert und in ferngesteuerte Proxy-Server umgewandelt.
Die infizierten Geraete werden als sogenannte Executors missbraucht, die im Auftrag des Angreifers Scans, Proxy-Verkehr, Tunnel und Command-Execution durchfuehren. Das Botnetz nutzt eine verteilte Architektur: Grosse Scan-Aufgaben werden in kleine Teile zerlegt und parallel auf tausende infizierte Router verteilt.
Welche Router sind betroffen?
| Modell | Anfaellig fuer | Status |
|---|---|---|
| D-Link DIR-850L | CVE-2013-3307, CVE-2016-5681, CVE-2025-11837 | End-of-Life, kein Patch |
| D-Link DIR-818LW | CVE-2013-3307, CVE-2016-5681, CVE-2025-11837 | End-of-Life, kein Patch |
| Andere aeltere D-Link Modelle | Verschiedene alte CVEs | Meist End-of-Life |
Geografische Verteilung der Infektionen
Die Telemetriedaten von XLab zeigen eine klare regionale Konzentration:
- Suedkorea – 48,5 % der Infektionen (mit Abstand am staerksten betroffen)
- China – 31,8 % der Infektionen
- Schweden – 6,4 % der Infektionen
- Malaysia – 3,5 % der Infektionen
- Singapur – 2,5 % der Infektionen
Deutschland und Europa sind weniger stark betroffen, aber nicht immun. Die Verteilung spiegelt die Verbreitung der anfaelligen Router-Modelle in diesen Regionen wider.
Zwei Varianten der Malware
XLab-Forscher haben zwei Varianten von AryStinger identifiziert:
- C-basierte Variante – Zielgruppe sind veraltete Router. Diese Variante ist weiter verbreitet und fokussiert auf die Ausnutzung alter CVEs.
- Go-basierte Variante – Zielgruppe sind NAS-Systeme. Diese Variante ist fortschrittlicher und bietet zusaetzliche Faehigkeiten wie IP- und DNS-Scanning, Command-Execution und interne Netzwerk-Reconnaissance durch Integration von Open-Source-Penetration-Testing-Tools.
Die Go-Variante kann Shell-Befehle sowie Go-, Java- und Python-Quellcode ausfuehren. Allerdings gibt es Einschraenkungen: Die Kompilierung erfordert Laufzeitumgebungen auf dem Host und der Prozess erzeugt Rauschen, das die Tarnung gefaehrden kann.
Wie schuetzen Sie Ihre Netzwerkinfrastruktur?
- Veraltete Router ersetzen – D-Link DIR-850L und DIR-818LW sind End-of-Life und erhalten keine Sicherheitsupdates mehr. Ersetzen Sie sie durch aktuell unterstuetzte Modelle.
- Firmware aktualisieren – Pruefen Sie fuer alle noch unterstuetzten Router-Modelle, ob die aktuellste Firmware installiert ist.
- Standard-Passwort aendern – Aendern Sie das Standard-Admin-Passwort auf allen Netzwerkgeraeten.
- Remote-Management deaktivieren – Deaktivieren Sie den Fernzugriff auf die Router-Verwaltungsoberflaeche, wenn er nicht zwingend benoetigt wird.
- Netzwerksegmentierung – IoT-Geraete und Router in einem separaten VLAN betreiben.
- Traffic-Monitoring – Ueberwachen Sie ungewoehnlichen Traffic von und zu Ihren Routern mit Tools wie Zabbix, Checkmk oder Prometheus.
Passende Anleitungen auf S-EDV
- pfSense/OPNsense Firewall-Erstkonfiguration
- Zero-Trust-Netzwerksegmentierung mit VLANs und Firewall-Regeln
- Checkmk auf Synology fuer IT-Monitoring
