MalwareHackerangriffeSchwachstellen

RondoDox-Botnet massiv ausgebaut: 174 Schwachstellen im Visier

RondoDox-Botnet massiv ausgebaut: 174 Schwachstellen im Visier
Zusammenfassung

Das RondoDox-Botnetz hat sich zu einer ernsten Bedrohung entwickelt, deren Aktivitäten sich dramatisch verschärft haben. Die Malware-Entwickler haben ihre Exploit-Liste von anfänglich 56 auf mittlerweile 174 verschiedene Sicherheitslücken erweitert und verzeichneten im Oktober Spitzenwerte von bis zu 15.000 Exploitierungsversuchen pro Tag. Das Bemerkenswerte: Die Angreifer arbeiten zunehmend strategischer, verfolgen Sicherheitsmeldungen in Echtzeit und exploitieren Schwachstellen teilweise bereits vor ihrer öffentlichen Offenlegung. Das RondoDox-Botnetz unterscheidet sich von ähnlichen Malware-Varianten wie Mirai dadurch, dass es primär DDoS-Angriffe durchführt, anstatt sich einfach selbst zu verbreiten. Für deutsche Nutzer und Unternehmen stellt dies ein erhebliches Risiko dar, besonders da sich das Botnetz gezielt auf schwache Zugangsdaten und unsicheren Input konzentriert, um in Systeme einzudringen. Die stetig wachsende und sich aktualisierende Exploit-Liste bedeutet, dass auch bereits gepatchte oder aktualisierte Systeme bedroht sein können, wenn Sicherheitsupdate zu spät eingespielt werden. Kritische Infrastruktur und Unternehmensnetze sollten verstärkt ihre Abwehrmaßnahmen gegen DDoS-Angriffe und Botnet-Infektionen überprüfen.

Das RondoDox-Botnet zeigt eine alarmierende Entwicklung: Innerhalb weniger Monate hat sich die Zahl der ausgenutzten Schwachstellen verdreifacht. Sicherheitsforschern von Bitsight zufolge setzte das Botnet im Oktober 2024 noch auf 56 Vulnerabilities — mittlerweile sind es 174 unterschiedliche Lücken, darunter auch Flaws ohne zugewiesene CVE-Nummer.

Am auffälligsten ist der strategische Wandel der Angreifer. Während das Botnet anfangs eine “Schrotflintentaktik” verfolgte und wahllos tausende Geräte mit verschiedensten Exploits bombardierte, konzentriert es sich nun gezielt auf Schwachstellen mit hoher Erfolgsquote. Diese Professionalisierung zeigt sich auch in der Geschwindigkeit: Die Botnet-Betreiber patroullieren offenbar kontinuierlich Sicherheitsdatenbanken und Vulnerability-Disclosures ab. In mindestens einem Fall schlugen sie nur zwei Tage vor der öffentlichen Bekanntmachung zu.

Eine bemerkenswerte Statistik verdeutlicht die Taktik: Von den 174 Schwachstellen wurden 84 (also 48 Prozent) nur für einen einzelnen Tag ausgenutzt. Dies deutet auf ein A/B-Testing-Verfahren hin — die Betreiber probieren Exploits aus und stoppen sie, wenn sie keinen Erfolg bringen. Im Durchschnitt bleibt eine Vulnerability 18 Tage auf der Exploitliste.

An einem einzelnen Tag wurden sogar 49 verschiedene Bugs eingesetzt, was die aggressive Expansionsstrategie unterstreicht. Die Aktivitätsspitze bei 15.000 Exploitierungsversuchen pro Tag zeigt die Dimension dieser Bedrohung.

RondoDox teilt zahlreiche Ähnlichkeiten mit dem legendären Mirai-Botnet, unterscheidet sich aber in einem Punkt grundlegend: Während Mirai primär weitere Geräte infiziert, spezialisiert sich RondoDox auf verteilte Denial-of-Service-Attacken (DDoS). Zur initialen Kompromittierung nutzt das Botnet schwache Anmeldedaten und unsanitierte Eingabefelder.

Die Infrastruktur ist dezentralisiert: Betreiber nutzen über zwei Dutzend IP-Adressen für Exploitation, Payload-Verbreitung und Bot-Management — darunter auch Wohngebiet-IPs von vermutlich bereits kompromittierten Systemen. Das Botnet scannt eigenständig das Internet nach verwundbaren Geräten, deployt Implants, die Erkennung umgehen, und bereinigt konkurrierende Malware.

Trotz ihrer operativen Effizienz zeigen die Betreiber Schwächen: Bitsight beobachtete fehlerhafte Exploit-Implementierungen bei neu entdeckten Vulnerabilities. Auch nutzt RondoDox kein Loader-as-a-Service-Modell und die früher gemeldete P2P-Funktionalität konnte nicht bestätigt werden.

Für Organisationen bedeutet dies: Regelmäßiges Patchen wird zum kritischen Defensiv-Faktor, und Monitoring auf unerwartete Aktivitäten ist essentiell.

Ähnliche Artikel