{"id":1372,"date":"2026-06-30T21:24:47","date_gmt":"2026-06-30T21:24:47","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/rustduck-botnet-se-reconstruye-en-rust-para-secuestrar-enrutadores-y-servidores-para-ddos-cyberdefensa-mx\/"},"modified":"2026-06-30T21:24:47","modified_gmt":"2026-06-30T21:24:47","slug":"rustduck-botnet-se-reconstruye-en-rust-para-secuestrar-enrutadores-y-servidores-para-ddos-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/30\/rustduck-botnet-se-reconstruye-en-rust-para-secuestrar-enrutadores-y-servidores-para-ddos-cyberdefensa-mx\/","title":{"rendered":"RustDuck Botnet se reconstruye en Rust para secuestrar enrutadores y servidores para DDoS \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"
\n

Una nueva familia de malware de dos etapas llamada Pato \u00f3xido <\/b>est\u00e1 secuestrando enrutadores dom\u00e9sticos, c\u00e1maras IP, dispositivos Android y servidores mal protegidos, para luego unirlos en una red creada para desconectar sitios web y servicios en l\u00ednea.<\/p>\n

Los investigadores del XLab de QiAnXin lo han rastreado desde febrero de 2026 y dicen que la verdadera historia no es qu\u00e9 tan grande es hoy, sino qu\u00e9 tan r\u00e1pido est\u00e1 cambiando.<\/p>\n

El objetivo final es un ataque distribuido de denegaci\u00f3n de servicio (DDoS): inundar un objetivo con tr\u00e1fico basura desde las m\u00e1quinas infectadas hasta que colapse.<\/p>\n

RustDuck es un participante m\u00e1s en un campo abarrotado, pero se destaca por dos razones. Se est\u00e1 reescribiendo del lenguaje de programaci\u00f3n C a Rust, y sus versiones m\u00e1s nuevas hacen todo lo posible para evitar ser estudiadas o cerradas.<\/p>\n

como se propaga<\/h2>\n

RustDuck no se apoya en ning\u00fan truco inteligente. Esparce una mezcla de viejas y conocidas debilidades y esperanzas de que una se mantenga. El primero es el m\u00e1s antiguo del libro: dispositivos abandonados en Internet con contrase\u00f1as d\u00e9biles o predeterminadas en sus servicios de inicio de sesi\u00f3n remoto (Telnet y SSH). Adivina la contrase\u00f1a y entra.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

El segundo son los errores de dispositivos sin parchear. Laboratorio XL dice<\/a> RustDuck persigue interfaces de depuraci\u00f3n de Android expuestas y fallas en equipos de TVT (DVR y c\u00e1maras), Ruijie, TP-Link y ZTE, adem\u00e1s de un pu\u00f1ado de vulnerabilidades nombradas con a\u00f1os de antig\u00fcedad que a\u00fan llenan Internet:<\/p>\n

El tercer camino es el software web. RustDuck tambi\u00e9n apunta a agujeros conocidos en ThinkPHP, Jenkins y Hadoop YARN, que extiende su alcance desde hardware dom\u00e9stico barato hasta software de servidor expuesto.<\/p>\n

XLab cont\u00f3 m\u00e1s de 20 direcciones de Internet que propagaban el malware, siendo la m\u00e1s ocupada 176.65.139[.]204.<\/p>\n

\u00bfQu\u00e9 lo hace complicado?<\/h2>\n

RustDuck se instala en dos etapas: un peque\u00f1o cargador que descifra y descomprime un m\u00f3dulo central m\u00e1s pesado. Ese n\u00facleo es donde vive la ingenier\u00eda interesante y es la parte que se est\u00e1 reescribiendo en Rust.<\/p>\n

Los binarios de Rust son generalmente m\u00e1s dif\u00edciles de desarmar para los analistas que el C que ha impulsado el malware de dispositivos durante a\u00f1os, y XLab dice que el n\u00facleo Rust de RustDuck muestra una profundidad real en c\u00f3mo deriva sus claves, se oculta del an\u00e1lisis y se comunica con sus servidores. El cambio apunta a un desarrollo activo, no a una r\u00e1pida renovaci\u00f3n del c\u00f3digo filtrado.<\/p>\n

Lo m\u00e1s importante es lo duro que trabajan las muestras m\u00e1s nuevas para permanecer ocultas. Antes de hacer cualquier cosa, RustDuck ejecuta una lista de verificaci\u00f3n para decidir si ha aterrizado en el laboratorio de un investigador de seguridad en lugar de en el dispositivo de una v\u00edctima real. Busca herramientas de an\u00e1lisis como Wireshark y gdb, depuradores adjuntos a su propio proceso, huellas dactilares de una trampa de honeypot, incluso hardware de m\u00e1quina virtual.<\/p>\n

\"\"<\/a><\/div>\n

Cada golpe suma puntos a una puntuaci\u00f3n de riesgo. Cruza un umbral y el malware borra sus rastros y se cierra antes de que alguien pueda verlo ejecutarse.<\/p>\n

Destacan dos de esos controles. Uno intenta silenciosamente llegar a una direcci\u00f3n de Internet que est\u00e1 reservada para pruebas y nunca deber\u00eda responder; Si algo responde, RustDuck sabe que est\u00e1 dentro de una red falsa creada para enga\u00f1ar al malware y se retira.<\/p>\n

Otro compara dos relojes para detectar zonas de pruebas que aceleran el tiempo para acelerar el malware y hacer que muestre su mano.<\/p>\n

Sus comunicaciones est\u00e1n bloqueadas para coincidir. RustDuck cifra su tr\u00e1fico con cifrados modernos: ChaCha20-Poly1305<\/b> para el protocolo de enlace, AES-GCM una vez que est\u00e9 recibiendo comandos. Obtiene sus claves con HKDF-SHA256 y un intercambio Curve25519, las rota cada diez minutos y viste la conexi\u00f3n para que parezca tr\u00e1fico web cifrado normal para que se mezcle.<\/p>\n

Una vez que un dispositivo se registra, los operadores pueden enviar una breve lista de \u00f3rdenes: iniciar un ataque, detenerlo, informar el estado, cambiar a nuevos servidores de control o actualizar silenciosamente el malware a una versi\u00f3n m\u00e1s nueva. Las direcciones de control se basan en servicios gratuitos de DNS din\u00e1mico como duckdns.org, de donde proviene el \u00abDuck\u00bb en el nombre.<\/p>\n

Esto se ajusta a un patr\u00f3n m\u00e1s grande.<\/h2>\n

RustDuck no es la primera botnet que recurre a Rust. En abril de 2025, Fortinet document\u00f3 RustoBot<\/a>una botnet basada en Rust que se propag\u00f3 a trav\u00e9s de Totolink y otros enrutadores para ejecutar ataques DDoS, usando la misma receta: enrutadores baratos, un lenguaje moderno y tr\u00e1fico inundado a pedido.<\/p>\n

\n
\"Ciberseguridad\"<\/a><\/div>\n<\/div>\n

Llega adem\u00e1s en un a\u00f1o brutal para los DDoS. El mismo tipo de botnet, ampliado, ha producido las mayores inundaciones jam\u00e1s registradas. AISURU y un grupo de botnets relacionados, m\u00e1s de tres millones de dispositivos secuestrados entre ellos, impulsaron ataques de cerca de 30 Tbps antes de que una operaci\u00f3n liderada por Estados Unidos derribara su infraestructura esta primavera. Adem\u00e1s de eso, RustDuck es peque\u00f1o. La preocupaci\u00f3n es la direcci\u00f3n en la que se dirige.<\/p>\n

Un detalle que merece una segunda mirada: la direcci\u00f3n de entrega m\u00e1s transitada de RustDuck, 176.65.139[.]204, se encuentra en el mismo peque\u00f1o bloque de direcciones que el servidor detr\u00e1s de una botnet DDoS separada dirigida a ADB reportada en la primavera de 2026. Eso podr\u00eda ser una coincidencia o un alojamiento compartido a prueba de balas, y XLab no vincula los dos, pero la superposici\u00f3n es el tipo de cosas que vale la pena verificar.<\/p>\n

que hacer<\/h2>\n

No existe ning\u00fan parche para RustDuck en s\u00ed, porque es malware, ni un solo error. Defensa significa cerrar las puertas por las que pasa:<\/p>\n

    \n
  • Obtenga interfaces de administraci\u00f3n remota fuera de la Internet p\u00fablica. Desactive Android Debug Bridge, Telnet y SSH cuando no sean necesarios y nunca los deje accesibles con contrase\u00f1as predeterminadas.<\/li>\n
  • Parchea lo que puedas, reemplaza lo que no puedas. CouchDB tiene versiones fijas para actualizar, pero algunos de estos enrutadores ya no est\u00e1n disponibles. Para el D-Link DIR-823X, el consejo de CISA es retirarlo del servicio en lugar de esperar a que llegue un parche que no llega, y el fabricante de Totolink nunca respondi\u00f3 a la divulgaci\u00f3n. El equipo sin soporte debe reemplazarse, no repararse.<\/li>\n
  • Bloquea los indicadores conocidos. El informe de XLab enumera los hashes de archivos, los dominios de control y las direcciones de origen del malware; introd\u00fazcalos en su seguimiento.<\/li>\n<\/ul>\n

    RustDuck es una peque\u00f1a botnet que tiene la ingenier\u00eda de una red seria. Ya sea que se convierta en una amenaza real o desaparezca, las t\u00e9cnicas que est\u00e1 probando, una reescritura de Rust y una rutina paranoica de esconderse de los investigadores, son las partes que es m\u00e1s probable que tomen prestadas otras tripulaciones.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

    Una nueva familia de malware de dos etapas llamada Pato \u00f3xido est\u00e1 secuestrando enrutadores dom\u00e9sticos, c\u00e1maras IP, dispositivos Android y servidores mal protegidos, para luego unirlos en una red creada para desconectar sitios web y servicios en l\u00ednea. Los investigadores del XLab de QiAnXin lo han rastreado desde febrero de 2026 y dicen que la […]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[173,24,445,1229,36,3442,832,3441,268,87],"class_list":["post-1372","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-botnet","tag-cyberdefensa-mx","tag-ddos","tag-enrutadores","tag-para","tag-reconstruye","tag-rust","tag-rustduck","tag-secuestrar","tag-servidores"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1372","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1372"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1372\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1372"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1372"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1372"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}