許多工程師在處理系統安全時，往往將注意力集中在最新的零日漏洞或複雜的攻擊向量上，但 AryStinger 的案例提醒我們，最危險的漏洞往往存在於那些被遺忘在角落、早已停止更新的舊設備中。這類攻擊的核心不在於破壞，而在於建立一套隱蔽的基礎設施，為後續的大規模入侵鋪路。
什麼是 AryStinger 及其運作目的
AryStinger 是一種新型的惡意軟體家族，其目標並非將設備變成常見的 DDoS 殭屍網路（Botnet）來發動流量攻擊，而是將其轉化為一個分佈式的偵察與代理網路（Reconnaissance Proxy Network）。
對於資安攻擊者來說，直接從自己的伺服器掃描目標會很容易被防火牆攔截或被追蹤到真實 IP。而 AryStinger 讓受感染的路由器變成一個個中繼站（Relay），攻擊者可以透過這些節點進行服務指紋識別（Fingerprinting）、子網域列舉（Subdomain Enumeration）以及流量隧道傳輸（Tunneling）。簡單來說，這些舊路由器成了攻擊者的掩護盾牌，讓真實的攻擊來源隱藏在數千個合法但被控制的家用 IP 之後。
針對過時硬體的精準打擊
AryStinger 主要針對使用 Realtek RTL819X 晶片的舊款路由器（約為 2012 至 2015 年間的產品）。這類設備通常處於 EOL（End-of-Life，產品生命週期結束）狀態，廠商不再提供安全性更新。
攻擊者利用了兩個極其古老的漏洞：Linksys 設備的 CVE-2013-3307 以及 D-Link 設備的 CVE-2016-5681。其中 D-Link DIR-850L 型號受災最嚴重，約佔感染數量的 75%。這種策略顯示出攻擊者並不追求最新漏洞，而是尋找那些大基數且永遠不會被修補的舊設備。
除了路由器，AryStinger 後期還擴展到 QNAP NAS 設備，利用 CVE-2025-11837 漏洞。諷刺的是，這個漏洞存在於 QNAP 自身的惡意軟體移除工具（Malware Remover）中，攻擊者直接利用安全工具來植入後門。
兩種版本的功能差異
為了適應不同的硬體資源，AryStinger 採取了兩種不同的開發版本：
路由器版本：使用 C 語言編寫，追求極致輕量化。由於舊路由器的記憶體與 CPU 極其有限，此版本僅保留最基礎的 DNS 掃描與流量隧道功能。
NAS 版本：使用 Go 語言編寫，功能強大。由於 NAS 性能較好，此版本可運行 fscan、ksubdomain 和 httpx 等專業偵察工具。最危險的是它包含一個名為 ScriptWork 的任務，允許攻擊者直接在設備上執行 Go、Java 或 Python 原始碼，無需針對目標重新編譯二進位檔，極大地提高了攻擊的靈活性。
隱蔽的控制與持久化機制
在通訊層面，受感染設備（Executor）透過 HTTP/HTTPS 與 C2（Command and Control，指令控制伺服器）聯繫。為了避開流量檢測，它使用了 Protobuf 進行編碼，並搭配簡單的 XOR 運算來混淆流量，NAS 版本則額外加上了 gzip 壓縮。
為了確保設備重啟後依然受控，AryStinger 在路由器上安裝了 Dropbear SSH 伺服器（固定連接埠 2332），而在 NAS 上則使用 gs-netcat。
實務上的影響與防禦建議
這種將過時設備轉化為 ORB（Operational Relay Box，運作中繼盒子）的模式，是目前許多國家級駭客組織（State Actors）常用的手法。它將偵察階段與實際攻擊階段完全分離，使得防禦方即便發現了掃描行為，也只能封鎖一個隨機的家用 IP，而無法追溯到真正的攻擊者。
對於工程師與系統管理員，建議採取以下行動：
第一，立即汰換 EOL 設備。一個 2016 年就停止更新的路由器是不可能在今天獲得修補的，唯一的解決方案就是更新硬體。
第二，關閉遠端管理功能。除非絕對必要，否則不要將設備的管理介面暴露在公網上。
第三，監控異常流量。檢查設備是否有異常的出站連接，特別是前往未知域名或非標準連接埠的流量。
第四，檢查臨時目錄。檢查 /tmp/bin 等路徑是否有不明的二進位檔，或檢查進程清單中是否存在 syswapd0h 或 syswapd0w 等可疑名稱。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。