RondoDox
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
RondoDox es una botnet que explota masivamente vulnerabilidades en dispositivos y servidores expuestos. Se reporta activa desde mayo de 2025, acumulando más de 170 CVE en su arsenal. Comparte similitudes con Mirai, pero se enfoca exclusivamente en ataques de denegación de servicio. Su infraestructura incluye componentes de explotación y alojamiento, con uso de IPs residenciales comprometidas.
Cómo llega
Explota vulnerabilidades en dispositivos IoT y servicios web expuestos. Adopta rápidamente nuevas vulnerabilidades, a veces explotándolas días después de su publicación. Su vector de ataque se centra en la generación de tráfico para denegación de servicio.
Qué hace una vez dentro
Ejecuta ataques de denegación de servicio contra sus objetivos. Utiliza una infraestructura que combina componentes de explotación y alojamiento. Ha evolucionado de un enfoque disperso con múltiples exploits hacia una estrategia más enfocada en vulnerabilidades críticas recientes. Comparte características con Mirai, pero su función se limita a la generación de tráfico de denegación de servicio.
A quién ataca
Apunta principalmente a dispositivos IoT y servicios expuestos a internet. No se especifican sectores industriales específicos más allá de la exposición general de servicios web y dispositivos conectados.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Reconocimiento | Gather Victim Host Information | T1592 |
| Reconocimiento | Active Scanning | T1595 |
| Desarrollo de recursos | Tool | T1588.002 |
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Windows Management Instrumentation | T1047 |
| Ejecución | Unix Shell | T1059.004 |
| Ejecución | Launchctl | T1569.001 |
| Sigilo | Valid Accounts | T1078 |
| Movimiento lateral | Remote Desktop Protocol | T1021.001 |
| Comando y control | Web Service | T1102 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Non-Standard Port | T1571 |
| Comando y control | Protocol Tunneling | T1572 |
| Comando y control | Encrypted Channel | T1573 |
| Impacto | Resource Hijacking | T1496 |
| Impacto | Network Denial of Service | T1498 |
Fuente: AlienVault OTX: técnicas de 1 reporte dedicado al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2023-46604 | Apache ActiveMQ | 10 | Sí | Bitsight |
| CVE-2025-20281 | Cisco Identity Services Engine | 10 | Sí | Bitsight |
| CVE-2025-24016 | Wazuh Wazuh Server | 9.9 | Sí | Bitsight |
| CVE-2025-24893 | XWiki Platform | 9.8 | Sí | Bitsight |
| CVE-2025-32756 | Fortinet Multiple Products | 9.8 | Sí | Bitsight |
| CVE-2025-37164 | Hewlett Packard Enterprise (HPE) OneView | 10 | Sí | Bitsight |
| CVE-2025-47812 | Wing FTP Server Wing FTP Server | 10 | Sí | Bitsight |
| CVE-2025-55182 | Meta React Server Components | 10 | Sí | Bitsight |
| CVE-2025-62593 | Ray-Project Ray | 8.8 | Sí | Bitsight |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
← Todo el catálogo de armamento
