AryStingerボットネット：4,000台のD-Linkルーターが踏み台に、古い脆弱性が生む新たな脅威

今日のハイライト

IoTデバイスを標的とする新種のボットネット「AryStinger」が発見され、世界中で4,000台以上のD-Linkルーターが既に侵害されています。特に注目すべきは、2013年や2016年といった10年前の古い脆弱性が今もなお大規模な被害を生んでいる点です。企業や家庭内の「見えないネットワーク機器」に対するセキュリティ管理の重要性が、再び浮き彫りになった一日です。

1. AryStingerボットネット：数千台のD-Linkルーターが悪用プロキシに

重要度: 🔴 Critical (9/10) | カテゴリ: マルウェア・ランサムウェア | ソース: BleepingComputer

概要

Qianxin（奇安信）のXLab脅威インテリジェンスチームによって発見された、新規のマルウェアボットネット「AryStinger」が、4,000台以上の古いルーターを侵害し、悪意あるトラフィックのプロキシとして悪用されていますBleepingComputer。

このボットネットは主にD-Link DIR-850LおよびDIR-818LWモデルを標的としており、CVE-2013-3307（2013年）、CVE-2016-5681（2016年）、CVE-2025-11837（2025年）といった新旧の脆弱性を悪用します。感染したデバイスは「Executor（実行器）」と化し、スキャン、プロキシ、トンネリング、コマンド実行などの悪意ある活動を遠隔操作で実行します。

地理的分布は韓国が48.5%と半数近くを占め、中国（31.8%）、スウェーデン（6.4%）、マレーシア（3.5%）、シンガポール（2.5%）が続きます。XLabの調査では、C言語ベースのルーター向けバリアントと、Go言語ベースのNAS（Network Attached Storage）向けバリアントの2種類が確認されています。特にNAS向けバリアントは、IP/DNSスキャン、ペネトレーションテストツール統合による内部ネットワーク侦察など、より高度な機能を備えています。

考察

実務対策：EoLデバイスの「放置リスク」を可視化する

今回の侵害の根底にあるのは、End-of-Life（EoL）となったネットワーク機器の継続使用です。特にルーターは「動いていれば問題ない」という認識で数年甚至るは十年以上にわたって使用されるケースが少なくありません。

組織が直ちに実施すべき対策は以下の通りです：

1. 資産リストの再精査: D-Link DIR-850L/818LWの使用有無を確認。これらは2013-2016年頃のモデルで、既にサポート終了している可能性が高いです。
2. ファームウェアの緊急更新: まだサポートされているモデルであれば、直ちに最新ファームウェアを適用。ただし、今回のCVE-2025-11837など新規脆弱性へのパッチ適用状況を確認してください。
3. ネットワークセグメンテーション: IoTデバイスを業務システムや重要なワークステーションから論理的に分離。侵害されても横展開を防ぎます。
4. DNS監視の強化: AryStingerはDNS設定の改ざん機能を持ち、ユーザーのブラウジングをハイジャック可能です。ルーターDNS設定の予期せぬ変更を検知する監視体制を構築してください。
5. 管理インターフェースのアクセス制限: WAN側からの管理画面アクセスを完全に遮断し、LAN側も特定IPからのみアクセス可能に制限します。

技術的背景：分散型スキャンとマルチプラットフォーム戦略

AryStingerの技術的に興味深い点は、「分散スキャン」アーキテクチャを採用していることです。攻撃者は巨大なスキャンタスクを小さなチャンクに分割し、多数の感染デバイス（Executor）に並列実行させます。これにより、侦察活動の速度と成功率を飛躍的に高め、標的組織の早期「足跡採取（footprinting）」を可能にしています。

また、C言語版（組み込み/ルーター向け）とGo言語版（NAS向け）の2バリアントを持つ点も注目に値します。C言語版は軽量性と広範な組み込みデバイス互換性を狙い、Go言語版は並行処理の容易さと豊富なライブラリを活用した高度な機能（Shell/Python/Javaコード実行など）を実現しています。これは、攻撃者が異なるプラットフォームの特性を理解し、最適な開発言語を選択する高度な開発能力を持つことを示唆しています。

なお、これらのルーターモデルは2023年にLumenが解体したAVreconボットネットでも標的にされていたことから、特定のハードウェアアーキテクチャに対する「再利用価値」の高さがうかがえます。

業界トレンド：IoTの「長寿命」が生むセキュリティの負債

今回の事件は、IoTデバイスの寿命とセキュリティサポート期間のミスマッチという構造的問題を再び浮き彫りにしています。ネットワーク機器は物理的に10年以上動作しますが、ベンダーのセキュリティパッチ提供は3-5年で終了するのが一般的です。

この「セキュリティ負債」は、組織のShadow IT（IT部門の管理外にあるデバイス）として存在し、ファイアウォールやEDRなどの最新の防御策をすり抜けて、内部ネットワークの「踏み台」となり得ます。特にDNSハイジャック機能は、侵害検知が困難な「中間者攻撃」の起点となり、フィッシングや証明書ピンニング回避などの二次攻撃に悪用される危険性があります。

参照元

• AryStinger botnet infected thousands of D-Link routers worldwide

まとめ

AryStingerの出現は、**「古い脆弱性は消えない」**というセキュリティ界の不文律を再実証するものです。2013年の脆弱性が2026年になってもなお、数千台のデバイスを支配する武器として機能している現実は、EoLデバイス管理の重要性を示しています。

今後の注視ポイントとしては、Go言語版のNAS向けバリアントの拡大傾向が挙げられます。NASは企業の重要データが集中するデバイスであり、そこからの横展開はルーター侵害よりも致命的です。資産管理の徹底と、ネットワーク機器のライフサイクル管理をセキュリティポリシーに明確に組み込むことが、こうした脅威に対する根本的な防御となります。