Una nueva botnet bautizada como AryStinger ha puesto en el punto de mira a miles de routers D-Link antiguos y sin soporte. Investigadores de Qianxin XLab han identificado más de 4.300 dispositivos comprometidos, convertidos en nodos de una red distribuida utilizada para canalizar tráfico malicioso, ejecutar tareas de reconocimiento y actuar como plataforma de apoyo para futuras intrusiones.
No se trata del típico malware para lanzar ataques DDoS o minar criptomonedas: el objetivo aquí es transformar routers domésticos y de pequeñas oficinas en “ejecutores” remotos al servicio de los atacantes.
La campaña se apoya sobre todo en modelos veteranos de D-Link, especialmente los DIR-850L y DIR-818LW, dos equipos que llevan años arrastrando vulnerabilidades y que siguen presentes en muchas redes pese a estar ya fuera de ciclo de vida.
Esta noticia va en consonancia con una advertencia que se repite cada vez con más frecuencia en ciberseguridad: los routers obsoletos se han convertido en una puerta de entrada silenciosa y muy útil para campañas de espionaje, reconocimiento y distribución de tráfico malicioso.
Cómo actúa AryStinger
AryStinger convierte el router infectado en una especie de intermediario remoto. Una vez comprometido, el dispositivo puede recibir órdenes para escanear redes, reenviar tráfico, crear túneles, ejecutar comandos e incluso servir de trampolín para ocultar el origen real de otras operaciones. Según el análisis técnico de XLab, la botnet está pensada para repartir grandes tareas de reconocimiento entre miles de equipos, fragmentando el trabajo para acelerarlo y dificultar su rastreo.
Ese enfoque la hace especialmente útil en la fase previa a una intrusión. En lugar de lanzar un escaneo masivo desde una sola infraestructura, el atacante divide la tarea en múltiples pequeñas órdenes y las distribuye entre distintos routers infectados.
El resultado es una red de dispositivos dispersos por varios países que pueden mapear objetivos, identificar servicios expuestos y preparar el terreno para ataques posteriores.
Los investigadores alertan de que AryStinger también puede alterar la configuración DNS del equipo, secuestrar la navegación del usuario y monitorizar el tráfico de entrada y salida.
En la práctica, eso abre la puerta a redirecciones a páginas falsas, robo de credenciales, espionaje de la actividad online o interceptación de comunicaciones dentro de la red afectada.
Los modelos afectados y las vulnerabilidades explotadas
La botnet aprovecha fallos conocidos y antiguos, entre ellos CVE-2013-3307 y CVE-2016-5681, además de CVE-2025-11837 en otra rama de la campaña. El grueso de las infecciones detectadas se concentra en routers D-Link DIR-850L y DIR-818LW, aunque también aparecen otros modelos en menor proporción, como DIR-816L, DIR-818L, DWR-118 o DIR-817LW.
Los datos de Qianxin sitúan al DIR-850L como el principal dispositivo comprometido, con cerca del 75% de las infecciones identificadas, mientras que el DIR-818LW representa alrededor del 13%. El resto se reparte entre otros modelos y un porcentaje de dispositivos no identificados. No es la primera vez que estos equipos son utilizados en campañas de este tipo: ya habían sido explotados en 2023 por AVrecon, otra botnet que afectó a routers antiguos.
Corea del Sur y China concentran la mayor parte de las infecciones
La telemetría recopilada por XLab muestra una distribución geográfica muy marcada.
Corea del Sur concentra el 48,45% de las infecciones registradas, seguida por China con el 31,82%. A bastante distancia aparecen Suecia, con el 6,4%, Malasia, con el 3,5%, y Singapur, con el 2,5%. El mapa dibuja una campaña especialmente intensa en Asia, aunque la presencia de nodos en Europa confirma que la infraestructura es global.
Los investigadores han localizado dos variantes de AryStinger. La primera, desarrollada en C, está orientada principalmente a routers antiguos y se centra en funciones de escaneo y tunelización.
La segunda, escrita en Go, apunta a sistemas NAS y añade capacidades más avanzadas, como escaneo IP y DNS, ejecución remota de comandos y despliegue de cargas útiles en lenguajes como Go, Java o Python. Esta última es, por ahora, mucho menos extendida, pero revela una evolución clara de la herramienta.
Qué hacer si aún usas un router antiguo
El caso de AryStinger vuelve a poner sobre la mesa un problema habitual: muchos routers siguen funcionando años después de dejar de recibir soporte del fabricante. Cuando un equipo alcanza el fin de vida útil y deja de actualizarse, cualquier vulnerabilidad pendiente se convierte en una oportunidad permanente para los atacantes.
Por eso, la principal recomendación de los expertos es retirar o sustituir los routers obsoletos por modelos con soporte activo. Si no es posible cambiarlos de inmediato, conviene instalar el último firmware disponible, modificar la contraseña por defecto del panel de administración y desactivar la gestión remota si no es imprescindible.
En dispositivos que llevan años sin parches, la medida más sensata sigue siendo la más simple: reemplazarlos antes de que acaben trabajando para una botnet sin que su propietario lo sepa.
