Non tutte le minacce arrivano da un exploit sofisticato contro un bersaglio di alto profilo. Alcune crescono in silenzio, mattone dopo mattone, arruolando i dispositivi che nessuno guarda: il vecchio router in cantina, la videocamera IP dell'ufficio, il box Android dimenticato dietro il televisore. È il caso di RustDuck, una botnet documentata il 30 giugno 2026 dai ricercatori di XLab (QiAnXin) e ripresa dalle principali testate di settore. Ancora piccola per numeri, ma progettata con una cura ingegneristica che lascia intendere ambizioni di crescita.

Una botnet che si riscrive in Rust

La caratteristica che dà il nome alla minaccia è la migrazione del codice dal linguaggio C a Rust. Non è un vezzo: riscrivere il malware in Rust rende più difficile l'analisi statica, complica il reverse engineering e produce binari più ostici da classificare per molti motori antivirus. RustDuck si installa in due fasi: un piccolo loader iniziale decifra e scompatta un modulo principale più pesante, ed è quest'ultimo — il cuore operativo — a essere stato riscritto in Rust.

L'obiettivo finale è classico: costruire una rete di dispositivi compromessi da usare per attacchi DDoS (negazione distribuita del servizio), cioè per travolgere di traffico un sito o un servizio fino a metterlo offline.

Come infetta i dispositivi

RustDuck combina due strategie di ingresso. La prima è la più banale e la più efficace: attacchi a dizionario contro Telnet e SSH, ossia il tentativo sistematico di indovinare password deboli o lasciate al valore di fabbrica. La seconda è lo sfruttamento di vulnerabilità RCE note in una gamma eterogenea di apparati: falle di command injection nei router D-Link DIR-823X e Totolink X6000R, oltre a percorsi di esecuzione di codice in Apache CouchDB. I ricercatori riportano che il malware colpisce anche dispositivi esposti tramite Android Debug Bridge (ADB) e apparati ZTE, e sfrutta falle in installazioni Jenkins.

Particolarmente insidiose sono le capacità anti-analisi: prima di eseguirsi, RustDuck compie una sorta di checklist per capire se è finito nel laboratorio di un ricercatore. Cerca strumenti come Wireshark e gdb, debugger e hardware da macchina virtuale; se supera una certa soglia di sospetto, cancella le proprie tracce e si autoelimina. XLab ha contato oltre venti indirizzi Internet impegnati a diffondere il malware.

Cosa significa per le aziende (e le famiglie) italiane

Il profilo di RustDuck tocca due nervi scoperti del contesto italiano. Il primo è la diffusione capillare di dispositivi IoT e di rete mal gestiti: router forniti dagli operatori e mai aggiornati, videocamere di videosorveglianza raggiungibili da Internet con credenziali di default, apparati di piccole imprese che nessuno tratta come "computer" da mettere in sicurezza. Sono esattamente i bersagli che RustDuck predilige. Il secondo è il fatto che in Italia, come rilevano i rapporti di settore, gli attacchi DDoS hanno un peso relativo elevato, spesso a scopo dimostrativo in coincidenza con eventi geopolitici o mediatici: una botnet in espansione è benzina su questo tipo di fuoco.

C'è poi un rovescio della medaglia spesso sottovalutato. Un'azienda i cui dispositivi vengano arruolati in RustDuck non subisce necessariamente un furto di dati, ma diventa complice involontaria di attacchi verso terzi: consuma banda, rischia il blacklisting dei propri indirizzi IP e, in caso di indagine, può trovarsi a dover dimostrare la propria estraneità. Per un fornitore di servizi digitali o per chi rientra nel perimetro NIS2, un parco di apparati compromessi è anche un problema di igiene della catena tecnica difficile da giustificare davanti a un'autorità.

Cosa fare subito

Le contromisure sono note ma proprio per questo troppo spesso trascurate; per una minaccia come RustDuck sono decisive:

  • Cambiare tutte le password di default su router, videocamere IP, NAS e qualunque apparato di rete, scegliendo credenziali robuste e uniche.
  • Chiudere o filtrare Telnet e SSH verso Internet: se l'accesso remoto non serve va disabilitato; se serve, va limitato a indirizzi noti e protetto con chiavi, non con password.
  • Aggiornare il firmware di router e dispositivi IoT; ritirare gli apparati fuori supporto (come diversi modelli D-Link ormai a fine vita) che non ricevono più patch.
  • Segmentare la rete: tenere videocamere, stampanti e IoT su una VLAN separata dai sistemi che trattano dati sensibili, così che la compromissione di un dispositivo non offra un trampolino verso il resto.
  • Aggiornare Apache CouchDB, Jenkins e gli altri servizi esposti citati, applicando le patch note.
  • Monitorare il traffico in uscita alla ricerca di picchi anomali verso destinazioni sconosciute: spesso è il primo segnale che un dispositivo è stato arruolato.

RustDuck ricorda una verità scomoda: la sicurezza di un'organizzazione non si misura solo sui server e sui portatili, ma anche sull'apparecchio più umile e dimenticato collegato alla rete. È lì che le botnet costruiscono la propria forza.