Una botnet recientemente rastreada llamada RondoDox se ha convertido silenciosamente en una de las amenazas más preocupantes observadas en los últimos meses, combinando una colección inusualmente grande de exploits con un uso calculado de la infraestructura de internet residencial. Detectada por primera vez en mayo de 2025, la botnet comenzó a generar altos volúmenes de tráfico en honeypots de seguridad

Una botnet recientemente rastreada llamada RondoDox se ha convertido silenciosamente en una de las amenazas más preocupantes observadas en los últimos meses, combinando una colección inusualmente grande de exploits con un uso calculado de la infraestructura de internet residencial.

Detectada por primera vez en mayo de 2025, la botnet comenzó a generar altos volúmenes de tráfico en honeypots de seguridad y desde entonces ha crecido hasta convertirse en una operación a gran escala capaz de lanzar hasta 15.000 intentos de explotación en un solo día.

Sus operadores han demostrado tanto ambición técnica como paciencia operativa, gestionando cuidadosamente la infraestructura que respalda sus ataques.

RondoDox está construida sobre la misma base que Mirai, la conocida botnet de código abierto cuyo código ha sido reutilizado por muchos actores de amenazas a lo largo de los años.

A diferencia de Mirai, que fue diseñada tanto para escanear nuevos objetivos como para ejecutar ataques de denegación de servicio (DoS), RondoDox se centra exclusivamente en ataques DoS.

Los operadores han expandido significativamente esta base, construyendo un conjunto de herramientas que ahora cubre 174 vulnerabilidades diferentes, una cifra poco común entre amenazas de este tipo. También soporta 18 arquitecturas de sistema, incluyendo x86_64, variantes de ARM, MIPS, PowerPC y otras, lo que le permite atacar una amplia gama de hardware conectado a internet.

Los analistas de Bitsight identificaron la botnet después de notar el alto volumen de tráfico que generaba en sus sistemas honeypot.

Su investigación reveló que, de los 174 exploits documentados, 148 estaban vinculados a CVEs conocidos, 15 tenían código de prueba de concepto público pero sin CVE formal, y 11 no tenían prueba de concepto pública.

Los investigadores también observaron que los operadores seguían activamente las divulgaciones de vulnerabilidades, desplegando varios exploits en cuestión de días tras hacerse públicas —en un caso, CVE-2025-62593 fue explotada antes incluso de que su CVE fuera publicada oficialmente.

Al inicio de su operación, los operadores de la botnet adoptaron lo que los investigadores llaman un enfoque de escopeta, enviando múltiples exploits al mismo objetivo a la vez con la esperanza de que alguno funcionara.

El número de vulnerabilidades distintas utilizadas en un solo día alcanzó su punto máximo en 49 el 19 de octubre de 2025.

Para enero de 2026, esa cifra había caído a solo dos vulnerabilidades activas, una señal de que los operadores habían cambiado su enfoque hacia objetivos de alto valor en lugar de lanzar una red amplia.

CVE-2025-55182, conocida como React2Shell y divulgada el 3 de diciembre de 2025, fue añadida a la lista de exploits de la botnet solo tres días después, el 6 de diciembre.

Esta rápida adopción de fallos recién divulgados, combinada con la escala y persistencia de la operación, señala una amenaza bien financiada y motivada que los equipos de seguridad deben tomar en serio.

Infraestructura de IPs residenciales: una capa de alojamiento engañosa

Uno de los detalles más llamativos descubiertos en la investigación es cómo RondoDox utiliza direcciones IP residenciales comprometidas para alojar sus cargas maliciosas.

Bitsight rastreó 32 direcciones IP durante todo el período de observación —16 dedicadas a la explotación y 16 al alojamiento.

Mientras que las IPs de explotación se rastrearon hasta proveedores de alojamiento que aceptan pagos con criptomonedas, las IPs de alojamiento apuntaban en su mayoría a proveedores de servicios de internet comunes en países como Estados Unidos, Canadá, Suecia, China y Túnez.

Utilizando el conjunto de datos de Groma, los investigadores descubrieron que cuatro de las 11 IPs residenciales de alojamiento identificadas exponían servicios potencialmente vulnerables, incluyendo una interfaz de UniFi Protect, dos sistemas Control4 para hogares inteligentes y un servidor web de una TV Android TCL.

Las pruebas sugieren fuertemente que estos son dispositivos domésticos comprometidos que sirven, sin saberlo, como infraestructura de la botnet.

Los servidores de alojamiento también emplean un mecanismo de blacklisting, devolviendo una página señuelo con un vídeo de fondo y un botón no funcional para bloquear a los analistas.

Para reducir el riesgo, las organizaciones deberían parchear regularmente los dispositivos expuestos a internet, desactivar los servicios de acceso remoto no utilizados y monitorizar el tráfico de red en busca de conexiones sospechosas, utilizando los indicadores de compromiso publicados por Bitsight en su repositorio de GitHub.