Mots de passe Telnet bidon, SSH à la peine, ADB grand ouvert : RustDuck ne cherche pas la finesse, il ramasse tout ce qui traîne. Selon l’équipe XLab de QiAnXin, cette nouvelle famille de malware circule depuis février 2026 et transforme routeurs, serveurs et terminaux Android en relais d’attaque DDoS. Sa particularité : un cœur technique migré du C vers le Rust, avec une architecture en deux étages (loader puis core).
La campagne, encore en évolution, empile les vecteurs d’intrusion : bruteforce sur Telnet et SSH, exploitation d’ADB (Android Debug Bridge) exposé et recyclage de vulnérabilités connues sur des environnements IoT, web et serveurs. L’objectif tient en trois lettres : DDoS (déni de service distribué).
Points clés
- RustDuck circule depuis février 2026 et migre son cœur du C vers le Rust, avec une architecture loader + core.
- Vecteurs d’entrée : bruteforce Telnet/SSH, ADB Android exposé et CVE anciennes sur routeurs et serveurs.
- Plus de 20 adresses IP observées en propagation, le nom venant de trois domaines C2 chiffrés en duckdns.
- Objectif final : enrôler des équipements mal administrés pour des attaques DDoS à grande échelle.
Une chaîne d’infection en deux temps
L’analyse de XLab décrit une logique en deux étapes. Un premier composant gère l’intrusion et le déploiement, puis un second module prend la main pour exécuter les fonctions opérationnelles. Les chercheurs disent avoir croisé plusieurs variantes de la famille, signe d’un code retravaillé à la volée.
Le nom n’a rien d’aléatoire : les premiers échantillons centraux chiffrent trois domaines C2 (command and control) en duckdns, d’où ce RustDuck. Côté infrastructure, XLab a déjà observé plus de 20 adresses IP dans les opérations de propagation, l’une des plus actives étant 176.65.139[.]204.
Des équipements variés, des failles d’un autre âge
Le périmètre d’infection ne se limite pas à une seule famille d’objets. XLab cite routeurs, serveurs et terminaux Android. Au menu : mots de passe faibles sur Telnet et SSH, mais aussi exploitation de failles touchant ADB, des API de routeurs, des composants web et plusieurs CVE bien poussiéreuses.
- bruteforce Telnet et SSH sur des équipements exposés ;
- ADB accessible sur Android ;
- exploitation de vulnérabilités anciennes sur routeurs et serveurs ;
- déploiement d’un loader puis d’un core pour les fonctions DDoS.
La recette est connue : viser les équipements mal administrés. La nouveauté tient à la réécriture en Rust, qui sert selon XLab à muscler l’adaptabilité de la famille et ses mécanismes d’évasion. Pour l’heure, l’activité de RustDuck reste sous celle des plus gros botnets du moment, mais elle grimpe vite.
Encore un coup de pression sur les machines de bordure
Ce mois de juin 2026 ne manque pas de campagnes de botnets visant les objets connectés. Le schéma se répète : des appareils en bordure de réseau, souvent peu surveillés et parfois hors support, finissent enrôlés comme base d’attaques par saturation. Trois leviers reviennent invariablement : identifiants faibles, services d’administration exposés et failles anciennes laissées sans correctif.
RustDuck ne fait pas dans le client unique. Il agrège des hôtes hétérogènes, les convertit en nœuds de diffusion, puis les exploite pour lancer des charges DDoS à grande échelle. Cette diversité de cibles, ajoutée au passage au Rust, explique pourquoi XLab garde l’œil rivé sur cette famille dans son rapport du 30 juin 2026. La morale est vieille comme l’IoT : un routeur oublié dans un placard reste un soldat potentiel pour l’armée d’en face.
