ClingSTUN: dispozitive IoT transformate în proxy prin STUN

Pe 5 octombrie 2026, FortiGuard Labs, echipa de cercetare a Fortinet, a publicat analiza unui backdoor Linux pe care îl numește ClingSTUN. Malware-ul intră în routere, camere, înregistratoare video și alte dispozitive expuse pe Internet prin vulnerabilități cunoscute și necorectate și le transformă în noduri proxy controlate de la distanță. Ca să rămână accesibil în spatele NAT, folosește servere STUN publice și legitime, aceleași de care se folosesc VoIP și WebRTC.

Știrea a fost preluată de The Hacker News, Dark Reading, Infosecurity Magazine și CSO Online. The Hacker News o prezintă ca botnetul „Cling” și pune accentul pe tentativele de exploatare a Realtek Jungle SDK; celelalte publicații folosesc numele ClingSTUN.

Ce s-a întâmplat

Potrivit cercetării relatate de Infosecurity Magazine, FortiGuard a urmărit campania în trei perioade, fiecare cu alt server de descărcare:

• prima perioadă, de două zile: o singură vulnerabilitate, CVE-2022-36553, în routerele Hytec Inter;
• a doua perioadă: CVE-2025-34035 în serviciul cloud IoT al EnGenius și CVE-2024-23625 în serviciul UPnP al D-Link; apoi vulnerabilități de command injection în dispozitive Linear, Realtek, TP-Link, AVTECH și D-Link;
• a treia perioadă: noi puncte de intrare, până la 24 de vulnerabilități în total. Printre ele se află și cele din Ivanti Connect Secure, CVE-2023-46805 și CVE-2024-21887, precum și vulnerabilități mai noi, ca CVE-2026-36356 și CVE-2025-67038.

CSO Online menționează printre ținte și routerele TP-Link Archer AX21 și camerele AVTECH și vorbește de vulnerabilități de tip command injection, code injection și buffer overflow. Sursele nu numesc victime.

Detalii tehnice

Rolul dispozitivului. ClingSTUN este un backdoor de tip back-connect proxy: dispozitivul compromis retransmite trafic în numele operatorilor și execută comenzile lor. Așa cum observă Jason Soroko de la Sectigo, citat de CSO Online, un dispozitiv nu trebuie să conțină date sensibile ca să fie util unui atacator.

Folosirea STUN. Malware-ul trimite cereri binding STUN standard către servere publice (24 în a doua versiune, 13 în a treia) ca să-și afle adresa externă și maparea porturilor și ca să țină deschise asocierile NAT. Apoi comunică periodic acelorași servere un identificator de grup și porturile mapate. Traficul seamănă cu cel al comunicațiilor VoIP și WebRTC obișnuite. FortiGuard precizează că încă nu s-a verificat cum obține operatorul mapările și cum trimite comenzile prin NAT și avertizează să nu fie considerate serviciile STUN drept infrastructură a atacatorilor.

Persistență și camuflare. După instalare, ClingSTUN:

• oprește procesele concurente și dezactivează watchdog-ul dispozitivului;
• se copiază în locații de sistem ascunse;
• se adaugă la pornire modificând /etc/inittab, /etc/init.d/rcs și /etc/rc.d/rc.boot (căi raportate de CSO Online);
• își face intrarea din /proc să semene cu cea a procesului init al sistemului.

Execuție și propagare. Permite executarea de comenzi de la distanță și conține exploit-uri pentru încă șapte vulnerabilități, printre care unele din SDK-ul Realtek și din trei produse DVR, cu care se răspândește pe alte dispozitive. Este compilat pentru ARM, Intel 80386, MIPS, PowerPC și x86-64.

Indicatori publici. Articolele consultate nu conțin hash-uri sau adrese: indicatorii de compromitere se găsesc în cercetarea originală a FortiGuard Labs.

MITRE ATT&CK (mapare pe baza faptelor raportate): T1190 (Exploit Public-Facing Application), T1105 (Ingress Tool Transfer), T1037.004 (Boot or Logon Initialization Scripts: RC Scripts), T1036 (Masquerading), T1059.004 (Unix Shell), T1090 (Proxy), T1210 (Exploitation of Remote Services).

Impactul pentru companiile europene și italiene

Sursele nu menționează victime în Europa, dar dispozitivele vizate sunt răspândite și aici: routere de birouri mici, camere și înregistratoare de supraveghere video, echipamente de rețea uitate într-un dulap. Odată transformat în proxy, un astfel de dispozitiv scoate prin conexiunea ta traficul altcuiva, iar adresa ta IP poate apărea în jurnalele unor atacuri asupra terților.

Prezența Ivanti Connect Secure pe listă amintește că același operator nu vizează doar IoT: concentratoarele VPN neactualizate sunt o poartă de intrare în rețeaua companiei. Pentru entitățile care intră sub NIS2, articolul 21 cere gestionarea vulnerabilităților și securitate în achiziția și întreținerea sistemelor: camerele și routerele fără suport fac parte din perimetrul pe care trebuie să-l gestionezi.

Părerile despre metodă diferă. Louis Eichenbaum de la ColorTokens recomandă controale compensatorii și microsegmentare pentru dispozitivele care nu pot fi actualizate imediat; John Gallagher de la Viakoo consideră în schimb că segmentarea singură nu ajunge și mizează pe actualizarea automată a firmware-ului în parcuri IoT cu mai mulți producători.

Ce să faci imediat

1. Fă inventarul dispozitivelor expuse pe Internet, cu model, versiune de firmware și starea suportului oferit de producător.
2. Actualizează mai întâi dispozitivele afectate de CVE-urile citate și, în special, Ivanti Connect Secure pentru CVE-2023-46805 și CVE-2024-21887.
3. Înlocuiește sau izolează dispozitivele care nu mai primesc actualizări: fără interfețe de administrare și fără UPnP expuse pe Internet.
4. Filtrează traficul de ieșire din rețelele de camere, DVR și IoT: permite doar destinațiile de care au cu adevărat nevoie.
5. Caută trafic STUN acolo unde nu are sens. Un DVR sau o cameră care contactează la intervale regulate servere STUN publice sau deschide conexiuni UDP neașteptate cu keepalive recurente trebuie verificat. Cum spune Soroko, contează comportamentul dispozitivului, nu reputația destinației.
6. Pe dispozitivele unde ai acces la shell, verifică intrările de pornire din /etc/inittab și din scripturile din /etc/init.d/ și /etc/rc.d/ și vezi dacă există mai mult de un proces care se prezintă drept init.
7. Compară jurnalele tale cu indicatorii de compromitere publicați de FortiGuard Labs.

Cum ajută ARXDOME

ARX Expose arată din exterior porturile deschise, produsele recunoscute și vulnerabilitățile cunoscute ale serviciilor publice: acolo apar interfețele de administrare și dispozitivele expuse din greșeală. ARX Watch găsește în rețea dispozitivele fără sondă, cum sunt camerele și înregistratoarele video, și te anunță când apare unul nou. ARX Sentry colectează jurnalele firewall-urilor și le aduce în paginile SOC și pe harta NOC, cu conexiunile respinse și traficul de ieșire blocat. Pe dispozitivele IoT nu se instalează un agent: vizibilitatea vine din rețea și din firewall.

Ultima actualizare: 6 octombrie 2026