Зловредният софтуер Cling маскира трафика си като Google STUN, за да управлява компрометирани IoT устройства

Зловредният софтуер Cling превръща компрометирани устройства, свързани с интернет, в ботнет, докато прикрива своя контролен трафик като отговори от обществената STUN услуга на Google.

Техниката кара инструкциите на атакуващия да изглеждат като рутинни комуникации, използвани от приложенията за свързване през мрежовите граници.

Инфекцията започва с атаки срещу уязвими устройства, работещи с уязвим софтуер на Realtek. Предишни доклади за атаки с експлоатация на Realtek SDK документираха същата входна точка, показвайки как стари дефекти продължават да дават на атакуващите достъп до рутери, точки за достъп, повторители и други устройства.

Изследователи от Nozomi Networks идентифицираха Cling, докато изследваха скок в опитите за експлоатация срещу CVE-2021-35394.

Nozomi Networks съобщи в доклад, споделен с Cyber Security News (CSN), че зловредният софтуер използва легитимно изглеждащ STUN обмен, за да регистрира инфектираните устройства и да получава команди от оператора.

Публикуван на 1 октомври 2026 г., анализът описва ботнет, способен да се разпространява, да препредава трафик, да отваря тунели и да стартира атаки за отказ на услуга (Denial-of-Service).

Изследователите са наблюдавали инструкции за атака, насочени към интернет доставчик, университетска инфраструктура и гейминг услуги, но не са съобщили за общ брой инфектирани устройства или потвърдени прекъсвания на услугите.

Зловредният софтуер Cling се маскира като STUN трафик на Google

STUN помага на устройството да открие своя публичен адрес и мрежовия порт, определен от неговия рутер. Видеоконференциите и комуникациите през браузъра обикновено го използват, създавайки фонов трафик, който атакуващите могат да имитират, без веднага да привлекат вниманието на екипите по сигурност.

Cling се свързва с 13 твърдо кодирани STUN сървъра приблизително на всеки пет секунди. Той събира портовете, върнати от тези услуги, след което изпраща отделно съобщение за регистрация, съдържащо картографираните портове и маркер, идентифициращ начина, по който устройството е било инфектирано.

Тези съобщения за регистрация не са валиден STUN трафик и нормалните сървъри са ги игнорирали по време на тестването. Въпреки това един сървър е върнал необичаен отговор, който не е дублирал правилно идентификатора на заявката, което подтиква изследователите да разследват връзката му с ботнета.

Екипът рекламира различни набори от портове към всеки сървър, докато се преструва, че регистрира инфектирано устройство. Няколко часа по-късно се получават команди на портове, разкрити само на подозрителния сървър, което показва, че неговият регистрационен трафик е стигал до оператора.

Командите заемат 12-байтовия транзакционен идентификатор на протокола – поле, което обикновено се използва за напасване на заявките с отговорите.

Тази камуфлажна техника напомня за канали за команди на базиран на браузър зловреден софтуер, които по подобен начин експлоатират познати комуникационни модели, въпреки че Cling работи чрез UDP, а не чрез отвлечен браузър.

Пакетните команди изглежда произхождат от STUN инфраструктурата на Google. Изследователите оценяват подправянето на изходящия адрес (source-address spoofing) като най-вероятното обяснение, подкрепено от разликите в стойностите на времето на живот на пакетите (TTL).

Те не са установили, че сървърите на Google са били компрометирани или действително са изпращали инструкциите. Разграничението е важно за разследванията: повечето изброени STUN крайни точки са легитимни публични услуги, а не потвърдена инфраструктура на атакуващия. Тяхното присъствие в трафика трябва да се оценява заедно с аномалиите в протокола и поведението на устройството.

Устойчивост и защита

Първоначалната експлоатация позволява на атакуващите да издават shell команди, които изтеглят и изпълняват зловредния софтуер. Анализираната проба съдържа също експлоати за CVE-2014-8361, CVE-2023-26801, CVE-2024-3721, CVE-2025-34037, CVE-2016-10372, CVE-2023-41011 и CVE-2016-20016, разширявайки обхвата си върху рутери и оборудване за видеозапис.

След инфектиране Cling създава скрити копия и добавя записи за стартиране, за да оцелее при рестартиране. Той също така заменя стандартна програма за изтегляне, като същевременно запазва достъпа до оригиналната програма, позволявайки на обикновени задачи по поддръжка или последващи изтегляния отново да задействат зловредния софтуер.

Операторите му могат да изтеглят допълнителен злонамерен код, да стартират или спират сканиране, да създават TCP тунели, да активират прокси препредаване и да нареждат флуд атаки. Сравними IoT прокси операции на PolarEdge илюстрират защо компрометираните крайни устройства могат да се превърнат в инфраструктура за злоупотреби извън първоначалното проникване.

Анализът изследва MIPS проба с подкрепящи наблюдения от свързани файлове. Характеристиките за устойчивост и команди трябва да се третират като констатации за изследваната проба, а не за всеки вариант.

Nozomi препоръчва преглед на изложените на риск устройства, отстраняване на уязвимостите чрез инсталиране на корекции за сигурност и ограничаване на входящия достъп там, където няма налични актуализации.

Мрежовата сегментация може да намали излагането на риск, докато разследващите трябва да проверят промените в стартирането и заменените програми за изтегляне за артефактите, изброени по-долу.

Защитниците трябва също така да разследват чести STUN заявки с транзакционни идентификатори от само нули, неочаквани UDP регистрационни съобщения и връзки, които се отклоняват от нормалното поведение на устройството. Само репутацията на доверен сървър не може да гарантира безопасност, когато атакуващите могат да фалшифицират явния източник на трафика с команди.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са умишлено обезвредени (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановявайте оригиналния им вид само в контролирани платформи за анализ на киберзаплахи като MISP, VirusTotal или вашата SIEM система.