Задно вратиче ClingSTUN експлоатира множество IoT уязвимости за получаване на постоянен отдалечен достъп

ClingSTUN е задна врата (backdoor) за Linux, която се възползва от уязвимости в свързани с интернет устройства, за да осигури на атакуващите траен отдалечен достъп.

Вместо просто да инфектира рутери и камери, той превръща компрометираното оборудване в отдалечено управлявани прокси възли, които могат да пренасочват трафик и да изпълняват команди. Кампанията е насочена към известни дефекти в сигурността при множество производители, като разширява методите си на атака с развитието си.

Некоригираният фърмуер, поддържаният хардуер и изложените услуги създават възможности за инфекции, които могат да преживеят рестартиране на устройството и да скрият своята активност от рутинни проверки. Изследователите от Fortinet идентифицираха три етапа на кампанията, всеки от които използва различен източник за изтегляне.

От Fortinet заявиха в доклад, споделен с Cyber Security News (CSN), че ClingSTUN комбинира експлоатация на уязвимости, устойчивост при стартиране (persistence) и публични мрежови услуги, за да поддържа достъп до инфектирани Linux устройства.

Анализът от 5 октомври описва заплаха с висока степен на опасност, но не предоставя брой инфекции или потвърден списък с жертви.

Констатациите показват как обикновеното свързано оборудване може да се превърне в устойчива инфраструктура за атаки, с последици, простиращи се извън първоначално компрометираното устройство.

ClingSTUN Backdoor Exploits Multiple IoT Vulnerabilities

Изследователите за първи път забелязаха разпространение чрез CVE-2022-36553 – уязвимост за инжектиране на команди в рутери Hytec Inter HWL-2511-SS.

Този начален етап продължи само два дни, преди атакуващите да променят инфраструктурата за изтегляне и да разширят стратегията си за експлоатация, за да достигнат до допълнителни уязвими продукти.

Вторият етап беше насочен към уязвимостта в облачната услуга EnGenius CVE-2025-34035 и UPnP уязвимостта в D-Link CVE-2024-23625. По-късната активност добави устройства на Realtek, Linear, TP-Link, AVTECH и други, което показва, че операторите не са разчитали на един производител или на една точка на вход.

Сред тези цели беше CVE-2023-1389 в рутери TP-Link Archer AX21. По-ранни доклади за атаки с инжектиране на команди в TP-Link са документирали експлоатацията на същата уязвимост, илюстрирайки как познатите уязвимости остават полезни за атакуващите, когато изложените устройства остават без инсталирани корекции за сигурност.

Кампанията също така експлоатира CVE-2024-7029 в камери AVTECH AVM1203 – уязвимост, свързана по-рано с Mirai атаки срещу камери в друга кампания. Припокриването се отнася до повторно използвани уязвимости, а не е доказателство, че ClingSTUN принадлежи към същото семейство зловреден софтуер или споделя тези оператори.

Програмите за изтегляне (downloaders) извличат версии за ARM, Intel 80386, MIPS R3000, PowerPC и AMD x86-64 системи. Най-новият downloader също така премахва определени монтирания, свързани с процеси, и прекратява процеси, работещи от временно хранилище, което помага за прочистване на конкуриращата се активност, преди задната врата да се установи.

След това ClingSTUN създава скрити изпълними копия и модифицира три файла за автоматично стартиране, така че да се изпълнява по време на зареждане на системата. Той също така деактивира watchdog таймерите и прекратява избрани процеси, комбинирайки устойчивост с пречене на програми, които биха могли да се конкурират с него на инфектираното устройство.

Public STUN Services Conceal Connectivity

ClingSTUN изчиства своите аргументи от командния ред, за да направи обикновените списъци с процеси по-малко информативни. Когато работи с администраторски привилегии, той застъпва своята информация за процеса с метаданни, копирани от първоначалния процес на системата.

Подобни техники за прикриване на процеси при зловреден софтуер за Linux подчертават защо само външният вид не може да установи дали даден процес е легитимен.

Задната врата използва STUN – протокол, който обикновено участва в интернет разговори и комуникации през браузър, за да открива външни адреси и картографирания на портове (port mappings).

Анализираната втора версия се е свързала с 24 публични крайни точки; третата е намалила този брой до 13 и е изисквала успешни връзки с всяка крайна точка. Пакет от 20 байта от оператора може да активира отдалечено изпълнение на команди или саморазпространение.

Една команда насочва изходяща TCP връзка към определена крайна точка, където зловредният код получава инструкции за изпълнение. Изследователите идентифицираха седем вградени експлоата за уязвимости, поддържащи по-нататъшното разпространение към рутери и оборудване за запис.

Изследователите обаче не можаха да потвърдят как операторите получават външните картографирания и доставят контролен трафик през транслация на мрежови адреси (NAT). Публичните STUN сървъри не трябва автоматично да се третират като злонамерена инфраструктура.

Защитниците вместо това трябва да корелират тези връзки със подозрителни процеси, неочаквана UDP активност и периодичен keepalive трафик.

Fortinet препоръчва инвентаризация на устройствата с достъп до интернет, проследяване на поддръжката на фърмуера и своевременно инсталиране на корекции за сигурност за активно експлоатирани уязвимости.

Неподдържаното оборудване трябва да бъде заменено или изолирано, докато ненужните изложени услуги трябва да бъдат ограничени. Мониторингът на промените при стартиране на системата заедно с необичайното мрежово поведение помага за идентифициране на устройства, които са се превърнали в устойчиви задни врати.

Индикаторите по-долу възпроизвеждат хостове на кампанията, хешове и наблюдавани артефакти от източника. Публичните STUN крайни точки предоставят контекст за разследване и не са потвърдена контролирана от атакуващите инфраструктура.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно дезактивирани (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете оригиналния им вид само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.