ClingSTUN Linux-backdoort elemzése
A FortiGuard Labs a ClingSTUN Linux-backdoort elemezte, amely internetre kitett, javítatlan routereket, IoT- és más hálózati eszközöket kompromittál, majd azokat távolról vezérelhető proxycsomópontokká alakítja. A kampány kezdetben a Hytec Inter routerek CVE-2022-36553 hibáját használta, később azonban számos más sérülékenységre terjeszkedett. A célpontok között EnGenius, D-Link, Realtek, TP-Link, AVTECH, Ivanti, Tenda, Lantronix és más gyártók eszközei is megjelentek.
A malware legérdekesebb tulajdonsága a STUN (Session Traversal Utilities for NAT) infrastruktúra kihasználása. A ClingSTUN legitim, nyilvános STUN-szerverek segítségével állapítja meg a fertőzött eszköz külső IP-címét és NAT által kiosztott portját, fenntartja a NAT-kapcsolatot, majd megkönnyíti az operátor számára a back-connect kommunikációt. Mivel a STUN-t normálisan WebRTC- és VoIP-alkalmazások is használják, ez a forgalom könnyebben beleolvadhat a legitim hálózati kommunikációba. A használt nyilvános STUN-szerverek nem kompromittált C2-k, egyszerűen legitim szolgáltatásokkal él vissza a malware.
A ClingSTUN több architektúrán fut, perzisztenciát épít ki, manipulálja az eszköz watchdog mechanizmusát, elrejti saját processzinformációit, és rivális malware-ek folyamatait is leállíthatja. Távoli parancsvégrehajtást biztosít, miközben a fertőzött gépeket további sérülékeny rendszerek keresésére és kompromittálására is felhasználhatja. A Fortinet szerint a malware tovább fejlődik, és folyamatosan új belépési pontokat épít be.
A STUN-forgalom egyszerű blokkolása vagy a publikus STUN-szerverek IOC-ként kezelése félrevezető. Inkább az internetre kitett, elavult firmware-t futtató eszközök feltérképezése és frissítése, a már nem támogatott berendezések izolálása vagy cseréje, valamint a szokatlan UDP/STUN-forgalom és gyanús Linux-folyamatok együttes vizsgálata indokolt. A kampány jól példázza, hogy több éves, ismert sérülékenységek is elegendők tartós proxyinfrastruktúra felépítéséhez, ha az edge és IoT eszközök frissítése elmarad.
