El backdoor para Linux ClingSTUN abusa de servidores STUN públicos para mantener conectividad proxy

Investigadores de seguridad de FortiGuard Labs revelaron la existencia de un backdoor para Linux denominado ClingSTUN, el cual convierte los sistemas infectados en proxies de conexión inversa. El malware aprovecha solicitudes legítimas del protocolo STUN (Session Traversal Utilities for NAT) para descubrir direcciones IP externas y gestionar la conectividad a través de cortafuegos de red.

Amplia explotación y soporte de arquitecturas

ClingSTUN logra su acceso inicial mediante la explotación de dos docenas de fallos de seguridad en equipos de red y software de fabricantes como Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda y TP-Link. Los operadores de este backdoor están ampliando activamente su catálogo de objetivos para abarcar vulnerabilidades adicionales.

El malware cuenta además con un componente integrado de autopropagación que incluye exploits codificados para siete vulnerabilidades en productos de China Mobile, KGUARD, Linksys, LB-LINK, MVPower, Realtek y TBK. Varios módulos de descarga obtienen binarios compilados específicos para infectar diversas arquitecturas de hardware, entre ellas AMD X86-64, ARM, Intel 80386, MIPS R3000 y PowerPC.

Persistencia y tácticas operativas

FortiGuard Labs analizó tres variantes de la red de bots y observó un comportamiento uniforme en todas las iteraciones. Las rutinas activas del malware finalizan procesos maliciosos competidores y desactivan los temporizadores de supervisión (watchdog) del sistema para proteger su entorno.

Para lograr persistencia tras los reinicios del sistema, ClingSTUN duplica su carga útil ejecutable en dos archivos ocultos con permisos de ejecución. A continuación, añade comandos de inicio a tres scripts de inicialización estándar del sistema, garantizando así su ejecución automática durante el arranque.

Abuso de infraestructura pública legítima

Para mantener las comunicaciones proxy a través de barreras de traducción de direcciones de red (NAT), ClingSTUN crea un socket UDP local vinculado a un puerto aleatorio y envía solicitudes de vinculación estándar a puntos de enlace STUN públicos. De forma periódica, transmite su identificador de grupo asignado y su mapa de puertos a dichos puntos de enlace sin emplear un servidor de coordinación dedicado para esta fase. Asimismo, el malware escucha paquetes entrantes específicos para activar su autopropagación o ejecutar comandos remotos.

FortiGuard Labs señaló que los servidores STUN públicos utilizados por el malware son servicios legítimos y no deben clasificarse como infraestructura maliciosa. La firma aconsejó a los equipos de seguridad identificar posibles compromisos evaluando el tráfico STUN inesperado en conjunto con actividad inusual de procesos en el host, vinculaciones de red UDP no explicadas y señales recurrentes de mantenimiento de conexión (keepalive).

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Linux Backdoor Abuses STUN Protocol, Exploits Dozens of Flaws