Backdoor de Linux ClingSTUN abusa de servidores STUN públicos para manter conectividade de proxy

Pesquisadores de segurança da FortiGuard Labs revelaram um backdoor para Linux chamado ClingSTUN, que converte sistemas infectados em proxies de conexão reversa. O malware utiliza solicitações do protocolo legítimo Session Traversal Utilities for NAT (STUN) para descobrir endereços IP externos e gerenciar a conectividade por meio de firewalls de rede.

Exploração ampla e suporte a arquiteturas

O ClingSTUN obtém acesso inicial explorando duas dúzias de falhas de segurança em equipamentos de rede e softwares de fornecedores como Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda e TP-Link. Os operadores do backdoor estão expandindo ativamente seu portfólio de alvos para abranger vulnerabilidades adicionais.

O malware também possui um componente de autopropagação integrado contendo exploits codificados para sete falhas em produtos da China Mobile, KGUARD, Linksys, LB-LINK, MVPower, Realtek e TBK. Módulos de download baixam binários compilados específicos para infectar diversas arquiteturas de hardware, incluindo AMD X86-64, ARM, Intel 80386, MIPS R3000 e PowerPC.

Persistência e táticas operacionais

A FortiGuard Labs analisou três variantes da botnet, observando um comportamento uniforme em todas as iterações. As rotinas ativas do malware encerram processos maliciosos concorrentes e desativam temporizadores de watchdog do sistema para proteger seu ambiente.

Para estabelecer persistência entre as reinicializações do sistema, o ClingSTUN duplica seu payload executável em dois arquivos ocultos com permissões de execução. Em seguida, ele adiciona comandos de inicialização em três scripts padrão de inicialização do sistema, garantindo a execução automática durante a inicialização.

Abuso de infraestrutura pública legítima

Para manter as comunicações de proxy através de barreiras de tradução de endereços de rede (NAT), o ClingSTUN cria um socket UDP local vinculado a uma porta aleatória e envia solicitações de vinculação padrão para endpoints STUN públicos. Ele transmite periodicamente seu identificador de grupo atribuído e o mapa de portas de volta para esses endpoints sem usar um servidor de coordenação dedicado para essa fase. O malware também escuta pacotes recebidos específicos para disparar a autopropagação ou executar comandos remotos.

A FortiGuard Labs observou que os servidores STUN públicos utilizados pelo malware são serviços legítimos e não devem ser tratados como infraestrutura maliciosa. A empresa aconselhou as equipes de segurança a identificar o comprometimento avaliando o tráfego STUN inesperado em conjunto com atividades de processos incomuns no host, vinculações de rede UDP não explicadas e sinais recorrentes de keepalive.

Ilustração editorial gerada por IA; não é uma fotografia documental.

Fonte: Linux Backdoor Abuses STUN Protocol, Exploits Dozens of Flaws