ClingSTUN transforma dispositivos Linux e IoT em proxies com tráfego STUN
Um backdoor identificado como ClingSTUN está sendo usado para invadir equipamentos Linux e IoT, manter acesso aos sistemas comprometidos e convertê-los em proxies. De acordo com a FortiGuard Labs, o malware combina exploração de vulnerabilidades, mecanismos de persistência e comunicação baseada no protocolo STUN – tecnologia legítima empregada para contornar limitações de conexão causadas por NAT.
A campanha atinge produtos de diferentes fabricantes. Entre as marcas cujas falhas foram exploradas estão Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda e TP-Link. A variedade indica uma operação ampla, sem foco em um único fornecedor, e os pesquisadores observaram sinais de que os operadores podem incorporar novos exploits ao arsenal.
Além das vulnerabilidades usadas para obter acesso inicial, o ClingSTUN contém recursos de autopropagação. Seu código inclui exploits associados a sete empresas ou linhas de produtos: China Mobile, KGUARD, Linksys, LB-LINK, MVPower, Realtek e TBK. Depois de comprometer um dispositivo, o malware pode tentar usar essas falhas para alcançar outros equipamentos vulneráveis.
A infecção pode começar com downloaders que identificam a arquitetura da máquina e buscam a carga maliciosa adequada. Foram observadas versões destinadas a AMD X86-64, ARM, Intel 80386, MIPS R3000 e PowerPC. Essa compatibilidade amplia o conjunto de dispositivos que podem ser atacados, especialmente em ambientes com equipamentos de rede e IoT de diferentes gerações.
Em variantes analisadas do botnet, o comportamento inclui interromper processos de malwares concorrentes, desativar um temporizador de watchdog, preparar a persistência e executar comandos remotos. A interrupção de outros programas maliciosos pode reduzir a concorrência pelo controle do dispositivo, enquanto o acesso remoto permite que os operadores modifiquem as ações realizadas após a invasão.
Para permanecer ativo após reinicializações, o ClingSTUN se copia para dois arquivos ocultos com permissão de execução e acrescenta comandos a três scripts de inicialização do sistema. Assim, a ameaça tenta ser carregada novamente sempre que o dispositivo é ligado. Essa estratégia também pode dificultar a remoção quando a análise se limita à identificação de processos em execução.
A comunicação utiliza STUN, sigla de *Session Traversal Utilities for NAT*. O protocolo permite que um equipamento descubra seu endereço IP público e informações sobre o mapeamento de portas criado pelo NAT, recurso comum em redes domésticas e corporativas. No caso do ClingSTUN, o malware abre um socket UDP, escolhe uma porta local aleatória e envia solicitações STUN de binding para identificar como pode ser alcançado externamente.
Depois dessas trocas, o backdoor transmite periodicamente um identificador de grupo e uma lista de portas mapeadas para os mesmos endpoints STUN. A análise da FortiGuard Labs não encontrou, nesse fluxo, um registro separado em um servidor de coordenação. O malware também monitora pacotes específicos que podem ser usados pelos operadores para executar comandos remotamente ou acionar a propagação para outros dispositivos.
Um aspecto importante para a defesa é que os servidores STUN acessados podem ser serviços públicos legítimos, e não infraestrutura controlada diretamente pelos criminosos. Por isso, uma conexão com esses servidores, isoladamente, não comprova uma infecção. O contexto é decisivo: processos incomuns, comunicações UDP inesperadas e tráfego de manutenção de conexão repetido podem, em conjunto, indicar atividade maliciosa.
Para reduzir o risco, administradores devem manter o firmware de roteadores, câmeras, dispositivos industriais e outros equipamentos conectados atualizado, além de substituir senhas padrão e desativar serviços de administração remota que não sejam necessários. Também é recomendável identificar aparelhos sem suporte do fabricante, restringir o acesso a interfaces de gerenciamento e verificar se portas estão expostas à internet sem justificativa operacional.
A investigação de um possível incidente deve considerar tanto os arquivos quanto os mecanismos de inicialização. Equipes de segurança podem procurar executáveis ocultos, alterações em scripts de boot, processos desconhecidos e conexões UDP recorrentes. Como o malware pode encerrar processos de concorrentes e voltar após uma reinicialização, interromper apenas o processo suspeito pode não ser suficiente para eliminar a ameaça.
Em redes corporativas, a segmentação ajuda a limitar o impacto de um dispositivo comprometido. Equipamentos IoT e sistemas de rede devem permanecer separados de servidores e estações de trabalho sempre que possível, com regras que permitam somente as comunicações necessárias. O monitoramento de tráfego também deve levar em conta o comportamento do dispositivo: uma câmera ou roteador que passa a iniciar conexões externas frequentes pode exigir investigação, mesmo que use protocolos legítimos como STUN.