4 минуты чтения Источник: Никола Фифич через Shutterstock Исследователи обнаружили новый штамм вредоносного ПО для Linux, который использует растущий список известных уязвимостей в устройствах Интернета вещей (IoT), чтобы поддерживать постоянное присутствие в корпоративных сетях. Что делает это вредоносное ПО особенно примечательным, так это его использование легитимных публичных STUN-серверов для поддержания связи с скомпрометированными устройствами, позволяя злоумышленникам скрывать свою инфраструктуру в иначе легитимном интернет-трафике. STUN — это протокол, который помогает устройствам за межсетевыми экранами и NAT соединяться друг с другом через Интернет.
Вредоносное ПО нацелено на растущий список уязвимостей IoT Исследователи Fortinet’s FortiGuard Labs идентифицировали вредоносное ПО, которое они назвали "ClingSTUN", после отслеживания атак, нацеленных на как минимум 24 известные уязвимости в устройствах IoT. Эти уязвимости затрагивают широкий спектр интернет-соединенных устройств, включая маршрутизаторы, сетевое оборудование, системы видеонаблюдения и промышленные системы от производителей, таких как D-Link, Realtek, Ivanti и TP-Link.
Старейшая из уязвимостей — это давно исправленная уязвимость командной инъекции 2021 года (CVE-2021-36380) в программном обеспечении для распределения данных видеонаблюдения Sunhillo SureLine, используемом FAA и другими авиационными властями. Самая последняя — это уязвимость командной инъекции с начала этого года (CVE-2026-36356), которая затрагивает устройства MeiG Smart FORGE_SLT711.
Аналитик FortiGuard Винсент Ли сообщил, что злоумышленники развертывают ClingSTUN в нескольких волнах атак, используя быстро расширяющийся список уязвимостей для получения доступа к открытым устройствам. В атаках, которые наблюдал FortiGuard, вредоносное ПО использовало легитимные публичные STUN-серверы в качестве своеобразного сетевого посредника, чтобы выяснить, как инфицированное устройство выглядит в Интернете и какие порты доступны извне, написал Ли.
Использование легитимных STUN-серверов ClingSTUN периодически отправлял эту информацию обратно на STUN-серверы. FortiGuard не обнаружил традиционного сервера командования и управления, вовлеченного в этот процесс, и не установил точно, как злоумышленники используют информацию о подключении для связи с инфицированными устройствами. "Не было выявлено отдельной регистрации координационного сервера на этом пути, и как оператор получает внешнее отображение и передает управляющий трафик через NAT, остается неподтвержденным," — сказал Ли.
После установки ClingSTUN устанавливает постоянное присутствие на скомпрометированной системе. В дополнение к своему механизму постоянства, вредоносное ПО также включает жестко закодированные эксплойты для семи дополнительных уязвимостей, которые оно может использовать для распространения с инфицированного устройства на другие уязвимые IoT-системы.
Эти уязвимости отличаются от 24, которые обеспечивают начальный доступ и затрагивают устройства от Realtek, MVPower, TBK, Linksys, LB-LINK, China Mobile и KGUARD. Самая старая из этих уязвимостей — это CVE-2014-8361 2014 года в устройстве Realtek, а самая последняя — CVE-2026-87827, уязвимость удаленного выполнения кода в KGUARD DVR с начала этого года.
В комментариях к Dark Reading Ли говорит, что ClingSTUN демонстрирует, как уязвимые Linux- и IoT-устройства, находящиеся в сети, могут стать инфраструктурой для злонамеренных прокси-операций. "Использование множества уязвимостей для доставки подчеркивает важность поддержания точного инвентаря устройств, сокращения ненужного интернет-экспонирования и своевременного обновления прошивки и программного обеспечения," — говорит Ли. "Корпорациям также следует контролировать исходящие коммуникации от этих устройств."
Устройство, которое ClingSTUN компрометирует, может служить промежуточным звеном, через которое злоумышленник может маршрутизировать трафик, потенциально заставляя злонамеренную активность выглядеть так, будто она исходит от публичного IP-адреса предприятия. "Это создает риски блокировки IP, репутационного ущерба, потребления полосы пропускания и операционных сбоев," — указывает Ли. "В зависимости от маршрутизации и сегментации, устройство также может предоставить доступ к внутренним ресурсам, к которым оно может добраться."
Снижение угрозы Использование ClingSTUN STUN-серверов может сделать его активность трудноотличимой от легитимного использования приложениями и устройствами, которым необходимо обнаруживать свои внешние сетевые отображения, добавляет Ли. Поэтому неразборчивое блокирование публичных STUN-серверов для решения проблемы ClingSTUN может нарушить легитимные услуги. Обнаружение должно, следовательно, "сосредоточиться на том, соответствует ли поведение роли устройства — например, неожиданная связь с множеством STUN-узлов, множественными UDP-сокетами и повторяющимися пользовательскими сообщениями, содержащими идентификатор группы и список сопоставленных портов," — говорит Ли.
Ли добавляет, что организациям следует идентифицировать все модели и версии прошивки, на которые влияют уязвимости, и своевременно применять обновления, поддерживаемые производителем. В ситуациях, когда организация может не обновить сразу, им следует устранить прямое интернет-экспонирование или отключить уязвимую службу, где это возможно. Ли также рекомендует организациям ограничить доступ к IoT-устройствам через доверенные управляемые сети или безопасные шлюзы с MFA, изолируя их через сетевую сегментацию и ограничивая входящий и исходящий трафик.
Джон Галлахер, вице-президент Viakoo, говорит, что ClingSTUN является классическим примером того, как операционные технологии (OT) и IoT-устройства остаются уязвимым местом предприятия. "Злоумышленникам не нужны новые нулевые дни, когда организации все еще оставляют известные уязвимости неустраненными на подключенном к сети оборудовании," — говорит он.
Что делает ClingSTUN опасным, так это не только цепочка эксплойтов для нескольких архитектур, но и его маскировка в сети, использующая легитимные ресурсы, добавляет Галлахер. "Пользуясь легитимными публичными STUN-серверами, вредоносное ПО заставляет злонамеренный трафик выглядеть как повседневные VoIP и WebRTC-коммуникации, одновременно убивая системы мониторинга и скрываясь за процессами с правами root."
Оборонительные меры на периметре и статическая EDR недостаточны, поскольку многие из этих устройств в значительной степени невидимы для них. "Пока организации не преодолеют разрыв между обнаружением уязвимостей и автоматизированным, масштабным исправлением прошивки, активы OT/IoT останутся легко уязвимыми," — говорит Галлахер.