威胁行为者已被观察到试图利用现已修补的影响 Realtek Jungle 软件开发工具包 (SDK) 的关键安全漏洞来部署名为 Cling 的僵尸网络恶意软件。
“Nozomi Networks 在上周发布的报告中表示：“Cling 的显著之处不在于它引入了一种新的传播技术，而在于它将普通的 STUN 行为重新利用为一个实用的指挥与控制通道。结果是一个其流量可以类似于合法的 NAT 穿越活动的僵尸网络，同时仍然支持传播、代理、隧道和拒绝服务命令。”
这家运营技术 (OT) 安全公司表示，它观察到自 2026 年 9 月 5 日左右开始，利用 CVE-2021-35394（CVSS 分数：9.8）这一影响 Realtek Jungle SDK 的关键远程代码执行 (RCE) 漏洞的尝试激增，其中一部分活动交付了 Cling。
对恶意软件样本的分析发现，它嵌入了针对多个供应商的路由器和 DVR 的各种命令注入和 RCE 漏洞的利用逻辑 -
Realtek SDK RCE (CVE-2014-8361)
Eir D1000 路由器 RCE (CVE-2016-10372)
MVPower CCTV DVR RCE (CVE-2016-20016)
LB-LINK 路由器 RCE (CVE-2023-26801)
FiberHome SR1041F 路由器 / 中国移动 HG6543C4 RCE (CVE-2023-41011)
TBK DVR RCE (CVE-2024-3721)
Linksys RCE (CVE-2025-34037)
“Nozomi Networks 表示：“单实例检查仅运行一个副本涉及将套接字绑定到端口 33957 并在失败时干净退出。样本将自身复制到 /root/.cling 和 /usr/local/bin/.cling。两个可执行文件都附加到 /etc/inittab、/etc/init.d/rcS、/etc/rc.d/rc.boot，从而在 SysV 和 BusyBox 初始化系统上实现持久性。”
另一种持久性机制涉及识别感染系统上的 wget 二进制文件，然后用恶意软件替换它，但在此之前将原始文件移动到另一个位置。这反过来导致恶意软件在合法进程调用“wget”命令时被执行。
Cling 的一个显著方面是其滥用看似无害的 STUN 流量和公共 STUN 基础设施来注册感染主机、接收操作命令，并使恶意活动在网络监控的角度上不那么明显。
STUN，即网络地址转换 (NAT) 会话穿越实用程序，是一种标准化的网络协议，旨在帮助位于 NAT 或防火墙后面的设备建立点对点实时通信。
具体而言，该恶意软件遵循四个步骤进行指挥与控制 (C2) 通信 -
每大约 5 秒向一个硬编码的 13 个 STUN 服务器列表发送 STUN 绑定请求。事务 ID 按照规范设置为全零，而不是随机值。
记录这些服务器在收到包含端点公共 IP 地址和相关端口号的绑定成功响应消息时返回的外部观察端口。
向每个服务器发送自定义注册消息（即 UDP 数据报），其中包括映射的端口和标记，表示设备是如何被感染的（例如，realtek.selfrep，selfrep.router）。
轮询编码操作命令的 UDP 数据包，这些命令在 STUN 事务 ID 字段中。
“Nozomi Networks 表示：“从网络监控的角度来看，该活动看起来像是与 STUN 服务器的无害交互。鉴于自定义注册消息被发送到列表中的每个 STUN 服务器，很明显，操作员需要至少对其中一个服务器有可见性，以便跟踪新加入僵尸网络的机器人，以便知道向哪里发送命令。”
值得注意的是，这些注册消息不符合 STUN 协议定义，导致合法的 STUN 服务器丢弃该数据包。然而，据称 13 个服务器中的一个（“145.249.115[.]184”）返回了全零的事务 ID，而不是在绑定成功响应中回显原始绑定请求的事务 ID。
根据 Nozomi 的说法，这种不寻常的行为表明 STUN 服务器是专门针对机器人的 STUN 流量，并且它用于通过将命令嵌入 STUN 事务 ID 字段来向感染设备发送操作员发布的命令。
这些命令允许威胁行为者以蠕虫式的方式递归扫描和扩展僵尸网络的规模，生成/停止 TCP 隧道，启动/停止代理，并对指定目标执行拒绝服务 (DoS) 攻击，持续一段时间。以下是一些洪水攻击的目标 -
112.151.157[.]222:8080（韩国 ISP）
192.170.240[.]137:53（芝加哥大学集群）
23.81.40[.]193:25565（Minecraft）
147.185.221[.]129:25565（Minecraft）
“Nozomi Networks 解释道：“C2 流量中最有趣的部分是命令似乎来自哪里。携带操作命令的数据包来自 74.125.250[.]129，这是 stun.l.google.com 解析的 IP 地址。”
“换句话说，操作员不仅仅是在 STUN 似的包中隐藏命令，而是让这些命令看起来像是来自互联网上最知名的 STUN 服务之一的合法回复。”
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。