4分钟阅读来源：Nikola Fific via Shutterstock 研究人员发现了一种新的Linux恶意软件变种，它利用越来越多已知的物联网（IoT）设备漏洞，在企业网络上保持持久的立足点。该恶意软件特别值得注意的是，它使用合法的公共STUN服务器来帮助与被攻陷设备保持连接，使攻击者能够在其他合法的互联网流量中掩盖其基础设施。STUN是一种协议，帮助位于防火墙和NAT后面的设备通过互联网相互连接。
恶意软件针对越来越多的IoT漏洞 Fortinet的FortiGuard Labs研究人员在追踪针对至少24个已知物联网设备漏洞的攻击后，识别出了这种恶意软件，他们将其称为“ClingSTUN”。这些漏洞影响了包括路由器、网络设备、监控系统和来自D-Link、Realtek、Ivanti和TP-Link等制造商的工业系统在内的广泛互联网连接设备。该组中最古老的是2021年修补的命令注入漏洞（CVE-2021-36380），存在于FAA和其他航空管理机构使用的Sunhillo SureLine监控数据分发软件中。最新的是今年早些时候的命令注入缺陷（CVE-2026-36356），影响MeiG Smart FORGE_SLT711设备。
FortiGuard分析师Vincent Li表示，威胁行为者正在通过多次攻击波部署ClingSTUN，利用快速扩展的漏洞列表来获取对暴露设备的访问。在FortiGuard观察到的攻击中，恶意软件使用合法的公共STUN服务器作为一种网络中介，以确定感染设备在互联网上的表现以及哪些端口可以从外部访问，Li写道。
利用合法的STUN服务器 ClingSTUN定期将该信息发送回STUN服务器。FortiGuard没有发现参与此过程的传统指挥和控制服务器，也尚未确定攻击者如何利用连接信息与感染设备进行通信。“在此路径中未发现单独的协调服务器注册，操作员如何获得外部映射并通过NAT传递控制流量仍未得到验证，”Li说。
一旦安装，ClingSTUN会在被攻陷的系统上建立持久性。除了其持久性机制外，该恶意软件还包括针对七个额外漏洞的硬编码利用，这些漏洞可用于从被感染设备传播到其他易受攻击的物联网系统。这些缺陷与24个启用初始访问的缺陷是独立的，影响来自Realtek、MVPower、TBK、Linksys、LB-LINK、中国移动和KGUARD的设备。这些漏洞中最古老的是2014年在Realtek设备中的CVE-2014-8361，最新的是今年早些时候在KGUARD DVR中的CVE-2026-87827，属于远程代码执行漏洞。
在对Dark Reading的评论中，Li表示ClingSTUN展示了易受攻击的面向互联网的Linux和IoT设备如何成为恶意代理操作的基础设施。“它利用多个漏洞进行交付，突显了维护准确设备清单、减少不必要的互联网暴露以及及时更新固件和软件的重要性，”Li说。“企业还应监控这些设备的出站通信。”
被ClingSTUN攻陷的设备可以作为中介，通过该中介攻击者可以路由流量，可能使恶意活动看起来源自企业的公共IP地址。“这会带来IP被列入黑名单、声誉损害、带宽消耗和运营中断的风险，”Li指出。“根据路由和分段，该设备还可能提供对其可以访问的内部目标的访问。”
缓解威胁 ClingSTUN使用STUN服务器可能使其活动难以与需要发现其外部网络映射的应用程序和设备的合法使用区分开来，Li补充道。因此，盲目阻止公共STUN服务器以应对ClingSTUN威胁可能会干扰合法服务。因此，检测应“关注行为是否符合设备的角色——例如，意外与多个STUN端点的通信、多个UDP套接字以及包含组标识符和映射端口列表的重复自定义消息，”Li说。
Li还补充说，组织应识别所有受漏洞影响的型号和固件版本，并及时应用供应商支持的更新。在组织可能无法立即更新的情况下，他们应在操作上可行的情况下，消除直接的互联网暴露或禁用易受攻击的服务。Li还建议组织通过受信任的管理网络或带有多因素身份验证的安全网关限制对物联网设备的访问，同时通过网络分段将其隔离，并限制入站和出站流量。
Viakoo的副总裁John Gallagher表示，ClingSTUN是操作技术（OT）和物联网设备仍然是企业脆弱软肋的教科书例子。“当组织仍然在网络连接的边缘硬件上留下已知漏洞未修补时，威胁行为者不需要新的零日漏洞，”他说。
ClingSTUN的危险之处不仅在于其多架构利用链，还在于其利用现有网络伪装，Gallagher补充道。“通过搭载合法的公共STUN服务器，该恶意软件使恶意流量看起来像日常的VoIP和WebRTC通信，同时杀死监控程序并隐藏在根进程后面。”
周边防御和静态EDR不足以应对，因为许多这些设备对它们来说几乎是不可见的。“在组织弥合漏洞发现与自动化、大规模固件修复之间的差距之前，OT/IoT资产将仍然容易受到攻击，”Gallagher说。