یک بات‌نت جدید در حوزه اینترنت اشیاء (IoT) به نام Cling شناسایی شده است که ارتباطات فرمان و کنترل (C2) خود را در قالب ترافیک قانونی STUN مخفی می‌کند. این بدافزار حتی از بسته‌هایی استفاده می‌کند که به نظر می‌رسد از زیرساخت‌های عمومی STUN گوگل ارسال شده‌اند تا شناسایی نشود.
مکانیسم حمله و بهره‌برداری
این کمپین با هدف‌گیری آسیب‌پذیری بحرانی CVE-2021-35394 آغاز می‌شود؛ یک نقص اجرای کد از راه دور (RCE) در مؤلفه تشخیص SDK Jungle شرکت Realtek که معمولاً به عنوان UDPServer کامپایل می‌شود. این آسیب‌پذیری نسخه‌های 2.0 تا 3.4.14B را تحت تأثیر قرار داده و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت، دستورات دلخواه خود را روی دستگاه‌های در معرض دید اجرا کنند.
مهاجمان با ارسال بسته‌های UDP که با عبارت orf; شروع می‌شوند، دستورات Shell را اجرا کرده و سپس با استفاده از wget، یک فایل باینری مخرب را دریافت و اجرا می‌کنند. پس از سرایت اولیه، Cling از اکسپلویت‌های داخلی برای گسترش حمله به سایر سخت‌افزارهای آسیب‌پذیر از جمله روترهای LB-LINK، DVRهای TBK، تجهیزات Linksys و دستگاه‌های FiberHome استفاده می‌کند.
تثبیت حضور و تکنیک‌های پنهان‌سازی
- تثبیت (Persistence): این بدافزار مبتنی بر MIPS، خود را در مسیرهای
/root/.clingو/usr/local/bin/.clingکپی کرده و ورودی‌های استارت‌آپ را در فایل‌های/etc/inittabو/etc/rc.d/rc.bootتغییر می‌دهد تا پس از ری‌بوت دستگاه، مجدداً اجرا شود. - جایگزینی wget: بدافزار با تغییر نام باینری اصلی
wgetبهwget.rو جایگزینی آن با نسخه مخرب خود، باعث می‌شود هر بار که کاربر یا سیستمی از این ابزار استفاده کند، بدافزار ابتدا اجرا شود.
تحلیل کانال C2 مبتنی بر STUN
ویژگی متمایز Cling، استفاده از پروتکل STUN برای ارتباط با سرور C2 است. از آنجایی که ترافیک STUN توسط پلتفرم‌های ارتباطی مانند Zoom، Microsoft Teams و WebRTC برای عبور از NAT استفاده می‌شود، این ترافیک در شبکه‌های سازمانی کمتر مورد توجه قرار می‌گیرد.
این بات‌نت هر پنج ثانیه یک درخواست Binding STUN به سرورهای عمومی ارسال می‌کند، اما برخلاف استاندارد RFC 8489، از یک Transaction ID تماماً صفر استفاده می‌کند. تحلیلگران دریافته‌اند که مهاجمان از تکنیک UDP Source-Address Spoofing استفاده می‌کنند تا دستورات C2 را به گونه‌ای ارسال کنند که گویی از سمت stun.l.google.com آمده‌اند.
توصیه‌های امنیتی
به مدیران SOC و مهندسان امنیت توصیه می‌شود اقدامات زیر را به سرعت اجرا کنند:
- به‌روزرسانی یا ایزوله‌سازی دستگاه‌هایی که در معرض آسیب‌پذیری CVE-2021-35394 هستند.
- مانیتورینگ ترافیک شبکه برای شناسایی درخواست‌های مکرر STUN Binding با Transaction ID صفر.
- جست‌وجو (Hunting) در سیستم‌های لینوکسی تعبیه شده برای یافتن فایل‌های
.cling،wget.rو تغییرات غیرمنتظره در اسکریپت‌های Init.
