واحد FortiGuard Labs یک بک‌دور (Backdoor) جدید در محیط لینوکس شناسایی کرده است که با بهره‌برداری از آسیب‌پذیری‌های شناخته‌شده در دستگاه‌های متصل به اینترنت، سیستم‌های قربانی را به گره‌های پروکسی (Proxy Nodes) تحت کنترل از راه دور تبدیل می‌کند.
ویژگی‌ها و قابلیت‌های بدافزار ClingSTUN
این بدافزار که ClingSTUN نام own دارد، از قابلیت اجرای دستورات از راه دور (Remote Command Execution) پشتیبانی کرده و می‌تواند دسترسی خود را پس از ری‌بوت (Reboot) سیستم حفظ کند. نکته حائز اهمیت این است که ClingSTUN برای برقراری ارتباط از طریق NAT (Network Address Translation)، از سرورهای عمومی و قانونی STUN استفاده می‌کند.
مسیر دسترسی اولیه و گسترش
بر اساس گزارش‌های منتشر شده، عامل تهدید در این کمپین از حدود ۲۴ آسیب‌پذیری در محصولات مختلف برندهای شبکه و IoT بهره‌برداری کرده است. علاوه بر این، هفت اکسپلویت (Exploit) Hardcoded در بدنه بدافزار یافت شده که به ClingSTUN اجازه می‌دهد به طور خودکار در شبکه گسترش یافته و دستگاه‌های آسیب‌پذیر دیگر را هدف قرار دهد.
تحلیل‌های فنی نشان می‌دهد که دانلودرهای این بدافزار قادرند ClingSTUN را روی معماری‌های مختلف پردازنده از جمله AMD x86-64، ARM، Intel 80386، MIPS R3000 و PowerPC نصب کنند. این تنوع معماری، طیف گسترده‌ای از تجهیزات شبکه و دستگاه‌های IoT مبتنی بر لینوکس را در معرض خطر قرار می‌دهد.
مکانیسم ارتباطی و استفاده از پروتکل STUN
پس از سرایت به دستگاه، ClingSTUN یک UDP Socket ایجاد کرده و آن را به یک پورت محلی تصادفی متصل می‌کند. سپس درخواست‌های Binding استاندارد را به سرورهای عمومی STUN ارسال می‌کند. پروتکل STUN (Session Traversal Utilities for NAT) معمولاً در سرویس‌هایی مانند VoIP و WebRTC برای شناسایی IP عمومی و نگاشت پورت‌ها استفاده می‌شود.
بدافزار از این فرآیند برای شناسایی نحوه دریافت اتصالات خارجی در شبکه محلی استفاده می‌کند. از آنجایی که سرورهای STUN مورد استفاده، سرویس‌های قانونی هستند، حضور آن‌ها در لاگ‌های شبکه به تنهایی نشان‌دهنده تخریب یا کنترل این سرورها توسط مهاجم نیست، بلکه بدافزار صرفاً از زیرساخت آن‌ها برای دور زدن محدودیت‌های شبکه استفاده می‌کند.
پایداری و تحلیل فنی
این بدافزار خود را در قالب دو فایل اجرایی مخفی کپی کرده و دستورات استارت‌آپ را به سه اسکریپت مقداردهی اولیه سیستم اضافه می‌کند تا پس از هر بار بوت شدن، مجدداً فعال شود. نسخه‌های شناسایی شده قادرند:
- پروسه‌های مربوط به بدافزارهای رقیب را متوقف کنند.
- در عملکرد Watchdog Timer دستگاه اختلال ایجاد کنند.
- بسته‌های خاصی را از اپراتور دریافت کرده و دستورات RCE را اجرا کنند.
- شبکه را برای یافتن سیستم‌های آسیب‌پذیر دیگر اسکن نمایند.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این تهدید، توصیه می‌شود اقدامات زیر صورت گیرد:
- بررسی دستگاه‌های متصل به اینترنت برای یافتن پروسه‌های مخفی و تغییرات در فایل‌های Startup.
- مانیتورینگ اتصالات UDP غیرمعمول و ترافیک مکرر Keepalive به سرورهای STUN.
- به‌روزرسانی سریع Firmware تجهیزات و محدود کردن سرویس‌هایی که نیاز به دسترسی عمومی ندارند.
- ایزوله کردن یا جایگزینی تجهیزاتی که به پایان عمر پشتیبانی (End-of-Life) رسیده‌اند.
