پژوهشگران امنیتی گونه جدیدی از بدافزار لینوکس به نام ClingSTUN را شناسایی کرده‌اند که با بهره‌برداری از فهرستی گسترده از آسیب‌پذیری‌های شناخته‌شده در دستگاه‌های اینترنت اشیاء (IoT)، جای پای خود را در شبکه‌های سازمانی تثبیت می‌کند.
استفاده هوشمندانه از پروتکل STUN برای پنهان‌سازی
ویژگی متمایز این بدافزار، استفاده از سرورهای عمومی و قانونی STUN (Session Traversal Utilities for NAT) است. این پروتکل به‌طور معمول برای کمک به دستگاه‌های پشت فایروال و NAT جهت برقراری ارتباط در اینترنت استفاده می‌شود. ClingSTUN با سوءاستفاده از این زیرساخت، ارتباطات خود با دستگاه‌های آلوده را در ترافیک عادی اینترنت پنهان کرده و باعث می‌شود شناسایی زیرساخت مهاجمان برای سیستم‌های دفاعی دشوار شود.
هدف قرار دادن زنجیره‌ای از آسیب‌پذیری‌ها
تحلیل‌های آزمایشگاه FortiGuard نشان می‌دهد که این بدافزار از حداقل ۲۴ آسیب‌پذیری شناخته‌شده برای نفوذ اولیه استفاده می‌کند. این آسیب‌پذیری‌ها طیف وسیعی از تجهیزات از جمله روترها، سیستم‌های نظارتی و تجهیزات صنعتی برندهایی نظیر D-Link، Realtek، Ivanti و TP-Link را تحت تأثیر قرار داده‌اند.
- نفوذ اولیه: استفاده از نقص‌های Command Injection (مانند CVE-2021-36380 و CVE-2026-36356) برای دسترسی به دستگاه‌های اکسپوز شده.
- انتشار داخلی: پس از استقرار، ClingSTUN از اکسپلویت‌های Hard-coded برای ۷ آسیب‌پذیری دیگر استفاده می‌کند تا از یک دستگاه آلوده به سایر سیستم‌های IoT در شبکه سرایت کند.
ریسک‌های عملیاتی و امنیتی
دستگاه‌های آلوده توسط ClingSTUN به عنوان Proxy Node عمل می‌کنند. این بدان معناست که مهاجم می‌تواند ترافیک مخرب خود را از طریق IP عمومی سازمان عبور دهد، که منجر به پیامدهای زیر می‌شود:
- قرار گرفتن IP سازمان در لیست‌های سیاه (Blocklisting).
- آسیب به اعتبار سازمان و مصرف غیرعادی پهنای باند.
- امکان دسترسی مهاجم به مقاصد داخلی شبکه در صورت نبود بخش‌بندی (Segmentation) مناسب.
راهکارهای مقابله و شناسایی
به دلیل استفاده از سرورهای قانونی STUN، مسدود کردن کلی این سرورها توصیه نمی‌شود زیرا ممکن است سرویس‌های VoIP و WebRTC را مختل کند. در عوض، تیم‌های SOC باید بر رفتارهای غیرعادی تمرکز کنند، مانند:
- ارتباطات غیرمنتظره یک دستگاه IoT با تعداد زیادی از End-pointهای STUN.
- باز شدن چندین UDP Socket به صورت همزمان.
- ارسال پیام‌های سفارشی حاوی Group Identifier و لیست پورت‌های مپ شده.
توصیه می‌شود سازمان‌ها سریعاً نسخه‌های Firmware دستگاه‌های خود را به‌روزرسانی کرده، دسترسی مستقیم این تجهیزات به اینترنت را محدود نموده و از Gatewayهای امن با احراز هویت چندعاملی (MFA) استفاده کنند.
