گزارش‌های اخیر FortiGuard Labs نشان‌دهنده ظهور یک بک‌دور (Backdoor) جدید برای سیستم‌های لینوکس است که با نام ClingSTUN شناخته می‌شود. این بدافزار سیستم‌های عفونی را به پروکسی‌هایی تبدیل می‌کند که از پروتکل STUN (Session Traversal Utilities for NAT) برای دور زدن محدودیت‌های شبکه استفاده می‌کنند.
مکانیزم دسترسی و گسترش
بک‌دور ClingSTUN برای دسترسی اولیه، ده‌ها آسیب‌پذیری در تجهیزات مختلف را هدف قرار می‌دهد. این بدافزار از اکسپلویت‌های (Exploits) متعددی برای نفوذ به دستگاه‌های برندهای زیر استفاده کرده است:
- Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda, and TP-Link
علاوه بر این، ClingSTUN دارای یک مکانیزم خود-انتشاری (Self-propagation) است که شامل اکسپلویت‌های سخت‌افزاری برای آسیب‌پذیری‌های هفت برند دیگر از جمله China Mobile، Linksys و Realtek می‌باشد.
ویژگی‌های فنی و تداوم در سیستم
این بدافزار برای تضمین اجرا در هنگام بوت سیستم، مکانیزم‌های تداوم (Persistence) پیچیده‌ای را پیاده‌سازی می‌کند. ClingSTUN خود را در دو فایل مخفی با دسترسی اجرایی کپی کرده و دستورات استارت‌آپ را به سه اسکریپت مقداردهی اولیه سیستم اضافه می‌کند.
از نظر معماری، این بدافزار از طریق Downloaderهایی، Payloadهای متناسب با معماری‌های مختلف از جمله AMD X86-64، ARM، Intel 80386، MIPS R3000 و PowerPC را دریافت می‌کند.
سوءاستفاده از پروتکل STUN
یکی از ویژگی‌های متمایز این بدافزار، استفاده از سرورهای عمومی و قانونی STUN برای شناسایی IPهای خارجی و نگاشت پورت‌ها (Port Mappings) است تا اتصال NAT را حفظ کند. این رویکرد باعث می‌شود ترافیک بدافزار در ابتدا مشابه ترافیک‌های عادی به نظر برسد.
کارشناسان هشدار می‌دهند که به دلیل استفاده از سرویس‌های شخص ثالث، نباید صرفاً بر اساس مقصد ترافیک STUN تصمیم‌گیری کرد؛ بلکه باید فعالیت‌های STUN را در کنار رفتارهای مشکوک پردازش‌ها، اتصالات UDP غیرمنتظره و ترافیک‌های Keepalive مکرر تحلیل کرد.
قابلیت‌های عملیاتی
تحلیل‌ها نشان می‌دهد که ClingSTUN قادر است:</n
- پردازش‌های مربوط به بدافزارهای رقیب را متوقف کند.
- یک Watchdog Timer را برای مدیریت اجرای خود فعال کند.
- دستورات را از راه دور اجرا کرده و قابلیت RCE (Remote Code Execution) را برای اپراتورها فراهم آورد.
