Злоумышленники пытаются использовать устраненный критический уязвимость в наборе инструментов разработки программного обеспечения Realtek Jungle SDK для развертывания ботнет-вредоноса под названием Cling.
«Cling примечателен не тем, что он вводит новую технику распространения, а тем, что он перепрофилирует обычное поведение STUN в практический канал управления и контроля», — говорится в отчете Nozomi Networks, опубликованном на прошлой неделе. «В результате получается ботнет, трафик которого может напоминать обычную активность NAT-обхода, при этом он по-прежнему поддерживает команды распространения, проксирования, туннелирования и отказа в обслуживании».
Компания, специализирующаяся на безопасности операционных технологий (OT), сообщила, что наблюдала всплеск попыток эксплуатации CVE-2021-35394 (оценка CVSS: 9,8), критической уязвимости удаленного выполнения кода (RCE) в Realtek Jungle SDK, начиная примерно с 5 сентября 2026 года, причем часть этой активности связана с распространением Cling.
Анализ образца вредоносного ПО показал, что он содержит логику эксплуатации различных уязвимостей внедрения команд и RCE, затрагивающих маршрутизаторы и видеорегистраторы от нескольких поставщиков.
«Проверка на единственную копию, чтобы запускалась только одна копия, включает привязку сокета с SO_REUSEADDR к порту 33957 и чистое завершение работы в случае сбоя», — заявили в Nozomi Networks. «Образец копирует себя в /root/.cling и /usr/local/bin/.cling. Оба исполняемых файла добавляются в /etc/inittab, /etc/init.d/rcS, /etc/rc.d/rc.boot, тем самым обеспечивая постоянство в системах инициализации SysV и BusyBox».
Альтернативный механизм обеспечения постоянства включает идентификацию бинарного файла wget в зараженной системе и его замену вредоносным ПО, но только после перемещения оригинала в другое место. Это, в свою очередь, приводит к выполнению вредоносного ПО при вызове команды «wget» легитимным процессом.
Заметным аспектом Cling является злоупотребление безобидным на вид трафиком STUN и общедоступной инфраструктурой STUN для регистрации зараженных хостов, получения команд оператора и снижения заметности вредоносной активности с точки зрения сетевого мониторинга.
STUN, сокращение от Session Traversal Utilities for Network Address Translation (NAT), представляет собой стандартизированный сетевой протокол, предназначенный для помощи устройствам, находящимся за NAT или брандмауэром, в установлении одноранговых коммуникаций в реальном времени.
В частности, вредоносное ПО следует четырехэтапному процессу для связи с командным центром (C2).
«С точки зрения сетевого мониторинга активность выглядит как безобидное взаимодействие с серверами STUN», — заявили в Nozomi Networks. «Учитывая, что пользовательское сообщение регистрации отправляется на каждый сервер STUN из списка, очевидно, что оператору требуется видимость хотя бы одного из серверов, чтобы отслеживать новые боты, присоединяющиеся к рою, и знать, куда отправлять команды».
Стоит отметить, что эти сообщения регистрации не соответствуют определению протокола STUN, что приводит к тому, что легитимные серверы STUN отбрасывают пакет. Однако один из 13 серверов («145.249.115[.]184»), как сообщается, вернул идентификатор транзакции, состоящий из одних нулей, вместо того, чтобы отразить идентификатор транзакции исходного запроса на привязку в ответе об успехе привязки.
Это необычное поведение, по данным Nozomi, предполагает, что сервер STUN настроен на собственный STUN-трафик бота и используется для отправки команд, выданных оператором, на зараженное устройство путем встраивания их в поле идентификатора транзакции STUN.
Команды позволяют злоумышленнику рекурсивно сканировать и расширять масштаб ботнета подобно червю, запускать/останавливать TCP-туннель, запускать/останавливать прокси и выполнять атаку отказа в обслуживании (DoS) против указанной цели в течение заданного времени. Ниже приведены некоторые цели атак с переполнением.
«Самая интересная часть трафика C2 — это то, откуда, казалось бы, исходили команды», — пояснили в Nozomi Networks. «Пакеты, несущие команды оператора, исходят от 74.125.250[.]129, IP-адреса, на который разрешается stun.l.google.com».
«Другими словами, оператор не просто скрывает команды внутри пакета, похожего на STUN, но и делает так, чтобы эти команды выглядели как легитимные ответы от одной из самых узнаваемых служб STUN в Интернете».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
