ClingSTUN Linux后门滥用STUN协议并利用漏洞自传播
概况FortiGuard Labs 报告称，近期发现一个名为 ClingSTUN 的 Linux 后门。该后门以反向连接代理方式运行，会把被感染系统变成使用 STUN（Session Traversal Utilities for NAT）协议的代理节点，并内置自传播漏洞利用。
初始访问与利用
ClingSTUN 利用约二十四个漏洞进行初始访问。其运营商被观察到不加区分地利用 Avtech、EnGenius、D-Link、Hytec、Ivanti、Lantronix、Linear、MeiG、Realtek、Sunhillo、Tenda 和 TP-Link 的漏洞，并且似乎还在扩展其他漏洞利用。自传播机制中还硬编码了针对 China Mobile、KGUARD、Linksys、LB-LINK、MVPower、Realtek 和 TBK 的七个漏洞利用。
持久化与架构适配
为建立持久化，ClingSTUN 将自身复制为两个隐藏文件并赋予可执行权限，然后把启动命令追加到三个系统初始化脚本中。它依赖下载器获取不同架构的恶意载荷，涉及 AMD X86-64、ARM、Intel 80386、MIPS R3000 和 PowerPC。FortiGuard Labs 在三个僵尸网络变体中观察到相同行为：终止竞争对手进程、结束 watchdog 定时器、建立持久化并执行远程命令。
STUN 通信与 C2
ClingSTUN 会建立 UDP socket，绑定随机本地端口，并向 STUN 端点发送标准 STUN binding request 以建立端点连接。完成 STUN binding 交换后，它会周期性向相同 STUN 端点发送 group identifier 和 mapped-port list。报告中未在本路径发现单独的 coordination-server 注册行为。
该后门还会监听特定数据包，使运营商能够执行远程代码和触发自传播。一个值得注意的是它滥用合法公共 STUN 服务器来发现外部 IP 地址和端口映射，从而帮助维持 NAT 连通性。
检测建议
FortiGuard Labs 指出，不应自动把第三方 STUN 服务归类为攻击者控制的基础设施。防御者应把 STUN 活动与可疑进程行为、非预期 UDP 连接以及重复 keepalive 流量结合起来评估。
Re: ClingSTUN Linux后门滥用STUN协议并利用漏洞自传播
感谢楼主整理，这个 ClingSTUN 的案例挺有代表性。它把 STUN 这种本来用于 NAT 穿透的合法协议变成反向代理和 C2 通道，还滥用公共 STUN 服务器来发现外网 IP 和端口映射，这种思路隐蔽性确实不低。更麻烦的是它带自传播，硬编码了针对多个厂商设备的漏洞利用，同时初始访问还不停扩展，说明攻击面主要落在边缘设备和 IoT 上。 持久化那块也值得注意：复制成两个隐藏文件、加可执行权限，再追加到三个初始化脚本，配合多架构下载器，覆盖 x86-64、ARM、386、MIPS、PowerPC，说明它并不是只针对某一种环境。检测上，楼主提到的建议很关键，不能看到 STUN 就一刀切判定恶意，应该把 STUN 活动和可疑进程行为、非预期 UDP 连接、重复 keepalive 流量结合起来看。对内网来说，如果发现边缘设备或服务器有异常公共 STUN 外连，再结合进程和端口映射行为排查，可能会更有效。感谢分享，这类资讯很有参考价值。Re: ClingSTUN Linux后门滥用STUN协议并利用漏洞自传播
感谢分享，这个 ClingSTUN 挺有代表性：不依赖自建 C2 域名，而是混在合法 STUN 流量里，UDP 加随机本地端口，再周期性发 binding request 和 keepalive，边界设备上确实很容易被忽略。更麻烦的是初始访问约 24 个漏洞，自传播里又硬编码 7 个，目标集中在 Avtech、D-Link、Tenda、TP-Link、Realtek 这类路由器、网关和 IoT 设备上，一旦打进内网，扩散速度可能很快。 持久化手法也比较传统但有效：复制两个隐藏文件、给执行权限、写三个系统初始化脚本，还按 AMD X86-64、ARM、Intel 80386、MIPS R3000、PowerPC 拉不同载荷，说明它想覆盖的硬件面很广。三个僵尸网络变体行为一致，终止竞争对手、结束 watchdog、建持久化、执行远程命令，背后的运营模式已经比较成熟。 检测上比较认同报告最后的提醒，不能因为看到 STUN 就直接把第三方服务当成攻击者基础设施。重点还是看可疑进程、非预期 UDP 连接、重复 keepalive 流量，再结合初始化脚本和隐藏文件是否被改动。对设备侧来说，固件更新、关闭公网管理、改默认密码、限制不必要的出站 UDP，应该能挡掉相当一部分利用。Re: ClingSTUN Linux后门滥用STUN协议并利用漏洞自传播
感谢楼主整理，ClingSTUN 这个点挺值得注意：它不是单纯 C2，而是把感染机器变成 STUN 代理节点，还复用合法公共 STUN 服务器做 NAT 连通和端点发现。24 个初始访问漏洞加上自传播里硬编码的 7 个漏洞，目标品牌跨度很大，感觉主要风险还是在公网暴露的 IoT、路由和网关类设备。持久化手法也比较典型，两个隐藏文件加三个初始化脚本，再按不同架构拉载荷。检测那段尤其重要，STUN 本身是正常协议，不能一见第三方 STUN 就当成恶意基础设施，最好结合异常进程、非预期 UDP 连接和重复 keepalive 一起看。如果环境里有 Avtech、D-Link、TP-Link、Tenda、Ivanti 这些设备暴露在公网，确实要优先排查。想问下后续有没有更细的 IOC，比如隐藏文件名、初始化脚本路径或 STUN 端点特征？
页:
[1]