ClingSTUN превращает уязвимые сетевые устройства в прокси-узлы через публичные STUN-сервисы

Прокси-узел работает просто. Заражённое устройство само связывается с внешним сервером злоумышленника, а не ждёт подключения извне. Обратный канал выходит наружу, поэтому сетевые экраны, блокирующие входящие соединения, такую активность почти не ограничивают. Через захваченное устройство оператор направляет атаки на другие цели и скрывает свои адреса. Владелец техники оплачивает чужой трафик, а адрес его сети со временем попадает в чёрные списки. Такой доступ удобен для атакующего: он не привязан к одной уязвимости и сохраняется после перезагрузки.

Проникновение почти всегда идёт через веб-интерфейс устройства. Злоумышленник отправляет на него специально составленный запрос, и тот выполняется как системная команда. Владелец при этом видит обычное обращение к странице настроек. Ни пароль, ни дополнительная проверка не помогают: устройства такого класса редко умеют ограничивать подобные запросы. Отсюда и упор атакующих на открытые наружу панели управления.

Первое заражение, по данным FortiGuard Labs, произошло после эксплуатации уязвимости CVE-2022-36553 - ошибки при обработке команд в маршрутизаторах Hytec Inter HWL-2511-SS. Кампания развивалась волнами, и каждая приносила новый источник загрузки. На первом этапе программа скачивалась с одного узла и продержалась всего два дня. Второй этап расширил арсенал: появилась ошибка в облачном сервисе EnGenius (CVE-2025-34035). Рядом встала уязвимость протокола автоматического обнаружения устройств в локальной сети (UPnP) в оборудовании D-Link (CVE-2024-23625). Третий этап подключил ещё больше точек входа - прошивки Realtek и TP-Link, устройства AVTECH, Tenda, Lantronix и Ivanti.

Загрузчик подбирает сборку под процессор устройства: отдельные версии существуют для ARM, MIPS, PowerPC и x86. К третьему этапу он научился сначала проверять подключённые файловые системы и останавливать процессы, которые могут помешать установке.

Отдельного внимания заслуживает способ связи с оператором. STUN - это набор легальных серверов. Они помогают устройствам, спрятанным за системами трансляции сетевых адресов, узнавать свой внешний адрес и порт. На эту публичную инфраструктуру программа и опирается. Короткие служебные запросы уходят туда регулярно, а такой же трафик создают интернет-телефония и видеосвязь. Отличить его от обычного потока трудно. Ранняя версия проверяла 24 публичных сервера и довольствовалась половиной успешных ответов. Поздняя оставила 13, зато требует отклика от каждого. Сторонние сервисы при этом не принадлежат злоумышленникам, поэтому блокировать их целиком нельзя - пострадает обычная связь.

Внутри заражённого устройства программа действует жёстко. Она отключает сторожевой таймер - механизм, перезагружающий зависшую систему, - чтобы её работа не прерывалась. Затем просматривает список запущенных процессов и уничтожает чужие вредоносные программы, захватившие ту же машину. Закрепление строится на копировании себя в служебные каталоги и прописывании автозапуска при загрузке. Последний шаг - маскировка: программа очищает собственную командную строку и подставляет вместо сведений о себе данные системного процесса инициализации. В списке задач её тогда почти не видно.

Команды приходят короткими сообщениями. Получив такое сообщение, программа открывает исходящее соединение с указанным узлом, забирает оттуда инструкцию и выполняет её на месте. Тот же механизм запускает самораспространение: в тело программы встроены готовые средства эксплуатации ещё семи уязвимостей. Среди целей - устройства Realtek, видеорегистраторы MVPower, TBK и KGUARD, оборудование Linksys, LB-LINK и China Mobile. Она перебирает адреса в сети в поисках новых устройств с теми же слабыми местами. Заражённая сеть растёт без участия человека, а перечень поддерживаемых уязвимостей постоянно пополняется.

Устойчивость кампании объясняется слабой гигиеной. Многие устройства подключены к интернету годами, их прошивки не обновлялись, а поддержка производителя прекращена. Другие работают с включёнными по умолчанию службами, которые не нужны даже их владельцу. Злоумышленнику достаточно одной такой точки, чтобы закрепиться внутри периметра. Обнаружить угрозу помогает не только список сигнатур. Повторяющиеся обращения к одним и тем же внешним серверам, необычные процессы и слишком долгие исходящие сессии обычно выдают присутствие подобных программ.

Ущерб от таких заражений редко остаётся единичным случаем. Захваченное устройство месяцами служит посредником для чужих атак, а его владелец узнаёт об этом последним. Снизить риск помогает учёт всех устройств, доступных из интернета, контроль сроков поддержки прошивок и своевременная установка обновлений. Приоритет разумно отдавать уязвимостям, которые уже используют в реальных атаках. Технику, переставшую получать исправления, лучше заменить или изолировать в отдельном сегменте сети. Лишние сетевые службы стоит отключить, а за поведением устройств наблюдать постоянно.