Cling恶意软件伪装成Google STUN流量控制被入侵物联网设备

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月4日 09:50
辽宁

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一款新发现的物联网僵尸网络Cling，将其命令与控制通信伪装成合法的STUN流量，其中包括看似来自谷歌公共STUN基础设施的数据包。

攻击者利用该技术可以管控遭到入侵的公网设备，同时将恶意活动隐匿在实时通信平台常用的NAT穿透流量之中。

Nozomi Networks实验室在研究针对CVE‑2021‑35394的攻击尝试激增事件时，发现了这一攻击活动。该高危远程代码执行漏洞存在于瑞昱Jungle SDK诊断组件中，该组件通常编译为 UDPServer 程序。

Cling恶意软件伪装成谷歌STUN流量

该漏洞影响瑞昱Jungle SDK 2.0至3.4.14B版本，允许未经过身份验证的远程攻击者在暴露在外的设备上执行任意命令。

攻击者发送以 orf; 开头、后跟Shell命令的UDP数据包来利用此漏洞。在已观测到的攻击中，攻击载荷调用BusyBox的 wget 工具下载恶意二进制程序，赋予其可执行权限，随后使用类似 realtek.selfrep 这类感染标记运行该恶意程序。

Cling还内置多个漏洞利用模块，针对更多存在漏洞的硬件发起攻击，受影响设备包括瑞昱设备、LB‑LINK路由器、TBK硬盘录像机、领势（Linksys）设备、Eir路由器、烽火通信设备以及MVPower闭路电视录像机。

一旦成功部署，这款基于MIPS架构的恶意软件会将自身复制到 /root/.cling 与 /usr/local/bin/.cling 实现持久化。同时它会向 /etc/inittab 、 /etc/init.d/rcS 、 /etc/rc.d/rc.boot 写入开机启动项，保证在基于BusyBox以及SysV风格的嵌入式Linux设备上重启后依旧可以运行。

Cling还会劫持 wget 工具：把合法程序重命名为 wget.r ，将原始路径保存在 wget.p ，再用自身替换原版可执行文件。此后每次调用 wget ，都会先启动恶意软件，再运行原版工具程序。

Cling最具特点的能力是基于STUN协议的命令控制通道。STUN协议一般用于帮助应用获取外网映射IP地址与端口，实现NAT穿透，广泛用于WebRTC、微软Teams、Zoom、思科Webex、ICE、TURN以及SIP相关应用。

正因如此，在企业网络或家庭网络中，STUN流量一般不会立刻引起安全人员的警觉。该僵尸网络大约每5秒向13个公开STUN服务器发送STUN绑定请求，但数据包中事务ID全部为0，这和RFC 8489标准要求使用随机标识符的规范不符。

恶意软件记录服务器返回的外部端口，发送自定义注册数据报，上报端口信息和感染标记，之后等待通过UDP数据包下发的指令。

Nozomi的研究人员确认 145.249.115[.]184:3478 极有可能是攻击者控制或者串通的STUN服务器。受控注册实验显示，只要向该服务器上报端口，后续就会收到命令控制指令。

恶意软件把命令和参数存放在STUN报文12字节的事务ID字段中，借此实现载荷下载、全网扫描、攻击其他设备、TCP隧道、代理转发以及拒绝服务攻击等行为。

部分命令数据包看似来自 74.125.250[.]129 ，该IP对应 stun.l.google.com 域名。研究人员表示，这极大概率是UDP源地址欺骗，并非谷歌基础设施发出的真实流量；合法STUN响应包与恶意命令数据包的IP生存时间（TTL）存在差异，也佐证了该判断。