ВПО Cling маскирует управляющий трафик под коммуникации STUN

Cling заражает маршрутизаторы, точки доступа, повторители и другие устройства с диагностическим компонентом Realtek Jungle SDK, обычно доступным как UDPServer. Первоначальный доступ в основном получают, эксплуатируя уязвимость удалённого выполнения кода CVE-2021-35394: злоумышленники отправляют UDP-датаграммы, начинающиеся с orf;, и добавляют к ним команды оболочки.

Заражение и закрепление на устройствах

Команды используют wget из BusyBox, чтобы загрузить бинарный файл вредоносного ПО для MIPS, изменить его права доступа и запустить с аргументом, задающим метод заражения, например realtek.selfrep. Для закрепления Cling копирует себя в /root/.cling и /usr/local/bin/.cling, а затем добавляет записи о запуске в /etc/inittab, /etc/init.d/rcS и /etc/rc.d/rc.boot.

Кроме того, Cling подменяет исполняемый файл wget. Легитимный бинарный файл перемещается в wget.r, а его путь сохраняется в wget.p. При запуске под именем wget вредоносное ПО выполняет легитимный бинарный файл, сохраняя возможность переустановить или перезапустить себя. Чтобы проверить, запущен ли уже экземпляр Cling, вредоносное ПО использует сокет, привязанный к UDP-порту 33957.

Связь и возможности Cling

Для управления Cling использует трафик, внешне похожий на STUN-коммуникации. Вредоносное ПО отправляет пользовательские UDP-датаграммы регистрации на встроенные адреса публичных STUN-серверов, в том числе stun.l.google.com. В этих датаграммах передаются метаданные заражения и порты, сопоставленные с помощью NAT. Команды кодируются в 12-байтовом поле идентификатора транзакции STUN в UDP-пакетах, которые отправляются на эти порты.

Наблюдаемые пакеты с командами, по всей видимости, исходили с IP-адреса, связанного с инфраструктурой STUN компании Google. Вероятно, источник адреса подделывали, используя недостаточную проверку исходных адресов. Эта тактика позволяет трафику вредоносного ПО имитировать легитимную активность по обходу NAT.

Cling поддерживает следующие функции:

• загрузку и выполнение полезных нагрузок;
• сканирование пространства IPv4 и эксплуатацию дополнительных систем;
• остановку сканирования;
• открытие TCP-туннелей;
• ретрансляцию трафика через прокси-сервер;
• проведение атак с наводнением по расписанию.

Признаки для обнаружения

Ключевые признаки, которые могут помочь обнаружить Cling:

• повторяющаяся аномальная активность STUN-связывания;
• идентификаторы транзакций, состоящие только из нулей;
• регистрационные датаграммы, не соответствующие стандарту;
• неожиданный UDP-трафик с адресов, связанных со STUN;
• файлы .cling;
• изменённые сценарии инициализации;
• подменённые бинарные файлы wget.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.