Una nuova backdoor Linux sfrutta i server STUN pubblici per nascondere il traffico malevolo

Fortinet ha scoperto una nuova famiglia di malware per Linux, chiamata ClingSTUN. Questa backdoor sfrutta dispositivi IoT non aggiornati e server STUN pubblici per instradare il traffico, rendendolo difficile da individuare. Il malware utilizza il protocollo STUN, comunemente usato dalle app di videochiamata per identificare l'indirizzo IP pubblico dei dispositivi dietro un router, per mascherare le sue comunicazioni.

I ricercatori di FortiGuard Labs hanno spiegato che ClingSTUN funziona come una backdoor proxy, trasformando i sistemi infetti in nodi proxy controllati a distanza. Sfrutta l'infrastruttura STUN per scoprire indirizzi IP e porte mappate esternamente, mantenere le associazioni NAT e migliorare la connettività tra gli host compromessi e gli operatori remoti. Poiché molti server STUN contattati sono servizi pubblici legittimi, il traffico si confonde facilmente con le normali comunicazioni VoIP e WebRTC.

L'attacco inizia sfruttando dispositivi vecchi e non aggiornati, esposti a internet. Inizialmente, la campagna ha preso di mira una vulnerabilità nota nei router Hytec Inter, ma si è poi estesa a dispositivi di oltre una dozzina di fornitori, tra cui D-Link, TP-Link, Realtek e Linksys, oltre a diverse piattaforme DVR e IoT cloud. Una volta infettato, il malware installa la versione corretta per l'hardware del dispositivo, rimuovendo anche altri malware concorrenti per assumere il controllo completo.