Cling Botnet invade router e DVR: exploit Realtek RCE e C2 STUN “invisibile” scatena una nuova ondata IoT

Negli ultimi giorni sono aumentati i tentativi di sfruttare una vulnerabilita critica ormai corretta nel Realtek Jungle SDK per ottenere esecuzione di codice da remoto e installare un malware botnet chiamato Cling. Il difetto, identificato come CVE 2021 35394 con punteggio CVSS 9.8, interessa dispositivi esposti su internet e viene usato come punto di ingresso per compromettere router e DVR basati su Linux.

In una parte degli attacchi, dopo lo sfruttamento viene scaricato un payload in grado di auto propagarsi e trasformare il dispositivo in un nodo controllato da remoto.

Cling integra logiche di exploit per piu vulnerabilita di command injection e RCE che colpiscono diversi vendor, tra cui falle note in SDK Realtek, router e sistemi di videosorveglianza. Questa capacita permette al malware di muoversi in modo simile a un worm, scansionando e infettando altri dispositivi vulnerabili per far crescere rapidamente la botnet. Per evitare esecuzioni multiple sullo stesso host, il campione controlla la presenza di unistanza gia attiva tramite il binding di una porta specifica e termina se il controllo fallisce.

La persistenza e un altro elemento chiave. Il malware copia se stesso in percorsi nascosti come root e usr local bin e modifica file di avvio tipici di SysV e BusyBox per garantirsi il riavvio automatico. In alternativa puo sostituire il binario wget con una copia malevola, spostando quello originale altrove, cosi che ogni utilizzo legittimo del comando richiami in realta Cling. Questa tecnica rende piu difficile individuare la compromissione con controlli superficiali.

La caratteristica piu distintiva di Cling e il command and control basato su traffico STUN. STUN e un protocollo usato per la traversata NAT in scenari come VoIP e WebRTC, quindi comune e spesso considerato innocuo. Il malware invia richieste STUN periodiche a una lista di server, registra le porte mappate viste dallesterno e invia poi un messaggio di registrazione via UDP con dettagli utili alloperatore. Infine esegue il polling di pacchetti in arrivo che codificano comandi nel campo transaction ID, facendo apparire la comunicazione simile a normale attivita STUN.

I comandi consentono scansione e propagazione, avvio e stop di proxy e tunnel TCP e attacchi DoS verso obiettivi indicati. In alcuni casi i pacchetti sembrano provenire da infrastrutture STUN molto note, aumentando la probabilita che il traffico si confonda con quello legittimo e sfugga al monitoraggio di rete.