Een nieuwe Linux-backdoor maakt van geïnfecteerde systemen internet-proxies door het STUN-protocol (Session Traversal Utilities for NAT) te misbruiken. FortiGuard Labs noemt de malware ClingSTUN STUN-backdoor en rapporteert dat het dossier meerdere kwetsbaarheden bevat om systemen binnen te dringen, persistent te blijven en zichzelf (deels) verder te verspreiden.
Wat het dreigingsbeeld extra lastig maakt, is dat de aanvaller voor STUN-activiteiten kan leunen op legitieme openbare STUN-servers. Daardoor lijkt het netwerkverkeer op het eerste gezicht soms “normaal”. Met de juiste context—zoals procesgedrag en onverwachte UDP-verbindingen—kun je ClingSTUN echter wél onderscheiden van normaal verkeer.
Wat is de ClingSTUN STUN-backdoor precies?
ClingSTUN is ontworpen als een back-connect proxy backdoor: nadat een systeem is gecompromitteerd, legt de malware verbindingen met het netwerk en gebruikt het STUN-protocol om NAT-traversal mogelijk te maken. Die aanpak helpt om externe connectiviteit te behouden, zelfs wanneer clients of servers achter NAT zitten.
De malware bevat bovendien een set ingebouwde mechanismen voor meer dan alleen “command and control”. Volgens FortiGuard Labs combineert ClingSTUN initial access met persistentie en remote commando-uitvoering, plus functies om zichzelf te verspreiden onder bepaalde omstandigheden.
Infectie: tientallen kwetsbaarheden en uitbreidende exploit-set
Voor de eerste toegang richt ClingSTUN zich op ongeveer twee dozijn kwetsbaarheden. De rapportage noemt dat de operators in observaties meerdere exploit-doelen “willekeurig” misbruikten, waaronder omgevingen of producten van onder andere Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda en TP-Link.
Belangrijk: FortiGuard Labs stelt ook dat het exploitportfolio waarschijnlijk wordt uitgebreid met extra exploits. Dat betekent voor defenders dat “oude” detecties op basis van één specifieke vuln of één campagne minder toekomstbestendig zijn.
Downloaders voor verschillende CPU-architecturen
Na compromis schakel ClingSTUN bovendien door naar downloaders die payloads ophalen voor meerdere architecturen. FortiGuard Labs noemt o.a. AMD X86-64, ARM, Intel 80386, MIPS R3000 en PowerPC. Daarmee vergroot de malware de kans dat hij ook op uiteenlopende embedded of oudere systemen voet aan de grond krijgt.
Persistente toegang: kopiëren, opstartscripts aanpassen en commando’s uitvoeren
Om terugkerende uitvoering te garanderen, gebruikt ClingSTUN persistentie tijdens het opstartproces. De malware kopieert zichzelf naar twee verborgen bestanden met uitvoerrechten. Daarna voegt het startup-commando’s toe aan drie systeem initialisatie- of opstartscripts, zodat de backdoor ook na reboot draait.
Daarnaast zet de malware een UDP-context op: er wordt een UDP-socket geopend, gebonden aan een willekeurige lokale poort, waarna STUN binding requests worden verstuurd om endpoint-informatie te verkrijgen.
In meerdere varianten van het botnet ziet FortiGuard Labs hetzelfde type gedrag terug rond operationele “steering” van de infectie. Daarbij horen onder meer het beëindigen van processen van concurrenten, het uitschakelen van een watchdog-timer, het activeren van persistentie en het uitvoeren van remote commando’s.
STUN-misbruik: NAT-traversal zonder aparte coördinatieserver
De kern van de ClingSTUN STUN-backdoor zit in de manier waarop het STUN-protocol wordt gebruikt voor NAT-traversal. Nadat de STUN “binding exchanges” zijn afgerond, stuurt de malware periodiek een groep-ID en een lijst met gemapte poorten naar dezelfde STUN-endpoints.
FortiGuard Labs geeft daarbij aan dat er in het onderzochte pad geen afzonderlijke registratie bij een coördinatieserver is geïdentificeerd. Met andere woorden: de STUN-communicatie lijkt direct te worden gebruikt om connectiviteit en mapping-informatie bij te houden.
Publieke STUN-servers als camouflage
Een opvallend punt is dat ClingSTUN kan leunen op legitieme openbare STUN-servers om externe IP-adressen en portmappings te bepalen. De onderzoekers waarschuwen dat die derde partijen niet automatisch als “attacker-controlled infrastructure” moeten worden bestempeld.
Wel adviseert FortiGuard Labs om STUN-activiteit te beoordelen in combinatie met verdacht procesgedrag, onverwachte UDP-verbindingen en terugkerend keepalive-achtig netwerkverkeer. In de praktijk komt het dus aan op contextuele detectie: het netwerkpatroon is pas betekenisvol als het samenvalt met andere verdachte signalen.
Self-propagation: hardcoded exploits en gerichte verspreiding
Naast initial access bevat ClingSTUN ook een self-propagation mechanisme met hardcoded exploits. FortiGuard Labs noemt dat dit mechanisme ingebouwd is voor kwetsbaarheden bij onder meer China Mobile, KGUARD, Linksys, LB-LINK, MVPower, Realtek en TBK.
Dat betekent dat de malware—onder de juiste omstandigheden—pogingen kan doen om nieuwe doelwitten te compromitteren zonder dat er per se nieuwe exploit-code van buitenaf nodig is. Voor organisaties is dat relevant omdat het risico op “meerdere infecties” toeneemt zodra één systeem binnen is.
Welke verdachte signalen kun je opmerken?
Omdat ClingSTUN zowel STUN-communicatie gebruikt als persistentie uitvoert, kun je meerdere observaties combineren voor detectie. Denk aan:
- Terugkerende STUN binding exchanges met een vaste set endpoints, gekoppeld aan een verdacht proces of ongebruikelijke binaire activiteit.
- Onverwachte UDP-verbindingen naar publieke adressen of onbekende hosts, vooral vanaf servers waar dit verkeer niet past bij het bekende netwerkgebruik.
- Keepalive-achtig gedrag: periodieke UDP-pakketten die qua timing lijken op NAT-onderhoud.
- Persistente wijzigingen in opstart- of initialisatie-omgevingen, bijvoorbeeld doordat commando’s worden toegevoegd aan systeem-boot scripts.
- Remote commando-activiteit en het beëindigen van processen (concurrent-killing) in combinatie met netwerkactiviteit.
Werk idealiter met geprioriteerde alerts: niet elke STUN-uitgaande verbinding is per definitie verdacht, maar STUN in combinatie met procesanomalieën en veranderde opstartconfiguratie vormt wél een sterk signaal.
Praktische aanpak: wat te doen als je ClingSTUN vermoedt
Als je in je omgeving STUN-activiteit ziet die niet te verklaren is, behandel dit als een incident met zowel endpoint- als netwerkcomponenten. Start met het controleren van de betrokken host(s):
- Zoek naar verborgen uitvoerbare bestanden en recent gewijzigde opstartscripts.
- Correlatieer netwerklogs met proceslogs: welke binaire naam of welk proces initieert UDP-traffic naar STUN-endpoints?
- Controleer of er remote commando’s zijn uitgevoerd vanuit een proces dat niet bij normale beheertaken past.
- Beoordeel of verdachte toegang via bekende appliance- of software-kwetsbaarheden aan de orde is geweest.
Omdat ClingSTUN meerdere exploitdoelen bevat, is patching en hardening op het hele “aanvalsoppervlak” cruciaal: niet alleen één toestel of één vendor, maar het geheel van blootgestelde services en edge-apparatuur.
Wil je breder kijken naar het patroon van credentials en aanvallen die sneller groeien dan teams? Dan kan ook dit artikel relevant zijn: Credential layer groeit sneller dan security teams.
Waarom dit soort backdoors zo lastig blijft
ClingSTUN illustreert een trend die vaker terugkomt: malware probeert “normale” infrastructuurbouwstenen te gebruiken. STUN is op zichzelf een legitieme technologie, maar bij misbruik verandert de functie. Daardoor verschuift de vraag van “welke infrastructuur is verdacht?” naar “welke combinatie van gedrag is verdacht?”.
Door bovendien persistentie via opstartscripts te combineren met NAT-traversal en remote commando’s, vergroot de malware de kans dat detectie wordt vertraagd—totdat er meerdere signalen samenkomen.
Conclusie
De ClingSTUN STUN-backdoor draait als een back-connect proxy en gebruikt het STUN-protocol om NAT-connectiviteit te behouden. FortiGuard Labs beschrijft een exploitportfolio voor initial access, self-propagation met hardcoded exploits en persistentie via verborgen bestanden en opstartscript-wijzigingen.
Voor defenders is de boodschap helder: laat enkel “STUN-verkeer” niet leidend zijn, maar combineer het met procesgedrag, onverwachte UDP-verbindingen en terugkerende keepalive-achtige patronen. Zo haal je camouflage onderuit en vergroot je de kans dat ClingSTUN tijdig wordt opgemerkt en uitgeroeid.
Bron: https://www.securityweek.com/linux-backdoor-abuses-stun-protocol-exploits-dozens-of-flaws/
