In questo articolo Indice dei contenuti 3 sezioni
Una nuova backdoor Linux chiamata ClingSTUN prende di mira router, videocamere IP e DVR per trasformarli in proxy controllabili a distanza. Ad analizzarla sono stati i ricercatori di FortiGuard Labs, che descrivono un malware capace di compromettere apparecchi esposti su Internet e di conservarne l’accesso nel tempo. L’obiettivo è sfruttare quei dispositivi come punti di transito, nodi intermedi da cui far uscire traffico con un indirizzo IP che appartiene a un’altra persona o a un’altra organizzazione.
Il precedente più noto risale al 2016, quando il worm Mirai mostrò quanto potesse diventare potente una rete di dispositivi IoT poco protetti. Secondo uno studio presentato a USENIX Security quella botnet mise insieme circa 600.000 apparecchi compromessi e venne usata per generare enormi volumi di traffico negli attacchi DDoS. ClingSTUN segue una strada diversa perché punta a creare proxy persistenti sfruttando vulnerabilità note e un protocollo del tutto legittimo come STUN, utile a mantenere il collegamento anche attraverso NAT e firewall.
Come ClingSTUN usa il protocollo STUN per passare inosservato
La campagna è ben orchestrata e si articola in più fasi. Il malware non dipende soltanto da server di comando e controllo facili da individuare ma dialoga anche con infrastrutture STUN pubbliche, quelle che servono normalmente ad applicazioni VoIP, WebRTC e sistemi di comunicazione in tempo reale. Il nome sta per Session Traversal Utilities for NAT e indica un protocollo che permette a un apparecchio collegato dietro un router NAT di scoprire quale indirizzo IP pubblico e quale porta gli siano stati assegnati verso Internet. Lo impiega per esempio WebRTC, la tecnologia integrata nei browser per scambiare audio, video e dati in tempo reale.
ClingSTUN piega questa funzione ai propri scopi. Contatta server pubblici per capire come il dispositivo infetto appare dall’esterno e per tenere attiva la relativa mappatura NAT. Invece di mettere in contatto due persone durante una videochiamata il protocollo diventa uno strumento per il controllo remoto del nodo compromesso. Per chi amministra una rete la difficoltà è evidente, dato che vedere traffico STUN non equivale affatto a vedere traffico malevolo.
Falle già corrette e architetture diverse
Non si tratta di un worm legato a un singolo bug. Il malware somiglia piuttosto a una piattaforma che si adatta agli apparecchi vulnerabili disponibili in un certo momento. Tra i primi ingressi osservati c’è una falla di command injection nei router Hytec Inter, poi si sono aggiunte lacune nei servizi IoT di EnGenius e nei componenti UPnP di D Link. Sono stati documentati tentativi anche contro TP Link Archer AX21, prodotti basati su Realtek, apparati AVTECH, Tenda, Lantronix, Linear e appliance Ivanti. Il caso dell’Archer AX21 è emblematico perché la vulnerabilità consente di eseguire comandi con privilegi elevati e TP Link aveva già distribuito firmware correttivi nel 2023. Avere una patch però non significa averla installata, soprattutto su apparecchi dimenticati per anni in armadi tecnici, negozi o uffici periferici.
I downloader di ClingSTUN recuperano payload compilati per ARM, Intel 80386, MIPS R3000, PowerPC e AMD x86 a 64 bit. Una volta ottenuta l’esecuzione di comandi lo script si sposta in /tmp, riconosce la piattaforma e avvia il binario compatibile. Fortinet ha individuato almeno tre versioni del downloader e l’ultima è la più aggressiva perché analizza /proc/mounts, prova a smontare alcuni mount point e chiude i processi che eseguono binari da cartelle temporanee. Così elimina eventuali malware concorrenti che potrebbero sottrarre risorse a un apparecchio già povero di CPU e RAM.
Persistenza e controlli da fare sui dispositivi
Per sopravvivere ai riavvii la backdoor Linux crea copie nascoste in /root/.cling e /usr/local/bin/.cling e modifica file come /etc/inittab, /etc/init.d/rcS e /etc/rc.d/rc.boot. Molti dispositivi IoT non usano systemd ma init tradizionali, BusyBox e script di avvio essenziali, quindi questa scelta garantisce una compatibilità più ampia. Dove il filesystem root è in sola lettura o viene ricostruito a ogni boot il malware deve cercare altri spazi scrivibili oppure perde la persistenza dopo un vero reset del firmware.
La prima difesa consiste nel sapere quali apparecchi risultano esposti su Internet, con modello esatto, versione del firmware e stato del supporto. Pannelli web, API di amministrazione, UPnP e porte di gestione non andrebbero pubblicati sulla WAN per pura comodità e per l’accesso remoto una VPN o un gateway dedicato sono soluzioni più adatte. I prodotti senza aggiornamenti andrebbero sostituiti oppure isolati in una VLAN separata, limitando le comunicazioni in uscita. Per i router più diffusi si può valutare anche un firmware open source supportato dalla comunità. Su un sistema accessibile via shell conviene cercare i file .cling, modifiche anomale agli script di avvio, processi sospetti sotto /proc, socket UDP persistenti e connessioni verso host sconosciuti.
Fonte: TecnoAndroid
