SecAtor

FortiGuard Lab, сообщают об обнаружении бэкдора в Linux, получившего название ClingSTUN, который превращает зараженные системы в прокси-серверы, использующие протокол STUN (Session Traversal Utilities for NAT) и элементы самораспространения. Вредоносная ПО нацелена на два десятка уязвимостей для получения первоначального доступа и обеспечивает постоянное выполнение во время загрузки системы. При этом операторы без разбора задействуют уязвимости в Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda и TP-Link, и, по всей видимости, расширяют свой арсенал, добавляя и другие. Кроме того, бэкдор включает в себя механизм самораспространения, содержащий жестко закодированные эксплойты для семи уязвимостей China Mobile, KGUARD, Linksys, LB-LINK, MVPower, Realtek и TBK. ClingSTUN использует загрузчики для доставки вредоносных компонентов для различных архитектур, включая AMD X86-64, ARM, Intel 80386, MIPS R3000 и PowerPC. В ходе исследования трех вариантов ботнета FortiGuard Labs зафиксировала схожее поведение, в части завершения процессов защитных решений, отключения «» таймера, механизма обеспечения постоянного присутствия и выполнения удаленных команд. Для обеспечения постоянного присутствия в системе ClingSTUN копирует себя в два скрытых файла с правами на выполнение, а затем добавляет команды запуска к трем скриптам инициализации системы. Кроме того, устанавливает UDP-сокет, привязывается к случайному локальному порту и отправляет стандартные запросы STUN для установления соединений с конечными точками. После завершения обмена данными между STUN-серверами ClingSTUN периодически отправляет свой групповой идентификатор и список сопоставленных портов на те же самые STUN-терминалы. Отдельной регистрации координационного сервера на этом пути обнаружено не было. Кроме того, вредоносная ПО перехватывает определенные пакеты данных, что позволяет ее операторам удаленно выполнять код и запускать механизм самораспространения. Примечательной особенностью является использование легитимных общедоступных STUN-серверов для обнаружения внешних IP и сопоставления портов, что помогает поддерживать NAT-соединение. Как отмечают в FortiGuard Lab, эти сторонние сервисы не следует автоматически классифицировать как инфраструктуру, контролируемую злоумышленниками. Вместо этого, сследует оценивать активность STUN наряду с подозрительным поведением процессов, неожиданными UDP-соединениями и повторяющимся трафиком keepalive.