🛡 VULNERABILIDADES 🛡

ClingSTUN convierte dispositivos IoT vulnerables en nodos proxy

⏰6 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

ClingSTUN convierte dispositivos IoT vulnerables en nodos proxy

⟫ 05/10/2026 ⟫ Jai Vijayan

Fuente: Dark Reading

### Introducción Contextual

En un mundo cada vez más interconectado, la seguridad de los dispositivos del Internet de las Cosas (IoT) se ha convertido en un tema crítico de discusión dentro del ámbito de la ciberseguridad. La creciente proliferación de dispositivos IoT en entornos empresariales ha abierto la puerta a múltiples vectores de ataque, exponiendo a empresas y usuarios a riesgos significativos. Recientemente, investigadores de Fortinet han identificado un nuevo tipo de malware para Linux llamado "ClingSTUN", que explota una serie de vulnerabilidades conocidas en dispositivos IoT para establecer un acceso persistente en redes empresariales. Este hallazgo subraya la necesidad urgente de abordar la seguridad en el IoT, ya que estos dispositivos son cada vez más utilizados en sectores críticos, desde la administración pública hasta la industria manufacturera.

### Detalles Técnicos

ClingSTUN se destaca por su uso de servidores STUN públicos legítimos para mantener la conectividad con los dispositivos comprometidos, lo que permite a los atacantes ocultar su infraestructura en un tráfico de Internet aparentemente normal. El protocolo STUN (Session Traversal Utilities for NAT) facilita la comunicación entre dispositivos que están detrás de firewalls y NAT (Network Address Translation), permitiendo que estos dispositivos se conecten entre sí a través de Internet.

Los investigadores de FortiGuard Labs rastrearon el malware y descubrieron que este aprovecha al menos 24 vulnerabilidades documentadas en dispositivos IoT. Estas vulnerabilidades abarcan una amplia gama de dispositivos conectados a Internet, incluidos routers, equipos de red, sistemas de vigilancia y sistemas industriales de fabricantes como D-Link, Realtek, Ivanti y TP-Link. La vulnerabilidad más antigua del conjunto es un fallo de inyección de comandos de 2021 (CVE-2021-36380) presente en el software de distribución de datos de vigilancia SureLine de Sunhillo, utilizado por la FAA y otras autoridades de aviación. En contraste, la más reciente es un fallo de inyección de comandos (CVE-2026-36356) que afecta a dispositivos MeiG Smart FORGE_SLT711, detectado a principios de este año.

El analista Vincent Li de FortiGuard explicó que los actores de amenazas están desplegando ClingSTUN en múltiples oleadas de ataques, utilizando una lista de vulnerabilidades en rápida expansión para acceder a dispositivos expuestos. En las intrusiones observadas, el malware empleó servidores STUN públicos como intermediarios de red para determinar cómo se presentaba el dispositivo infectado en Internet y qué puertos eran accesibles desde el exterior. ClingSTUN enviaba periódicamente esta información de vuelta a los servidores STUN. FortiGuard no identificó un servidor de comando y control tradicional en este proceso y aún no ha determinado cómo los atacantes utilizan la información de conexión para comunicarse con los dispositivos infectados.

Una vez instalado, ClingSTUN establece mecanismos de persistencia en el sistema comprometido. Además, incluye exploits codificados para siete vulnerabilidades adicionales que le permiten propagarse desde un dispositivo infectado a otros sistemas IoT vulnerables. Estas vulnerabilidades son diferentes de las 24 que permiten el acceso inicial y afectan a dispositivos de fabricantes como Realtek, MVPower, TBK, Linksys, LB-LINK, China Mobile y KGUARD. La más antigua de estas vulnerabilidades es CVE-2014-8361, presente en un dispositivo Realtek desde 2014, y la más reciente es CVE-2026-87827, una vulnerabilidad de ejecución remota de código en un DVR de KGUARD detectada a principios de este año.

### Impacto y Consecuencias

El uso de ClingSTUN pone de manifiesto cómo los dispositivos Linux e IoT expuestos a Internet pueden transformarse en infraestructura para operaciones de proxy maliciosas. La capacidad del malware para utilizar múltiples vulnerabilidades para su entrega resalta la importancia de mantener un inventario preciso de dispositivos, reducir la exposición innecesaria a Internet y actualizar firmware y software de manera oportuna. Según Li, las empresas deberían monitorear las comunicaciones salientes de estos dispositivos para prevenir potenciales brechas de seguridad.

Un dispositivo comprometido por ClingSTUN puede actuar como intermediario a través del cual un atacante puede enrutar tráfico, lo que potencialmente hace que la actividad maliciosa parezca originarse desde la dirección IP pública de la empresa. Esto conlleva riesgos de bloqueo de IP, daños a la reputación, consumo excesivo de ancho de banda y disrupciones operativas. Dependiendo del enrutamiento y la segmentación de la red, el dispositivo comprometido podría también proporcionar acceso a destinos internos a los que pueda llegar.

El uso de servidores STUN por parte de ClingSTUN puede dificultar la diferenciación de su actividad respecto al uso legítimo por parte de aplicaciones y dispositivos que necesitan descubrir sus mapeos de red externos. Bloquear indiscriminadamente los servidores STUN públicos para abordar la amenaza de ClingSTUN podría interrumpir servicios legítimos. Por ello, la detección debe centrarse en si el comportamiento se ajusta al rol del dispositivo. Esto incluye comunicaciones inesperadas con numerosos puntos finales de STUN, múltiples sockets UDP y mensajes personalizados recurrentes que contengan un identificador de grupo y una lista de puertos mapeados.

### Contexto Histórico

El caso de ClingSTUN no es aislado. A lo largo de los últimos años, hemos visto un aumento en la explotación de vulnerabilidades en dispositivos IoT. Incidentes previos han demostrado cómo estos dispositivos son a menudo el eslabón más débil en la seguridad de las redes empresariales, dejando abiertas puertas que pueden ser fácilmente aprovechadas por actores maliciosos. La falta de parches para vulnerabilidades conocidas en hardware de red conectado a la red ha sido un problema persistente, y ClingSTUN pone de relieve esta situación crítica.

### Recomendaciones

Las organizaciones deben identificar todos los modelos y versiones de firmware afectados por las vulnerabilidades y aplicar actualizaciones respaldadas por los proveedores de manera oportuna. En situaciones donde no sea posible realizar actualizaciones inmediatas, se recomienda eliminar la exposición directa a Internet o deshabilitar el servicio vulnerable donde sea operativamente viable. Además, se sugiere restringir el acceso a los dispositivos IoT a través de redes de gestión de confianza o puertas de enlace seguras con autenticación multifactor (MFA), mientras se aíslan a través de segmentación de red y se limita el tráfico entrante y saliente.

John Gallagher, vicepresidente de Viakoo, subraya que ClingSTUN es un ejemplo clásico de cómo la tecnología operativa (OT) y los dispositivos IoT siguen siendo el punto débil de las empresas. "Los actores de amenazas no necesitan nuevos 'zero-days' cuando las organizaciones aún dejan vulnerabilidades conocidas sin parchear en hardware de red conectado", señala Gallagher.

La peligrosidad de ClingSTUN radica no solo en su cadena de explotación multi-arquitectura, sino también en su camuflaje en la red, que aprovecha las infraestructuras legítimas. "Al aprovecharse de servidores STUN públicos legítimos, el malware enmascara el tráfico malicioso como comunicaciones cotidianas de VoIP y WebRTC, mientras desactiva mecanismos de supervisión y se oculta detrás de procesos de root".

Las defensas perimetrales y los sistemas de detección de endpoints (EDR) estáticos no son suficientes, ya que muchos de estos dispositivos son en gran medida invisibles para ellos. "Hasta que las organizaciones cierren la brecha entre el descubrimiento de vulnerabilidades y la remediación automatizada de firmware a gran escala, los activos OT/IoT seguirán siendo fácilmente comprometidos", concluye Gallagher.

◢ VULNERABILIDADES ◣

ClingSTUN Turns Vulnerable IoT Devices Into Proxy Nodes

⟫ 05/10/2026 ⟫ Jai Vijayan

Source: Dark Reading

Researchers have uncovered a new Linux malware strain that exploits a growing list of known vulnerabilities inInternet of Things (IoT) devicesto maintain a persistent foothold on enterprise networks. What makes the malware especially noteworthy is its use of legitimate public STUN servers to help maintain connectivity with compromised devices, allowing the attackers to obscure their infrastructure in otherwise legitimate Internet traffic. STUN is a protocol that helps devices behind firewalls and NAT connect with each other over the Internet. Fortinet’s FortiGuard Labs researchersidentified the malware, which they have dubbed "ClingSTUN," after tracking attacks targeting at least 24 known vulnerabilities in IoT devices. The vulnerabilities affect a wide range of Internet-connected devices including routers, network equipment, surveillance systems, and industrial systems from manufacturers such as D-Link, Realtek, Ivanti, and TP-Link. The oldest of the set is a long-patched command injection vulnerability from 2021 (CVE-2021-36380) in Sunhillo SureLine surveillance data distribution software used by the FAA and other aviation authorities. The most recent is a command injection flaw from earlier this year (CVE-2026-36356) that affects MeiG Smart FORGE_SLT711 devices. FortiGuard analyst Vincent Li said threat actors were deploying ClingSTUN in multiple attack waves using a rapidly expanding list of vulnerabilities to gain access to exposed devices. In the attacks FortiGuard observed, the malware used legitimate public STUN servers as a kind of network middleman to figure out how the infected device appeared on the Internet and which ports were reachable from outside, Li wrote. ClingSTUN periodically sent that information back to the STUN servers. FortiGuard did not find a traditional command-and-control server involved in this process and has not determined exactly how the attackers use the connection information to communicate with infected devices. "No separate coordination-server registration was identified in this path, and how the operator obtains the external mapping and delivers control traffic through NAT remains unverified," Li said. Once installed, ClingSTUN establishes persistence on the compromised system. In addition to its persistence mechanism the malware also includes hard-coded exploits for seven additional vulnerabilities that it can use to spread from an infected device to othervulnerable IoT systems. The flaws are separate from the 24 that enable initial access and affect devices from Realtek, MVPower, TBK, Linksys, LB-LINK, China Mobile, and KGUARD. The oldest of these vulnerabilities is CVE-2014-8361 from 2014 in a Realtek device and the most recent isCVE-2026-87827, a remote code execution vulnerability in KGUARD DVR from earlier this year. In comments to Dark Reading, Li says ClingSTUN demonstrates how vulnerable Internet-facing Linux and IoT devices can become infrastructure for malicious proxy operations. "Its use of multiple vulnerabilities for delivery highlights the importance of maintaining an accurate device inventory, reducing unnecessary Internet exposure, and promptly updating firmware and software," Li says. "Enterprises should also monitor outbound communications from these devices." A device that ClingSTUN compromisescan serve as intermediarythrough which an attacker can route traffic, potentially making malicious activity appear to originate from the enterprise’s public IP address. "This creates risks of IPblocklisting, reputational damage, bandwidth consumption, and operational disruption," Li points out. "Depending on routing and segmentation, the device may also provide access to internal destinations it can reach." ClingSTUN's use of STUN servers can make its activity hard to distinguish from legitimate use by applications and devices that need to discover their external network mappings, Li adds. Therefore, indiscriminately blocking public STUN servers to address the ClingSTUN threat could disrupt legitimate services. Detection should therefore "focus on whether the behavior fits the device's role — for example, unexpected communication with numerous STUN endpoints, multiple UDP sockets, and recurring custom messages containing a group identifier and mapped-port list," Li says. Li adds that organizations should identity all models and firmware versions that the vulnerabilities impact and apply vendor-supported updates promptly. In situations where an organization might not be able to update immediately, they should remove direct Internet exposure or disable the vulnerable service where operationally feasible. Li also recommends that organizations restrict access to IoT devices through trusted management networks or secure gateways with MFA, while isolating them through network segmentation and limiting inbound and outbound traffic. John Gallagher, vice president at Viakoo, says ClingSTUN is a textbook example of howoperational technology(OT) and IoT devices remain the enterprise's vulnerable soft underbelly. "Threat actors don't need new zero-days when organizations still leave known vulnerabilities unpatched on network-connected edge hardware," he says. What makes ClingSTUN dangerous isn't just the multi-architecture exploit chain but also its living-off-the-land network camouflage, Gallagher adds. "By piggybacking on legitimate, public STUN servers, the malware makes malicious traffic look like everyday VoIP and WebRTC communications while simultaneously killing watchdogs and hiding behind root processes." Perimeter defenses and static EDR are not sufficient because many of these devices are largely invisible to them. "Until organizations bridge the gap between vulnerability discovery and automated, at-scale firmware remediation, OT/IoT assets will remain easily compromised," Gallagher says.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD