Hackers explotan 24 vulnerabilidades de IoT para instalar la puerta trasera ClingSTUN en Linux

⟫ 05/10/2026 ⟫ Waqas

Fuente: HackRead

**ClingSTUN: Un Malware Linux que Transforma Dispositivos en Proxies Controlados Remotamente**

En un mundo cada vez más interconectado, la seguridad de los dispositivos que se encuentran expuestos a Internet es un tema de vital importancia. La creciente dependencia de la tecnología IoT (Internet de las Cosas) y de equipos de red presenta una superficie de ataque considerable para los ciberdelincuentes. Recientemente, FortiGuard Labs ha detectado un malware denominado ClingSTUN que explota vulnerabilidades conocidas en dispositivos conectados a la red, convirtiéndolos en nodos proxy controlados de forma remota. Este hallazgo no solo subraya la fragilidad de la infraestructura tecnológica actual, sino que también plantea serias preocupaciones sobre la seguridad de datos y la privacidad de los usuarios.

Este malware se aprovecha de aproximadamente dos docenas de vulnerabilidades que afectan a productos de diversas empresas. Si bien FortiGuard no reveló la identidad de los operadores ni el número de dispositivos infectados, la magnitud del problema es alarmante, dado que puede comprometer una amplia variedad de dispositivos basados en Linux, desde IoT hasta equipos de red. La falta de información precisa sobre las organizaciones afectadas exacerba la incertidumbre en torno a la situación.

ClingSTUN tiene la capacidad de ejecutar comandos de forma remota y mantiene el acceso incluso tras un reinicio del dispositivo. Utiliza servidores STUN (Session Traversal Utilities for NAT) públicos y legítimos para comunicarse a través de la traducción de direcciones de red (NAT). Este método permite que el malware evada la detección al operar dentro de protocolos de red comunes, lo que complica aún más la identificación de actividades maliciosas.

En el marco de la investigación, FortiGuard identificó siete exploits codificados que ClingSTUN puede utilizar para propagarse a otros dispositivos vulnerables. Esto significa que no solo se limita a infectar un único dispositivo, sino que tiene el potencial de expandirse a una red entera si no se toman las medidas adecuadas. Los descargadores que se recuperaron durante el análisis pueden instalar ClingSTUN en varias arquitecturas de procesador, incluyendo AMD x86-64, ARM, Intel 80386, MIPS R3000 y PowerPC. Esta característica multipropósito permite que la campaña maliciosa apunte a diferentes tipos de equipos basados en Linux.

Una vez que ClingSTUN infecta un dispositivo, establece un socket UDP y lo vincula a un puerto local seleccionado aleatoriamente. Posteriormente, envía solicitudes de binding estándar a los servidores STUN públicos. El STUN es una herramienta comúnmente utilizada por servicios como VoIP y WebRTC para determinar la dirección IP pública y el mapeo de puertos de un dispositivo. ClingSTUN utiliza este mismo proceso para averiguar cómo un dispositivo infectado puede recibir conexiones desde fuera de su red local.

Completado el intercambio de binding, el malware envía periódicamente su identificador de grupo y la lista de puertos mapeados a los mismos puntos finales de STUN. FortiGuard no identificó un servidor de registro separado que maneje esta parte de la comunicación, lo que sugiere que el malware opera de manera bastante autónoma.

El hecho de que los servicios STUN contactados sean legítimos significa que su registro en los registros de red no prueba que los servicios en sí mismos hayan sido comprometidos o estén bajo control del atacante. Jason Soroko, investigador senior en Sectigo, enfatizó la importancia de no confiar solamente en la reputación de destino del tráfico como un indicador de seguridad. “Un dispositivo no necesita contener datos sensibles para ser útil para un atacante”, afirmó Soroko. “ClingSTUN permite a los atacantes retransmitir tráfico a través de dispositivos comprometidos y ejecutar comandos en ellos”.

El malware se duplica en dos archivos ejecutables ocultos y añade comandos de inicio a tres scripts de inicialización del sistema. Estos cambios permiten que la puerta trasera se ejecute cada vez que se inicia el dispositivo. FortiGuard examinó tres variantes de ClingSTUN que compartían varias funciones. Cada una de ellas podía finalizar procesos asociados con malware competidor, interferir con el temporizador de vigilancia del dispositivo y escuchar paquetes especialmente formados de su operador.

Los paquetes pueden instruir al dispositivo infectado para ejecutar comandos o comenzar a escanear en busca de sistemas más vulnerables. En términos prácticos, esto significa que los atacantes pueden usar el dispositivo como un proxy, manteniendo la capacidad de ejecutar código y propagar el malware. Un reinicio del dispositivo no eliminará ClingSTUN, ya que sus entradas de inicio recargan el malware durante el arranque.

Frente a esta amenaza, Soroko aconseja a las organizaciones que examinen los dispositivos expuestos en busca de procesos ocultos, archivos de inicio alterados, conexiones UDP inexplicables y tráfico de mantenimiento STUN repetido. Las organizaciones deben identificar los equipos expuestos a Internet, instalar actualizaciones de firmware disponibles y restringir servicios que no requieran acceso público. Aquellos dispositivos que hayan llegado al final de su soporte por parte del proveedor deben ser aislados o reemplazados, particularmente si existen vulnerabilidades conocidas que permanecen expuestas.

En conclusión, ClingSTUN representa un claro recordatorio de la necesidad de adoptar prácticas de ciberseguridad robustas y proactivas, no solo para proteger la infraestructura de red, sino también para salvaguardar datos y la privacidad de los usuarios en un entorno digital cada vez más complejo y peligroso.

◢ MALWARE ◣

Hackers Exploit 24 IoT Vulnerabilities to Install ClingSTUN Linux Backdoor

⟫ 05/10/2026 ⟫ Waqas

Source: HackRead

FortiGuard Labs has identified aLinux backdoorthat exploits known vulnerabilities in internet-facing devices and converts infected systems into remotely controlled proxy nodes. Named ClingSTUN, the malware supports remote command execution, maintains access after a reboot and uses legitimate public STUN servers to communicate through network address translation. According to the company’sreportshared with Hackread.com ahead of publication on Monday, October 5, 2026, attackers behind the campaign exploited about two dozen vulnerabilities affecting products from: FortiGuard also found seven hardcoded exploits that ClingSTUN can use to spread to other vulnerable devices. Those flaws affect products from: Downloaders recovered during the investigation could install ClingSTUN on several processor architectures, including AMD x86-64, ARM, Intel 80386, MIPS R3000 and PowerPC. This allows the campaign to target different types of Linux-based IoT and networking equipment. FortiGuard did not identify the operators, disclose the number of infected devices or name any affected organizations. After infecting a device, ClingSTUN creates a UDP socket and binds it to a randomly selected local port. It then sends standard binding requests to public STUN servers. STUN, short for Session Traversal Utilities for NAT, is commonly used by services such as VoIP and WebRTC to determine a device’s public IP address and port mapping. ClingSTUN uses the same process to learn how an infected device can receive connections from outside its local network. Once the binding exchange is complete, the malware periodically sends its group identifier and mapped port list to the same STUN endpoints. FortiGuard did not find a separate registration server handling this part of the communication. Because the contacted STUN services are legitimate, their presence in network logs does not prove that the services themselves have been compromised or are controlled by the attacker. Jason Soroko, senior fellow at Sectigo, told Hackread.com that destination reputation alone cannot determine whether such traffic is safe. “A device does not need to hold sensitive data to be useful to an attacker,” Soroko said. “ClingSTUN lets attackers relay traffic through compromised devices and run commands on them.” ClingSTUN copies itself into two hidden executable files and adds startup commands to three system initialization scripts. Those changes allow the backdoor to run whenever the device starts. FortiGuard examined three variants that shared several functions. Each could terminate processes associated with competing malware, interfere with the device’s watchdog timer and listen for specially formed packets from its operator. Those packets can instruct the infected device to execute commands or begin scanning for more vulnerable systems. In practical terms, attackers can use the device as a proxy while retaining the ability to run code and spread the malware. A restart will not remove ClingSTUN because its startup entries reload the malware during boot. Soroko advised organizations to examine exposed devices for hidden processes, altered startup files, unexplained UDP connections and repeated STUN keepalive traffic. Organizations should also identify internet-facing equipment, install available firmware updates and restrict services that do not require public access. Devices that have reached the end of vendor support should be isolated or replaced, particularly when known vulnerabilities remain exposed.

← VOLVER A CIBERSEGURIDAD