Malware ClingSTUN convierte dispositivos IoT sin parches en nodos proxy

⟫ 05/10/2026 ⟫ Infosecurity Magazine

Fuente: Infosecurity Magazine

**Una nueva puerta trasera de proxy en Linux explota vulnerabilidades en dispositivos IoT**

En un contexto donde la proliferación de dispositivos de Internet de las Cosas (IoT) continúa en ascenso, la ciberseguridad se enfrenta a retos cada vez más complejos. La reciente identificación de una puerta trasera de proxy denominada ClingSTUN, que se aprovecha de vulnerabilidades conocidas y no parcheadas en dispositivos IoT conectados a Internet, subraya la importancia de la seguridad en este ámbito. Esta amenaza afecta no solo a los consumidores individuales, sino también a empresas y organizaciones que dependen de estos dispositivos para su operación diaria, lo que hace que la situación sea crítica en un momento en que la conectividad y la automatización son esenciales.

**Detalles técnicos de ClingSTUN**

FortiGuard Labs, que ha acuñado el término ClingSTUN para este malware, publicó un análisis el 5 de octubre en el que se detalla la evolución de la campaña a lo largo de tres fases distintas, cada una utilizando diferentes servidores de descarga. La primera fase tuvo una duración de solo dos días y se basó en la explotación de una única vulnerabilidad, identificada como CVE-2022-36553, presente en los enrutadores de Hytec.

En la segunda fase, los atacantes cambiaron su enfoque a dos vulnerabilidades: CVE-2025-34035, que afecta al servicio en la nube IoT de EnGenius, y CVE-2024-23625, relacionada con el servicio UPnP de D-Link. A partir de ahí, los operadores comenzaron a difundir el malware mediante fallos de inyección de comandos en dispositivos de Linear, Realtek, TP-Link, AVTECH y D-Link. En la tercera fase, los atacantes ampliaron sus puntos de entrada, y la lista de vulnerabilidades que FortiGuard ha documentado ahora asciende a 24, incluyendo las fallas de Ivanti Connect Secure CVE-2023-46805 y CVE-2024-21887, así como errores más recientes como CVE-2026-36356 y CVE-2025-67038.

ClingSTUN opera como un proxy de conexión inversa, enviando solicitudes de enlace STUN a servidores públicos —24 en su segunda versión y 13 en la tercera— para descubrir su dirección externa y los mapeos de puertos, manteniendo abiertos los enlaces NAT. Posteriormente, informa periódicamente su identificador de grupo y los puertos mapeados a los mismos servidores. Debido a que los servidores son legítimos, el tráfico generado se asemeja a las comunicaciones normales de VoIP y WebRTC. Sin embargo, FortiGuard advierte que el método mediante el cual el operador obtiene los mapeos y envía comandos a través de NAT no ha sido verificado, sugiriendo que no se deben considerar los servicios STUN como infraestructura controlada por los atacantes.

El malware también tiene la capacidad de eliminar procesos competidores y temporizadores de supervisión, se copia a sí mismo en ubicaciones del sistema, modifica scripts de inicio para garantizar su persistencia y se oculta detrás de la información del proceso copiando datos del proceso de inicio del sistema. Además, soporta la ejecución remota de comandos y contiene exploits codificados para siete vulnerabilidades adicionales, incluidas fallas en el SDK de Realtek y en tres productos DVR, lo que le permite propagarse.

**Impacto y consecuencias de ClingSTUN**

El impacto de ClingSTUN es significativo, ya que pone de manifiesto la vulnerabilidad de los dispositivos IoT frente a ataques que pueden convertirlos en nodos proxy controlados de forma remota. Louis Eichenbaum, CTO federal en ColorTokens, comentó que "ClingSTUN es otro recordatorio de que las organizaciones no pueden parchear su camino fuera del riesgo cibernético". Propuso implementar controles compensatorios en torno a los dispositivos que no pueden ser reparados de inmediato, sugiriendo el uso de microsegmentación para limitar el movimiento lateral de posibles atacantes.

Por otro lado, John Gallagher, vicepresidente de la firma de seguridad IoT Viakoo, discrepó con la idea de que la segmentación de red pueda proporcionar seguridad. "Creer que la segmentación de red proporciona seguridad es una suposición errónea", argumentó, insistiendo en la necesidad de una remediación automatizada del firmware a través de flotas IoT de múltiples proveedores. "La visibilidad por sí sola no te salvará aquí", añadió.

**Recomendaciones y medidas de mitigación**

FortiGuard ha aconsejado evaluar la actividad STUN junto con procesos sospechosos, conexiones UDP inesperadas y tráfico recurrente de keepalive. Además, la firma de ciberseguridad instó a las organizaciones a realizar un inventario de los dispositivos conectados a Internet, priorizando los parches para las vulnerabilidades que están siendo activamente explotadas, así como a reemplazar o aislar aquellos dispositivos que ya no reciben actualizaciones de seguridad.

La aparición de ClingSTUN y su capacidad para aprovechar vulnerabilidades en dispositivos IoT resalta la necesidad de una vigilancia constante y de una respuesta proactiva en el ámbito de la ciberseguridad. Las organizaciones deben considerar esta nueva amenaza como un llamado urgente a reforzar sus estrategias de seguridad y a adoptar medidas adecuadas para proteger sus redes y dispositivos conectados.

◢ VULNERABILIDADES ◣

ClingSTUN Malware Turns Unpatched IoT Devices Into Proxy Nodes

⟫ 05/10/2026 ⟫ Infosecurity Magazine

Source: Infosecurity Magazine

A Linux proxy backdoor has been observed exploiting known, unpatched flaws in internet-facing IoT devices and abusing legitimate public STUN servers to keep compromised systems reachable as remotely controlled proxy nodes. FortiGuard Labs, which dubbed the malware ClingSTUN, said inresearchpublished on October 5 that it tracked the campaign across three periods, each with a different download server. The first lasted two days and relied on a single flaw, CVE-2022-36553 in Hytec Inter routers. In the second, the attackers switched to two vulnerability: CVE-2025-34035 in EnGenius's IoT cloud service and CVE-2024-23625 in D-Link's UPnP service. The operators then spread the malware through command injection flaws in Linear, Realtek, TP-Link, AVTECH and D-Link devices. In the third period, the attackers added more entry points, and FortiGuard's list now stands at 24 vulnerabilities, including Ivanti Connect Secure flaws CVE-2023-46805 and CVE-2024-21887 and newer bugs such as CVE-2026-36356 and CVE-2025-67038. ClingSTUN works as aback-connect proxy. It sends STUN binding requests to public servers, 24 in the second version and 13 in the third, to discover its external address and port mappings and keep NAT bindings open, then periodically reports its group identifier and mapped ports to the same servers. Because the servers are legitimate, the traffic resembles normal VoIP and WebRTC communications. FortiGuard said how the operator obtains the mappings and pushes commands through NAT remains unverified, and warned against treating the STUN services as attacker-controlled infrastructure. The malware kills competing processes and watchdog timers, copies itself into system locations, modifies boot scripts for persistence and hides behind process information copied from the system's init process. It supports remote command execution and carries hard-coded exploits for seven more vulnerabilities, including flaws in Realtek's SDK and three DVR products, to spread itself. Read more on IoT malware: New Mirai-Based Linux Botnet 'Evooo1Bot' Turns Victims Into Proxies Louis Eichenbaum, federal CTO at ColorTokens warned. "ClingSTUN is another reminder that organizations cannot patch their way out of cyber risk." He argued for compensating controls around devices that cannot be fixed immediately, with microsegmentation to limit lateral movement. Meanwhile, John Gallagher, VP at IoT security firm Viakoo, disagreed on segmentation. "Believing that network segmentation provides security is a flawed assumption," he said, arguing instead for automated firmware remediation across multivendor IoT fleets. "Visibility alone will not save you here," he added. FortiGuard advised assessing STUN activity alongside suspicious processes, unexpected UDP connections and recurring keepalive traffic. The cybersecurity firm also urged organizations to inventory internet-facing devices, prioritize patches for actively exploited flaws and replace or isolate devices that no longer receive security updates.

← VOLVER A CIBERSEGURIDAD