Realtek Jungle SDK Exploit Attempts Deliver Cling Botnet With STUN-Based C2

Le botnet Cling détourne le protocole STUN pour un contrôle furtif

Le malware Cling (ou ClingSTUN) cible une large gamme d’appareils IoT et OT, exploitant notamment une vulnérabilité critique dans le SDK Realtek Jungle. Sa particularité réside dans son architecture de commande et de contrôle (C2) qui détourne le protocole STUN, normalement utilisé pour la traversée NAT, afin de masquer ses communications en les faisant passer pour du trafic réseau légitime, tout en utilisant parfois l’infrastructure de serveurs STUN publics (dont Google) comme relais.

Points clés

• Propagation virale : Le malware intègre des exploits pour de nombreuses vulnérabilités RCE (exécution de code à distance) afin d’infecter automatiquement des routeurs et DVR de diverses marques.
• Persistance avancée : Il s’installe via des modifications des scripts de démarrage (/etc/inittab, rcS) ou en remplaçant l’utilitaire système wget pour se réexécuter lors de chaque appel légitime.
• Fonctionnalités : Proxy, tunneling, scan réseau automatisé, auto-propagation et lancement d’attaques par déni de service (DoS).
• Dissimulation : Les commandes de l’attaquant sont injectées dans le champ “Transaction ID” des requêtes STUN, rendant l’activité malveillante quasi indétectable par les outils de surveillance réseau classiques.

Vulnérabilités exploitées (exemples notables)

Le malware utilise un vaste catalogue d’exploits, dont :

• CVE-2021-35394 : RCE critique dans Realtek Jungle SDK (CVSS 9.8).
• CVE-2014-8361 : RCE Realtek SDK.
• CVE-2023-1389 : TP-Link.
• CVE-2024-21887 : Ivanti Connect Secure.
• CVE-2025-34037 : Linksys. (De nombreuses autres vulnérabilités liées à D-Link, Tenda et des DVR spécifiques sont également visées).

Recommandations

• Mise à jour immédiate : Appliquer les correctifs de sécurité des fabricants pour tous les appareils IoT/OT, en priorité sur les routeurs et systèmes de surveillance (DVR/CCTV).
• Segmentation réseau : Isoler les appareils IoT/OT sur des VLANs dédiés pour limiter la propagation latérale en cas de compromission.
• Surveillance réseau : Inspecter le trafic STUN sortant. Bien que le protocole soit légitime, des requêtes répétitives vers des serveurs STUN avec des champs “Transaction ID” anormaux (ex: valeurs nulles) peuvent indiquer une activité malveillante.
• Durcissement : Désactiver les services inutilisés sur les routeurs et s’assurer que les accès d’administration ne sont pas exposés sur Internet.

Source