ClingSTUN
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
ClingSTUN es una variante de malware para Linux que opera como un backdoor proxy de conexión inversa. Su función principal es establecer acceso persistente en dispositivos comprometidos y convertirlos en nodos proxy controlados remotamente. Abusa de la infraestructura STUN pública para mantener la conectividad y ocultar su actividad en la red.
Cómo llega
Explota vulnerabilidades sin parchear en dispositivos expuestos a Internet, incluyendo fallos de inyección de comandos y ejecución de código. La base de datos asocia la campaña con múltiples CVE, entre ellos CVE-2014-8361, CVE-2017-7921, CVE-2019-17621, CVE-2019-7256, CVE-2021-33044, CVE-2021-3493, CVE-2021-35394, CVE-2021-36380, CVE-2021-4034, CVE-2022-26134, CVE-2022-30190, CVE-2022-31199, CVE-2022-37055, CVE-2022-47986, CVE-2023-1389, CVE-2023-22518, CVE-2023-2868, CVE-2023-34362, CVE-2023-36025, CVE-2023-46604, CVE-2023-46805, CVE-2024-21412, CVE-2024-21887, CVE-2024-3400 y CVE-2024-40766.
Qué hace una vez dentro
Establece acceso persistente mediante mecanismos de arranque y manipulación de temporizadores de vigilancia. Termina procesos competidores y se disfraza como el proceso init para ocultarse. Mantiene capacidades de ejecución remota de comandos y se propaga por sí mismo. Utiliza la infraestructura STUN legítima para atravesar NAT y mejorar la conectividad con los operadores del ataque.
A quién ataca
Apunta específicamente a dispositivos IoT y de red expuestos a Internet. La evidencia detalla que afecta productos de fabricantes como D-Link, EnGenius, Realtek, TP-Link, AVTECH, Ivanti, Tenda y Lantronix. El ataque se centra en equipos de borde que presentan vulnerabilidades conocidas y no parcheadas.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Exploit Public-Facing Application | T1190 |
| Ejecución | Systemd Timers | T1053.006 |
| Ejecución | Command and Scripting Interpreter | T1059 |
| Ejecución | Unix Shell | T1059.004 |
| Ejecución | Exploitation for Client Execution | T1203 |
| Persistencia | External Remote Services | T1133 |
| Persistencia | Systemd Service | T1543.002 |
| Sigilo | Compile After Delivery | T1027.004 |
| Sigilo | Masquerading | T1036 |
| Sigilo | Masquerade Task or Service | T1036.004 |
| Sigilo | Timestomp | T1070.006 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | File and Directory Discovery | T1083 |
| Movimiento lateral | Remote Services | T1021 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Proxy | T1090 |
| Comando y control | Web Service | T1102 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Non-Standard Port | T1571 |
Fuente: AlienVault OTX: técnicas de 2 reportes dedicados al arma.
Vulnerabilidades asociadas
| CVE | Producto | CVSS | KEV de CISA | Fuente |
|---|---|---|---|---|
| CVE-2014-8361 | Realtek SDK | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2017-7921 | Hikvision Multiple Products | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2019-17621 | D-Link DIR-859 Router | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2019-7256 | Nice Linear eMerge E3-Series | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-33044 | Dahua IP Camera Firmware | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-3493 | Linux Kernel | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-35394 | Realtek Jungle Software Development Kit (SDK) | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-36380 | Sunhillo SureLine | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2021-4034 | Red Hat Polkit | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-26134 | Atlassian Confluence Server/Data Center | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-30190 | Microsoft Windows | 7.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-31199 | Netwrix Auditor | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-37055 | D-Link Routers | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2022-47986 | IBM Aspera Faspex | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-1389 | TP-Link Archer AX21 | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-22518 | Atlassian Confluence Data Center and Server | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-2868 | Barracuda Networks Email Security Gateway (ESG) Appliance | 9.4 | Sí | AlienVault OTX (presunta) |
| CVE-2023-34362 | Progress MOVEit Transfer | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-36025 | Microsoft Windows | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2023-46604 | Apache ActiveMQ | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2023-46805 | Ivanti Connect Secure and Policy Secure | 8.2 | Sí | AlienVault OTX (presunta) |
| CVE-2024-21412 | Microsoft Windows | 8.1 | Sí | AlienVault OTX (presunta) |
| CVE-2024-21887 | Ivanti Connect Secure and Policy Secure | 9.1 | Sí | AlienVault OTX (presunta) |
| CVE-2024-3400 | Palo Alto Networks PAN-OS | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2024-40766 | SonicWall SonicOS | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-0994 | Trimble Cityworks | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-21042 | Samsung Mobile Devices | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-3248 | Langflow Langflow | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-49704 | Microsoft SharePoint | 8.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-49706 | Microsoft SharePoint | 6.5 | Sí | AlienVault OTX (presunta) |
| CVE-2025-53770 | Microsoft SharePoint | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2025-55182 | Meta React Server Components | 10 | Sí | AlienVault OTX (presunta) |
| CVE-2025-67038 | Lantronix EDS5000 | 9.8 | Sí | AlienVault OTX (presunta) |
| CVE-2026-21509 | Microsoft Office | 7.8 | Sí | AlienVault OTX (presunta) |
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 0 |
| URLs | 0 |
| Hashes de archivos | 0 |
Sin indicadores nuevos en los feeds que seguimos en los últimos 30 días.
Fuentes
← Todo el catálogo de armamento
