ClingSTUN マルウェア、パッチ未適用のIoT機器をプロキシノードに変える

インターネットに公開されたIoT機器の既知の未修正脆弱性を悪用し、正規の公開STUNサーバーを悪用して、侵害したシステムを遠隔操作可能なプロキシノードとして到達可能な状態に保つLinux向けプロキシ型バックドアが確認されました。

FortiGuard Labsは「ClingSTUN」と名付けたこのマルウェアについて、10月5日に公開した調査報告で、攻撃キャンペーンを3つの期間にわたって追跡したと説明しています。期間ごとにダウンロードサーバーが異なっていました。

最初の期間は2日間で、Hytec Inter製ルーターの脆弱性CVE-2022-36553のみを悪用していました。

2番目の期間では、攻撃者はEnGeniusのIoTクラウドサービスの脆弱性CVE-2025-34035と、D-LinkのUPnPサービスの脆弱性CVE-2024-23625の2つに切り替えました。

その後、攻撃者はLinear、Realtek、TP-Link、AVTECH、D-Link各社の機器に存在するコマンドインジェクションの脆弱性を突いて、マルウェアを拡散させました。

3番目の期間には、攻撃者は侵入経路をさらに増やしました。FortiGuardが挙げる脆弱性は現在24件に上り、Ivanti Connect Secureの脆弱性CVE-2023-46805とCVE-2024-21887のほか、CVE-2026-36356やCVE-2025-67038といった比較的新しいバグも含まれます。

STUN通信はVoIPやWebRTCに紛れ込む

ClingSTUNは、バックコネクト型プロキシとして動作します。公開サーバーにSTUNバインディングリクエストを送り、外部アドレスとポートのマッピングを把握してNATバインディングを維持します。使用するサーバーは第2版で24台、第3版で13台です。そのうえで、グループ識別子とマッピングされたポートを同じサーバーに定期的に報告します。

サーバーは正規のものであるため、この通信は通常のVoIPやWebRTCの通信と区別がつきません。FortiGuardによると、攻撃者がどのようにマッピングを取得し、NAT越しにコマンドを送り込んでいるのかは、まだ確認できていません。同社は、STUNサービスを攻撃者が管理するインフラと見なさないよう注意を促しています。

このマルウェアは、競合するプロセスやウォッチドッグタイマーを強制終了します。さらに、自身をシステム内の各所にコピーし、永続化のために起動スクリプトを改変します。システムのinitプロセスからコピーしたプロセス情報の陰に隠れる点も特徴です。リモートからのコマンド実行に対応しているほか、Realtek製SDKや3種類のDVR製品の脆弱性など、さらに7件の脆弱性に対するエクスプロイトをハードコードしており、自己拡散に利用します。

IoTマルウェアの関連記事：Miraiベースの新たなLinuxボットネット「Evooo1Bot」、感染機器をプロキシ化

封じ込めか、パッチ適用か：専門家の見解は分かれる

ColorTokensの連邦部門CTO、ルイ・アイヒェンバウム（Louis Eichenbaum）氏は次のように警告しています。「ClingSTUNは、組織がパッチ適用だけではサイバーリスクを解消できないことを改めて示しています」。同氏は、すぐに修正できない機器の周囲に補完的な対策を講じるべきだと主張しました。具体的には、マイクロセグメンテーションによってラテラルムーブメント（横展開）を制限する方法を挙げています。

一方、IoTセキュリティ企業ViakooのVP、ジョン・ギャラガー（John Gallagher）氏は、セグメンテーションについて異なる見方を示しました。

「ネットワークのセグメンテーションがセキュリティを担保するという考えは、誤った前提です」と同氏は述べ、代わりに複数ベンダーのIoT機器群全体でファームウェアの修正を自動化すべきだと主張しています。「可視化だけでは、この問題から身を守れません」とも付け加えました。

FortiGuardは、不審なプロセスや予期しないUDP接続、繰り返し発生するキープアライブ通信とあわせて、STUNの動作を評価するよう推奨しています。

同社はまた、インターネットに公開された機器の棚卸しを行い、実際に悪用されている脆弱性へのパッチ適用を優先し、セキュリティ更新を受けられなくなった機器は交換または隔離するよう、各組織に呼びかけています。