新聞

資安業者Fortinet旗下FortiGuard Labs揭露Linux後門程式ClingSTUN，攻擊者鎖定暴露於公開網路且尚未修補已知漏洞的設備發動攻擊。設備感染ClingSTUN後，攻擊者可持續存取遭入侵系統，並將其變成可遠端控制的代理節點。

研究人員列出的24項用於初始入侵的已知漏洞涉及D-Link、TP-Link、Tenda、EnGenius、Realtek、AVTECH及Ivanti等多家業者，相關產品涵蓋路由器、監控設備及其他IoT與網路設備。攻擊者利用這些產品的已知漏洞入侵設備，再投遞ClingSTUN。

ClingSTUN還會利用公開STUN（Session Traversal Utilities for NAT）服務。STUN可協助位於網路位址轉譯（NAT）後方的設備確認對外映射的IP位址及連接埠，ClingSTUN則透過STUN取得感染設備對外映射的IP位址及連接埠。由於VoIP及WebRTC等正常應用也會使用STUN，ClingSTUN的惡意通訊因此較難與正常STUN流量區分。

遭ClingSTUN控制的設備還可能被攻擊者用來轉送網路流量。資安媒體Dark Reading引述FortiGuard Labs指出，攻擊者透過這類代理節點轉送流量，可能使惡意活動看似來自受害企業的公開IP位址，進而帶來企業IP位址遭列入封鎖名單等風險。研究人員建議企業盤點暴露於公開網路的設備及韌體版本，儘快安裝廠商提供的安全更新。無法立即更新時，應視實際環境避免設備直接暴露於公開網路，或停用存在漏洞的服務；無法再取得安全更新的設備則應隔離或更換。