آسیب‌پذیری‌های هدف بات‌نت Cling و روش‌های نفوذ آن
بررسی فنی نمونه بدافزار نشان می‌دهد که بات‌نت Cling با بهره‌گیری از اکسپلویت‌های مرتبط با مجموعه‌ای از آسیب‌پذیری‌های تزریق دستور (Command Injection) و اجرای کد از راه دور (RCE)، روترها و دستگاه‌های ضبط ویدئوی دیجیتال (DVR) از برندهای مختلف را هدف قرار می‌دهد. در کد این بدافزار، اکسپلویت‌های مربوط به چندین آسیب‌پذیری در روترها و دستگاه‌های ضبط تصاویر نظارتی تعبیه شده‌اند که امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند. این آسیب‌پذیری‌ها عبارتند از:
- Realtek SDK: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2014-8361
- روتر Eir D1000: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2016-10372
- دستگاه ضبط تصاویر نظارتی MVPower: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2016-20016
- روترهای LB-LINK: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2023-26801
- روتر FiberHome SR1041F و دستگاه China Mobile HG6543C4: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2023-41011
- دستگاه‌های ضبط ویدئوی دیجیتال (DVR) شرکت TBK: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2024-3721
- محصولات Linksys: آسیب‌پذیری اجرای کد از راه دور با شناسه CVE-2025-34037
سازوکار جلوگیری از اجرای هم‌زمان و پایداری در سیستم
به گفته شرکت Nozomi Networks، بات‌نت Cling برای جلوگیری از اجرای هم‌زمان چند نسخه از خود، تلاش می‌کند با استفاده از گزینه SO_REUSEADDR، یک سوکت را به پورت 33957 اختصاص دهد. اگر این عملیات ناموفق باشد، بدافزار اجرای خود را متوقف می‌کند تا از فعالیت هم‌زمان چند نسخه جلوگیری شود.
سپس، بدافزار دو نسخه از خود را در مسیرهای زیر کپی می‌کند:
- /root/.cling
- /usr/local/bin/.cling
در مرحله بعد، دستورهای لازم برای اجرای این نسخه‌ها به فایل‌های راه‌اندازی سیستم، یعنی /etc/inittab، /etc/init.d/rcS و /etc/rc.d/rc.boot اضافه می‌شوند. به این ترتیب، بدافزار با استفاده از سازوکار راه‌اندازی SysV init و BusyBox init، پس از راه‌اندازی مجدد دستگاه نیز اجرا می‌شود. این روش، سازوکار پایداری (Persistence) بدافزار در سیستم آلوده را فراهم می‌کند.
روش دیگری که بدافزار برای حفظ پایداری به کار می‌گیرد، شناسایی باینری ابزار wget و جایگزین کردن آن با باینری خود است. بدافزار ابتدا فایل اصلی wget را به مسیر دیگری منتقل می‌کند و سپس باینری خود را در مسیر آن قرار می‌دهد. در نتیجه، هرگاه پردازه‌ای در سیستم آلوده ابزار wget را برای دانلود فایل فراخوانی کند، به‌جای ابزار اصلی، کد بدافزار اجرا خواهد شد.
سوءاستفاده بات‌نت Cling از ترافیک پروتکل STUN برای پنهان‌سازی ارتباطات مخرب
یکی از ویژگی‌های مهم بات‌نت Cling، سوءاستفاده از ترافیک ظاهراً عادی پروتکل STUN و زیرساخت عمومی سرورهای این پروتکل است. بدافزار از این سازوکار برای ثبت دستگاه‌های آلوده، دریافت دستورهای اپراتور و پنهان‌تر کردن فعالیت‌های مخرب از دید سامانه‌های مانیتورینگ ترافیک شبکه استفاده می‌کند.
پروتکل STUN یک پروتکل استاندارد شبکه است که به دستگاه‌های واقع در پشت NAT یا فایروال کمک می‌کند تا بتوانند ارتباطات بلادرنگ همتا‌به‌همتا (P2P) برقرار کنند.
این بات‌نت برای برقراری ارتباط فرماندهی و کنترل (C2)، فرآیندی چهارمرحله‌ای را دنبال می‌کند:
- ارسال درخواست به سرورهای STUN: بدافزار تقریباً هر پنج ثانیه یک درخواست اتصال به 13 سرور STUN ارسال می‌کند که آدرس آن‌ها از پیش در کد بدافزار مشخص شده است. در این درخواست‌ها، فیلد شناسه تراکنش (Transaction ID) به‌جای دریافت یک مقدار تصادفی، با صفر مقداردهی می‌شود؛ روشی که با مشخصات استاندارد پروتکل STUN مطابقت ندارد.
- دریافت آدرس IP عمومی و شماره پورت‌ها: بدافزار پس از دریافت پیام پاسخ از سرور STUN، آدرس IP عمومی دستگاه و شماره پورت‌های مربوط به آن را استخراج می‌کند. این اطلاعات نشان می‌دهند که دستگاه از طریق چه آدرس IP و پورت‌هایی از خارج شبکه قابل دسترسی است.
- ثبت دستگاه آلوده در سرورها: بدافزار یک پیام ثبت اختصاصی را در قالب دیتاگرام UDP (Datagram) به هر یک از سرورهای فهرست‌شده ارسال می‌کند. این پیام شامل شماره پورت‌های شناسایی‌شده و یک شناسه متنی است که نحوه آلوده شدن دستگاه را مشخص می‌کند؛ برای مثال، selfrep یا selfrep.router.
- دریافت دستورهای اپراتور: بدافزار بسته‌های UDP دریافتی را بررسی کرده و دستورهای اپراتور را از فیلد شناسه تراکنش STUN استخراج می‌کند.
به گفته شرکت Nozomi Networks، این ارتباطات از دید سامانه‌های مانیتورینگ شبکه می‌توانند کاملاً عادی به نظر برسند؛ زیرا ترافیک آن‌ها تفاوت آشکاری با ارتباطات معمول با سرورهای STUN ندارد. از آنجا که بدافزار پیام ثبت دستگاه آلوده را برای تمام سرورهای موجود در فهرست ارسال می‌کند، اپراتور باید به اطلاعات دست‌کم یکی از این سرورها دسترسی داشته باشد تا بتواند دستگاه‌های جدید متصل‌شده به بات‌نت را شناسایی کرده و دستورهای لازم را به آن‌ها ارسال کند. در نتیجه، سوءاستفاده از زیرساخت عمومی STUN به بدافزار امکان می‌دهد ارتباطات فرماندهی و کنترل (C2) خود را در میان ترافیک عادی شبکه پنهان کند.
پیام‌های ثبت اختصاصی ارسالی از سوی بات‌نت Cling با مشخصات استاندارد پروتکل STUN مطابقت ندارند؛ بنابراین، سرورهای معمولی STUN این بسته‌ها را نمی‌پذیرند. بااین‌حال، طبق گزارش شرکت Nozomi Networks، یکی از 13 سرور مورد استفاده، با آدرس 145.249.115[.]184، عملکردی غیرمعمول از خود نشان داده است. این سرور در پیام پاسخ به درخواست اتصال، به‌جای بازگرداندن شناسه تراکنش درخواست اولیه، مقداری را قرار داده که تماماً از صفر تشکیل شده است.
به گفته Nozomi Networks، این عملکرد غیرعادی نشان می‌دهد که سرور مذکور احتمالاً به‌گونه‌ای پیکربندی شده است که ترافیک اختصاصی STUN این بات‌نت را پردازش کند. همچنین، به نظر می‌رسد از این سرور برای ارسال دستورهای اپراتور به دستگاه‌های آلوده استفاده می‌شود؛ به این صورت که دستورها در فیلد شناسه تراکنش STUN قرار می‌گیرند.
این دستورها به مهاجمان اجازه می‌دهند دستگاه‌های بیشتری را شناسایی و آلوده کنند و بات‌نت را به‌صورت خودکار، مشابه عملکرد کرم‌های رایانه‌ای (Computer Worms)، در شبکه گسترش دهند.
همچنین این دستورها به مهاجمان اجازه می‌دهند یک تونل ارتباطی مبتنی بر TCP ایجاد کنند یا به آن پایان دهند، سرویس پروکسی را فعال یا غیرفعال کرده و با ارسال حجم زیادی از ترافیک، حمله انکار سرویس (DoS) را علیه هدفی مشخص و در بازه زمانی تعیین‌شده اجرا کنند.
برخی از اهداف مشاهده‌شده در حملات عبارتند از:
- 151.157[.]222:8080: یک ارائه‌دهنده سرویس اینترنت (ISP) در کره جنوبی
- 170.240[.]137:53: یکی از خوشه‌های محاسباتی دانشگاه شیکاگو
- 81.40[.]193:25565: سروری مرتبط با بازی ماینکرفت (Minecraft)
- 185.221[.]129:25565: سروری مرتبط با بازی ماینکرفت
به گفته شرکت Nozomi Networks، یکی از نکات قابل‌توجه در ترافیک فرماندهی و کنترل (C2)، آدرس مبدأ بسته‌های حاوی دستورهای اپراتور است. این بسته‌ها از آدرس IP 74.125.250[.]129 ارسال می‌شوند؛ آدرسی که نام میزبان stun.l.google.com به آن اشاره دارد.
به بیان دیگر، مهاجمان نه‌تنها دستورها را در بسته‌هایی با ظاهر ترافیک STUN پنهان می‌کنند، بلکه کاری می‌کنند که این بسته‌ها شبیه پاسخ‌های واقعی یکی از شناخته‌شده‌ترین سرویس‌های STUN در اینترنت به نظر برسند. این روش تشخیص ارتباطات مخرب را دشوارتر می‌کند؛ زیرا بسته‌های حاوی دستورها ظاهری مشابه ترافیک عادی این سرویس دارند.
البته، مشاهده این آدرس IP به معنای دخالت گوگل در این فعالیت‌ها نیست. مهاجمان از آدرسی مرتبط با سرویس عمومی STUN گوگل استفاده می‌کنند تا مبدأ بسته‌های حاوی دستورها را معتبر و عادی جلوه دهند و شناسایی ماهیت مخرب آن‌ها را دشوارتر کنند.
بررسی قابلیت‌ها و روش‌های نفوذ بدافزار
شرکت امنیت سایبری فورتینت (Fortinet) در گزارشی که آزمایشگاه پژوهشی FortiGuard Labs در 5 اکتبر 2026 منتشر کرد، این بدافزار را ClingSTUN نام‌گذاری کرده است. طبق این گزارش، مهاجمان با سوءاستفاده از آسیب‌پذیری‌های پچ‌‌نشده در دستگاه‌هایی که از طریق اینترنت قابل دسترسی هستند، به آن‌ها نفوذ کرده و با ایجاد سازوکارهای پایداری، دسترسی خود را در سیستم آلوده حفظ می‌کنند.
بررسی‌های فورتینت نشان می‌دهد که مهاجمان برای دستیابی به دسترسی اولیه، از چندین آسیب‌پذیری دیگر از نوع تزریق دستور (Command Injection) نیز سوءاستفاده می‌کنند. این آسیب‌پذیری‌ها محصولات شرکت‌های مختلف را تحت تأثیر قرار می‌دهند:
- Linear: آسیب‌پذیری CVE-2019-7256
- D-Link: آسیب‌پذیری‌های CVE-2019-17621، CVE-2022-37055، CVE-2024-23624، CVE-2024-10914، CVE-2024-10915 و CVE-2024-23625
- Sunhillo SureLine: آسیب‌پذیری CVE-2021-36380
- Tenda: آسیب‌پذیری‌های CVE-2022-26289، CVE-2022-35555، CVE-2024-32281، CVE-2024-32292، CVE-2024-32314، CVE-2024-35340 و CVE-2024-46048
- روترهای Hytec Inter HWL-2511-SS: آسیب‌پذیری CVE-2022-36553
- TP-Link: آسیب‌پذیری CVE-2023-1389
- Ivanti Connect Secure و Ivanti Policy Secure: آسیب‌پذیری‌های CVE-2023-46805 و CVE-2024-21887
- AVTECH: آسیب‌پذیری CVE-2024-7029
- EnGenius: آسیب‌پذیری CVE-2025-34035
- Lantronix EDS5000: آسیب‌پذیری CVE-2025-67038
- MeiG: آسیب‌پذیری CVE-2026-36356
این بدافزار نیز مانند بسیاری از بدافزارهای بات‌نت، از اسکریپت‌های شل (Shell Scripts) برای دانلود پیلودهای مخرب متناسب با معماری‌های مختلف لینوکس استفاده می‌کند. برای پشتیبانی از طیف گسترده‌ای از دستگاه‌ها، نسخه‌هایی از بدافزار برای معماری‌های ARM، Intel 80386، MIPS R3000، PowerPC و AMD x86-64 ارائه شده‌اند.
بدافزار برای گسترش خودکار به دستگاه‌های دیگر، از اکسپلویت‌های مربوط به هفت آسیب‌پذیری استفاده می‌کند که عبارتند از:
- Realtek: CVE-2014-8361
- MVPower: CVE-2016-20016
- LB-LINK: CVE-2023-26801
- China Mobile: CVE-2023-41011
- TBK: CVE-2024-3721
- Linksys: CVE-2025-34037
- KGUARD DVR: CVE-2026-87827
شرکت فورتینت اعلام کرده است که ClingSTUN به‌عنوان یک بکدور با قابلیت ایجاد پروکسی با اتصال معکوس (Backconnect Proxy) عمل کرده و دستگاه‌های آلوده را به نودهای پروکسی (Proxy Nodes) تحت کنترل مهاجمان تبدیل می‌کند.
این بدافزار از زیرساخت عمومی STUN برای شناسایی آدرس‌های IP و پورت‌هایی استفاده می‌کند که از طریق NAT برای دستگاه‌های آلوده قابل دسترسی هستند. همچنین، با حفظ ارتباطات لازم از طریق NAT و تسهیل ارتباط میان دستگاه‌های آلوده و اپراتورهای راه دور، امکان برقراری و تداوم این ارتباطات را فراهم می‌کند.
به گفته فورتینت، از آنجا که این بدافزار از سرورهای عمومی و معتبر STUN استفاده می‌کند، می‌تواند ترافیک مخرب خود را در میان ارتباطات عادی مبتنی بر پروتکل صوتی از طریق اینترنت (VoIP) و ارتباطات بلادرنگ وب (WebRTC) پنهان کند. در نتیجه، شناسایی این ترافیک برای سامانه‌های مانیتورینگ شبکه دشوارتر می‌شود.
