ClingSTUN แบ็กดอร์ลินุกซ์ตัวใหม่ไล่เจาะอุปกรณ์ IoT ด้วยช่องโหว่เก่า 24 รายการ — แปลงเครื่องเป็น proxy และซ่อนการติดต่อหลังเซิร์ฟเวอร์ STUN สาธารณะ

สรุปสั้น

นักวิจัยจากทีม FortiGuard Labs ของบริษัท Fortinet เปิดเผยมัลแวร์ลินุกซ์ตัวใหม่ที่ตั้งชื่อว่า “ClingSTUN” ซึ่งเจาะอุปกรณ์ Internet of Things (IoT) ที่เชื่อมต่ออินเทอร์เน็ตด้วยช่องโหว่ที่รู้จักแล้วอย่างน้อย 24 รายการ ครอบคลุมเราเตอร์ อุปกรณ์เครือข่าย ระบบกล้องวงจรปิด และระบบอุตสาหกรรมจากผู้ผลิตอย่าง D-Link, Realtek, Ivanti และ TP-Link ผู้โจมตีปล่อยมัลแวร์เป็นหลายระลอก และเพิ่มรายการช่องโหว่ที่ใช้อย่างรวดเร็ว เมื่อติดตั้งสำเร็จ ClingSTUN จะฝังตัวถาวรบนเครื่อง และยังมี exploit อีก 7 รายการฝังมาในตัวเพื่อแพร่ต่อจากเครื่องที่ติดเชื้อไปยังอุปกรณ์ IoT เครื่องอื่นที่มีช่องโหว่

จุดที่ทำให้ ClingSTUN แตกต่างคือการใช้เซิร์ฟเวอร์ STUN สาธารณะที่ถูกกฎหมายเป็นตัวกลาง STUN เป็นโปรโตคอลที่ช่วยให้อุปกรณ์หลังไฟร์วอลล์และ NAT รู้ว่าตัวเองปรากฏบนอินเทอร์เน็ตด้วย IP และพอร์ตใด ซึ่งแอปพลิเคชัน VoIP และ WebRTC ใช้กันทั่วไป มัลแวร์จึงกลมกลืนไปกับทราฟฟิกปกติ และนักวิจัยไม่พบเซิร์ฟเวอร์สั่งการ (C2) แบบดั้งเดิมในเส้นทางนี้เลย เครื่องที่ถูกยึดจะกลายเป็นทางผ่านทราฟฟิกให้ผู้โจมตี ทำให้กิจกรรมอันตรายดูเหมือนมาจาก IP สาธารณะขององค์กรเหยื่อ ทั้งนี้ FortiGuard ยอมรับว่ายังไม่สามารถยืนยันได้ว่าผู้โจมตีนำข้อมูลการเชื่อมต่อไปใช้สั่งงานเครื่องที่ติดเชื้ออย่างไร

อัปเดต: บริษัท Nozomi Networks ซึ่งติดตามมัลแวร์ตัวเดียวกันภายใต้ชื่อ “Cling” ให้คำตอบในส่วนที่ FortiGuard ยังไม่ยืนยัน โดยพบว่าผู้ควบคุมซ่อนคำสั่งไว้ในฟิลด์ transaction ID ของแพ็กเก็ต STUN ผ่านเซิร์ฟเวอร์ STUN ที่ปรับแต่งเองหนึ่งเครื่องในรายการ 13 เครื่อง และทำให้แพ็กเก็ตคำสั่งดูเหมือนมาจาก IP ของ stun.l.google.com นอกจากนี้ Cling ยังรองรับคำสั่งโจมตี DoS และพบการยิงช่องโหว่ Realtek Jungle SDK (CVE-2021-35394) พุ่งสูงขึ้นตั้งแต่ 5 กันยายน 2569 (รายละเอียดในหัวข้อ “มุมมองจาก Nozomi Networks”)

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 4 ตุลาคม 2569 อ้างงานวิจัยของนาย Vincent Li นักวิเคราะห์ของ FortiGuard Labs ว่ามัลแวร์ ClingSTUN ถูกพบหลังทีมติดตามการโจมตีที่เล็งช่องโหว่ในอุปกรณ์ IoT อย่างน้อย 24 รายการ ช่องโหว่เก่าที่สุดในชุดนี้คือ CVE-2021-36380 ซึ่งเป็นช่องโหว่ command injection ที่แพตช์ไปนานแล้วในซอฟต์แวร์ Sunhillo SureLine สำหรับกระจายข้อมูลการเฝ้าระวัง ที่องค์การบริหารการบินแห่งชาติสหรัฐฯ (FAA) และหน่วยงานการบินอื่นใช้งาน ส่วนช่องโหว่ใหม่ที่สุดคือ CVE-2026-36356 ซึ่งเป็น command injection ในอุปกรณ์ MeiG Smart FORGE_SLT711 จากต้นปีนี้

นาย Li ระบุว่าผู้โจมตีปล่อย ClingSTUN เป็นหลายระลอก โดยใช้รายการช่องโหว่ที่ขยายตัวอย่างรวดเร็วเพื่อเข้าถึงอุปกรณ์ที่เปิดสู่อินเทอร์เน็ต นอกจากช่องโหว่ 24 รายการสำหรับเข้าสู่ระบบครั้งแรกแล้ว ตัวมัลแวร์ยังฝัง exploit สำหรับช่องโหว่อีก 7 รายการที่แยกจากชุดแรก ใช้แพร่ต่อไปยังอุปกรณ์จาก Realtek, MVPower, TBK, Linksys, LB-LINK, China Mobile และ KGUARD ช่องโหว่ที่เก่าที่สุดในกลุ่มนี้คือ CVE-2014-8361 ในอุปกรณ์ Realtek จากปี 2014 และใหม่ที่สุดคือ CVE-2026-87827 ช่องโหว่ RCE ในเครื่องบันทึกภาพ KGUARD DVR จากต้นปีนี้

นาย John Gallagher รองประธานบริษัท Viakoo ให้ความเห็นว่า ClingSTUN เป็นตัวอย่างตามตำราว่าอุปกรณ์ OT และ IoT ยังเป็นจุดอ่อนขององค์กร “ผู้โจมตีไม่จำเป็นต้องใช้ zero-day ใหม่เลย ตราบใดที่องค์กรยังปล่อยช่องโหว่ที่รู้จักแล้วไว้บนฮาร์ดแวร์ปลายทางที่เชื่อมต่อเครือข่าย” เขายังชี้ว่าความอันตรายไม่ได้อยู่ที่ชุด exploit หลายสถาปัตยกรรมเพียงอย่างเดียว แต่อยู่ที่การพรางตัวด้วยทราฟฟิกที่ดูเหมือนการสื่อสาร VoIP และ WebRTC ปกติ ควบคู่กับการปิด watchdog และซ่อนตัวหลังโปรเซสสิทธิ์ root

วิธีการโจมตี

ห่วงโซ่การโจมตีเริ่มจากการสแกนหาอุปกรณ์ที่เปิดสู่อินเทอร์เน็ตแล้วยิง exploit ของช่องโหว่ command injection หรือ RCE ที่รู้จักแล้ว เมื่อเจาะสำเร็จ ClingSTUN จะติดตั้งกลไกคงอยู่ในระบบ จากนั้นใช้เซิร์ฟเวอร์ STUN สาธารณะเป็นเหมือนคนกลางของเครือข่าย เพื่อหาว่าอุปกรณ์ที่ติดเชื้อปรากฏบนอินเทอร์เน็ตด้วย IP และพอร์ตใด และพอร์ตใดเข้าถึงได้จากภายนอก แล้วส่งข้อมูลการแมปนี้กลับไปยังเซิร์ฟเวอร์ STUN เป็นระยะ

นาย Li ยอมรับข้อจำกัดของการวิเคราะห์อย่างตรงไปตรงมาว่า “ไม่พบการลงทะเบียนกับเซิร์ฟเวอร์ประสานงานแยกต่างหากในเส้นทางนี้ และวิธีที่ผู้ควบคุมได้ข้อมูลการแมปภายนอกไป รวมถึงวิธีส่งทราฟฟิกควบคุมผ่าน NAT ยังไม่ได้รับการยืนยัน” กล่าวคือ FortiGuard รู้ว่ามัลแวร์เปิดทางไว้อย่างไร แต่ยังไม่รู้ว่าผู้โจมตีเข้ามาใช้ทางนั้นอย่างไร ซึ่งต่างจากบ็อตเน็ตทั่วไปที่ต้องติดต่อเซิร์ฟเวอร์ C2 ที่ระบุตัวและบล็อกได้

เมื่อพร้อมใช้งาน อุปกรณ์ที่ติดเชื้อจะทำหน้าที่เป็นโหนดตัวกลางที่ผู้โจมตีส่งทราฟฟิกผ่านได้ คล้ายบริการ residential proxy ผิดกฎหมาย นักวิจัยระบุว่าข้อความที่มัลแวร์ส่งออกมีลักษณะเฉพาะ คือมีตัวระบุกลุ่ม (group identifier) และรายการพอร์ตที่แมปไว้ ประกอบกับการเปิด UDP socket หลายช่องและการติดต่อเซิร์ฟเวอร์ STUN จำนวนมากผิดปกติ ซึ่งเป็นสัญญาณที่ใช้ตรวจจับได้

มุมมองจาก Nozomi Networks: ช่องทางสั่งงานที่ซ่อนในแพ็กเก็ต STUN

บริษัท Nozomi Networks ผู้ให้บริการความปลอดภัย OT เผยแพร่รายงานเกี่ยวกับมัลแวร์ตัวเดียวกันภายใต้ชื่อ “Cling” ก่อนรายงานของ FortiGuard ราวหนึ่งสัปดาห์ และเว็บไซต์ The Hacker News สรุปไว้เมื่อวันที่ 5 ตุลาคม 2569 Nozomi สังเกตว่าตั้งแต่ราววันที่ 5 กันยายน 2569 มีความพยายามยิงช่องโหว่ CVE-2021-35394 (CVSS 9.8) ซึ่งเป็นช่องโหว่ RCE ใน Realtek Jungle SDK พุ่งสูงขึ้น และส่วนหนึ่งของการโจมตีนั้นส่ง Cling ลงเครื่อง นอกจากชุด exploit ที่ FortiGuard รายงานแล้ว ตัวอย่างที่ Nozomi วิเคราะห์ยังมี exploit ของเราเตอร์ Eir D1000 (CVE-2016-10372) อีกด้วย Nozomi สรุปว่า “Cling ไม่ได้โดดเด่นเพราะวิธีแพร่กระจายใหม่ แต่เพราะนำพฤติกรรม STUN ธรรมดามาใช้เป็นช่องทาง C2 ได้จริง”

ด้านการฝังตัว Cling ตรวจว่ารันอยู่เพียงชุดเดียวด้วยการผูก socket ที่พอร์ต 33957 (หากผูกไม่ได้จะปิดตัวเอง) จากนั้นคัดลอกตัวเองไปที่ /root/.cling และ /usr/local/bin/.cling แล้วเพิ่มลงใน /etc/inittab, /etc/init.d/rcS และ /etc/rc.d/rc.boot เพื่อให้รันทุกครั้งที่บูตบนระบบ SysV และ BusyBox อีกวิธีหนึ่งคือย้ายไบนารี wget ตัวจริงไปไว้ที่อื่นแล้ววางตัวมัลแวร์แทน ทำให้มัลแวร์ทำงานทุกครั้งที่โปรเซสปกติเรียกใช้คำสั่ง wget

กลไก C2 ที่ Nozomi ถอดได้มี 4 ขั้น คือ ส่ง STUN Binding Request ไปยังเซิร์ฟเวอร์ STUN 13 เครื่องที่ฝังไว้ทุกราว 5 วินาที โดยตั้ง transaction ID เป็นศูนย์ทั้งหมดแทนค่าสุ่มตามมาตรฐาน จากนั้นบันทึกพอร์ตภายนอกที่เซิร์ฟเวอร์ตอบกลับ แล้วส่งข้อความลงทะเบียน (UDP datagram) ที่มีพอร์ตที่แมปไว้และแท็กบอกว่าเครื่องติดเชื้อมาทางใด เช่น realtek.selfrep หรือ selfrep.router ไปยังเซิร์ฟเวอร์ทุกเครื่อง และสุดท้ายรอรับแพ็กเก็ต UDP ที่เข้ารหัสคำสั่งไว้ในฟิลด์ transaction ID ข้อความลงทะเบียนไม่เป็นไปตามมาตรฐาน STUN เซิร์ฟเวอร์ที่ถูกกฎหมายจึงทิ้งไป แต่เซิร์ฟเวอร์ 145.249.115[.]184 ตอบกลับด้วย transaction ID ที่เป็นศูนย์ทั้งหมดแทนการสะท้อนค่าเดิม Nozomi จึงประเมินว่าเซิร์ฟเวอร์นี้ปรับแต่งมาเพื่อบ็อตโดยเฉพาะ และผู้ควบคุมต้องมองเห็นทราฟฟิกของเซิร์ฟเวอร์อย่างน้อยหนึ่งเครื่องในรายการเพื่อติดตามบ็อตใหม่

จุดที่ Nozomi เห็นว่าน่าสนใจที่สุดคือแพ็กเก็ตที่บรรจุคำสั่งมีแหล่งที่มาเป็น 74.125.250[.]129 ซึ่งเป็น IP ที่ stun.l.google.com ชี้ไป “ผู้ควบคุมไม่ได้แค่ซ่อนคำสั่งในแพ็กเก็ตที่ดูเหมือน STUN แต่ทำให้คำสั่งดูเหมือนเป็นการตอบกลับที่ถูกต้องจากบริการ STUN ที่คนรู้จักมากที่สุดบนอินเทอร์เน็ต” คำสั่งที่รองรับได้แก่ สแกนและแพร่ต่อแบบ worm เปิดหรือปิดอุโมงค์ TCP เปิดหรือปิด proxy และโจมตี DoS ใส่เป้าหมายตามระยะเวลาที่กำหนด เป้าหมาย DoS ที่ Nozomi พบมีทั้ง ISP ในเกาหลีใต้ คลัสเตอร์ของมหาวิทยาลัยชิคาโก และเซิร์ฟเวอร์เกม Minecraft สองแห่ง ข้อมูลนี้เติมช่องว่างที่ FortiGuard ยังไม่ยืนยัน และชี้ว่ามัลแวร์ตัวนี้ไม่ได้เป็นแค่ proxy แต่เป็นบ็อตเน็ตที่ใช้ยิง DoS ได้ด้วย

ผลกระทบ

นาย Li อธิบายว่าอุปกรณ์ที่ถูก ClingSTUN ยึดสามารถเป็นทางผ่านให้ผู้โจมตีส่งทราฟฟิก จนกิจกรรมอันตรายดูเหมือนมาจาก IP สาธารณะขององค์กร “สิ่งนี้สร้างความเสี่ยงที่ IP จะถูกขึ้นบัญชีดำ เสียชื่อเสียง สิ้นเปลืองแบนด์วิดท์ และกระทบการดำเนินงาน และขึ้นอยู่กับการกำหนดเส้นทางและการแบ่งส่วนเครือข่าย อุปกรณ์นั้นอาจเปิดทางเข้าสู่ปลายทางภายในที่มันเข้าถึงได้ด้วย” ความเสี่ยงข้อหลังสำคัญเป็นพิเศษ เพราะกล้องวงจรปิดหรือเราเตอร์ที่อยู่ในเครือข่ายเดียวกับระบบภายในอาจกลายเป็นจุดตั้งต้นให้ผู้โจมตีเข้าสู่เครือข่ายองค์กร

ปัญหาเชิงโครงสร้างคืออุปกรณ์เหล่านี้มักมองไม่เห็นในสายตาของระบบป้องกันขอบเครือข่ายและ EDR เพราะติดตั้งเอเจนต์ไม่ได้ และหลายรุ่นหมดอายุการสนับสนุนไปแล้ว ช่องโหว่ที่ใช้มีอายุตั้งแต่ปี 2014 ถึง 2026 ซึ่งสะท้อนว่าอุปกรณ์จำนวนมากไม่เคยถูกอัปเดตเฟิร์มแวร์เลยตลอดอายุการใช้งาน นอกจากนี้ การบล็อกเซิร์ฟเวอร์ STUN สาธารณะทั้งหมดก็ไม่ใช่ทางออก เพราะจะกระทบบริการที่ถูกกฎหมายที่ต้องใช้ STUN อย่างระบบประชุมทางวิดีโอและ VoIP

คำแนะนำ

• จัดทำบัญชีอุปกรณ์ IoT และ OT ให้ครบ ทั้งรุ่นและเวอร์ชันเฟิร์มแวร์ แล้วเทียบกับรายการช่องโหว่ในรายงานของ FortiGuard เพื่ออัปเดตตามที่ผู้ผลิตรองรับโดยเร็ว
• อุปกรณ์ที่ยังอัปเดตไม่ได้หรือหมดอายุการสนับสนุน ให้ตัดการเปิดสู่อินเทอร์เน็ตโดยตรง หรือปิดบริการที่มีช่องโหว่หากทำได้
• จำกัดการเข้าถึงหน้าจัดการอุปกรณ์ IoT ผ่านเครือข่ายจัดการที่เชื่อถือได้ หรือเกตเวย์ที่ใช้ MFA และแยกอุปกรณ์ไว้ในเครือข่ายย่อยเฉพาะ พร้อมจำกัดทราฟฟิกขาเข้าและขาออก
• ตรวจจับตามบทบาทของอุปกรณ์แทนการบล็อก STUN ทั้งหมด เช่น กล้องหรือ DVR ที่ติดต่อเซิร์ฟเวอร์ STUN หลายแห่ง เปิด UDP socket จำนวนมาก หรือส่งข้อความซ้ำ ๆ ที่มีตัวระบุกลุ่มและรายการพอร์ต
• เฝ้าระวังทราฟฟิกขาออกจากอุปกรณ์ IoT และตรวจสอบว่า IP สาธารณะขององค์กรถูกขึ้นบัญชีดำหรือถูกใช้ในกิจกรรมผิดปกติหรือไม่
• ตรวจหาแพ็กเก็ต STUN Binding Request ที่มี transaction ID เป็นศูนย์ทั้งหมด และการตอบกลับจาก IP ของ STUN สาธารณะที่ไม่ตรงกับคำขอ ซึ่งเป็นลักษณะเฉพาะของ Cling ตามรายงานของ Nozomi
• บนอุปกรณ์ลินุกซ์ฝังตัว ตรวจไฟล์ .cling ใน /root และ /usr/local/bin รายการที่ถูกเพิ่มใน /etc/inittab และสคริปต์บูต รวมถึงตรวจว่าไบนารี wget ถูกแทนที่หรือไม่

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนนำไปใช้ต้องแปลงกลับ · 74.125.250[.]129 เป็น IP จริงของ Google ที่ถูกปลอมเป็นแหล่งที่มา ห้ามบล็อกทั้ง IP ให้ใช้ประกอบการตรวจพฤติกรรมเท่านั้น

แหล่งอ้างอิง

• Nozomi Networks — A STUNning Disguise: Cling Malware Masquerades as Google
• The Hacker News — Realtek Jungle SDK Exploit Attempts Deliver Cling Botnet With STUN-Based C2
• Fortinet — ClingSTUN: Linux Backdoor Abuses Public STUN Infrastructure
• Dark Reading — ClingSTUN Turns Vulnerable IoT Devices Into Proxy Nodes
• NVD — CVE-2021-36380