Realtek Jungle SDK Exploit Attempts Deliver Cling Botnet With STUN-Based C2
The Hacker News · 5 oct, 13:46
Qué hacer: Actualiza a la versión parched de Realtek Jungle SDK y aplica parches para las CVEs adicionales listadas en routers y DVRs: CVE-2016-10372, CVE-2016-20016, CVE-2023-26801, CVE-2023-41011, CVE-2024-3721 y CVE-2025-34037.
Actores de amenaza han explotado CVE-2021-35394, una vulnerabilidad crítica en el Realtek Jungle SDK, para desplegar el botnet Cling desde principios de septiembre de 2026. El malware es notable por repurposar el protocolo STUN (un mecanismo legítimo de traversal NAT) como canal de comando y control, camuflando el tráfico malicioso como comunicaciones normales mientras distribuye comandos de propagación, proxy, túnel y denegación de servicio.
Nozomi Networks documentó que Cling contiene lógica de exploit para múltiples vulnerabilidades de inyección de comandos y ejecución remota afectando routers y grabadores DVR de varios fabricantes, incluyendo CVE-2014-8361 (Realtek SDK), CVE-2016-10372 (Eir D1000), CVE-2016-20016 (MVPower CCTV DVR), CVE-2023-26801 (LB-LINK), CVE-2023-41011 (FiberHome y China Mobile), CVE-2024-3721 (TBK DVR) y CVE-2025-34037 (Linksys). El malware logra persistencia copiándose a /root/.cling y /usr/local/bin/.cling, añadiéndose a archivos de inicialización del sistema, o reemplazando el binario wget.
El mecanismo C2 envía solicitudes STUN Binding a 13 servidores STUN codificados cada 5 segundos, registrando los puertos mapeados y enviando mensajes de registro personalizados. Los comandos del operador se codifican en el campo ID de transacción STUN, aparentando provenir de direcciones IP legítimas como stun.l.google.com (74.125.250.129). Los objetivos reportados de ataques DDoS incluyen proveedores de ISP coreanos, servidores académicos y servidores de Minecraft.
Puntos clave
- CVE-2021-35394 (CVSS 9.8) en Realtek Jungle SDK es el vector de entrada inicial
- El botnet contiene exploits para al menos 7 CVEs adicionales en routers y DVRs
- Usa STUN para C2 haciéndolo parecido a tráfico NAT legítimo
- Persiste mediante copia a directorios del sistema y modificación de /etc/inittab, /etc/init.d/rcS, /etc/rc.d/rc.boot
- Comandos del operador se originan desde 74.125.250.129 (resuelve a stun.l.google.com)