Khai thác Realtek Jungle SDK để phát tán botnet Cling qua STUN
"Threat actors are exploiting a patched critical RCE vulnerability in Realtek Jungle SDK, tracked as CVE-2021-35394 (CVSS 9.8), to deploy the Cling botnet. Cling uses multiple router/DVR exploit modules for propagation, establishes persistence by modifying init scripts or replacing wget, and abuses STUN traffic and a STUN-like C2 channel to register bots, receive commands, proxy/tunnel traffic, and launch DoS attacks."
Rủi ro cao do RCE đã được khai thác thực tế, có thể dẫn tới chiếm quyền thiết bị biên và mở rộng thành botnet. Việc ngụy trang qua STUN làm giảm khả năng phát hiện trên mạng.
Có thể gây gián đoạn dịch vụ mạng, suy giảm hiệu năng thiết bị và phát sinh DoS nhắm vào hạ tầng nội bộ hoặc bên ngoài. Môi trường dùng router/DVR cũ hoặc chưa vá chịu tác động lớn hơn.
Các nhà nghiên cứu ghi nhận hoạt động khai thác CVE-2021-35394 trên Realtek Jungle SDK, một lỗ hổng RCE nghiêm trọng đã được vá, để triển khai botnet Cling. Chiến dịch này bắt đầu tăng mạnh từ khoảng 05/09/2026 và một phần lưu lượng đã dẫn tới việc cài mã độc lên router và DVR.
Cling không chỉ dựa vào một vector tấn công duy nhất mà còn tích hợp logic khai thác cho nhiều thiết bị từ nhiều nhà cung cấp, bao gồm các lỗ hổng trên router và camera/DVR. Sau khi xâm nhập, mã độc tạo persistence bằng cách sửa init scripts hoặc thay thế wget, đồng thời sao chép thành các tệp ẩn như /root/.cling và /usr/local/bin/.cling.
Điểm đáng chú ý là Cling lạm dụng STUN và hạ tầng STUN công khai để đăng ký bot, nhận lệnh, proxy/tunnel lưu lượng và thực hiện DoS. Lưu lượng điều khiển có thể trông giống hoạt động NAT traversal hợp lệ, khiến việc phát hiện trên mạng khó hơn.
Khuyến nghị: ưu tiên vá CVE-2021-35394 và các lỗ hổng router/DVR liên quan, rà soát thiết bị biên mạng, kiểm tra thay đổi đối với init scripts và wget, đồng thời giám sát bất thường với STUN traffic, kết nối UDP định kỳ và dấu hiệu proxy/tunnel hoặc quét lan truyền kiểu worm.