Pesquisadores da Nozomi Networks identificaram um aumento nas tentativas de exploração da CVE-2021-35394, falha com nota 9.8 no Realtek Jungle SDK, usada para instalar a botnet Cling em roteadores e gravadores de vídeo. A atividade cresceu a partir de 5 de setembro.
A vulnerabilidade tem cinco anos e permite execução remota de código. O SDK afetado é usado por diversos fabricantes, o que espalha o problema por equipamentos de marcas diferentes, e aparelhos desse tipo costumam passar anos sem atualização de firmware, quando chegam a receber alguma.
O Cling não depende apenas dessa porta de entrada. O código carrega exploits para sete vulnerabilidades distintas, que atingem produtos de Realtek, Linksys, MVPower, TBK, LB-LINK, FiberHome e China Mobile.
Uma vez instalado, o malware faz varredura recursiva e se espalha como um worm, além de abrir e fechar túneis TCP, ligar e desligar proxies e participar de ataques de negação de serviço.
O canal de comando é o detalhe mais engenhoso. Os operadores escondem as instruções no campo de identificação de transação do protocolo STUN, usado em chamadas de voz e vídeo para descobrir endereços de rede.
As mensagens são enviadas de modo a parecer respostas legítimas do servidor STUN público do Google, o que faz o tráfego de controle se misturar ao de uma videochamada comum.
A FortiGuard Labs, da Fortinet, confirmou as descobertas e passou a tratar a variante pelo nome ClingSTUN. O caso mostra que falhas antigas em equipamento de rede continuam rendendo, principalmente em aparelhos que raramente recebem atualização.
