07/10/2026 · VietTechies · Biên tập
Các chuyên gia nghiên cứu an toàn thông tin tại FortiGuard Labs vừa phát hiện một mã độc cửa sau (backdoor) trên hệ điều hành Linux có tên ClingSTUN. Mã độc này biến các hệ thống bị nhiễm thành proxy kết nối ngược, lợi dụng các yêu cầu giao thức STUN (Session Traversal Utilities for NAT) hợp pháp để xác định địa chỉ IP bên ngoài và duy trì kết nối xuyên qua bức tường lửa mạng.
Khai thác trên diện rộng và hỗ trợ đa kiến trúc
ClingSTUN thâm nhập ban đầu bằng cách khai thác hai mươi tư lỗ hổng bảo mật trên các thiết bị mạng và phần mềm đến từ nhiều nhà sản xuất lớn như Avtech, EnGenius, D-Link, Hytec, Ivanti, Lantronix, Linear, MeiG, Realtek, Sunhillo, Tenda và TP-Link. Những kẻ vận hành mã độc này đang tích cực mở rộng danh mục mục tiêu nhằm bổ sung thêm nhiều lỗ hổng bảo mật mới.
Mã độc cũng được tích hợp sẵn thành phần tự lây nhiễm chứa các mã khai thác được mã hóa cứng cho 7 lỗ hổng bảo mật trong sản phẩm của China Mobile, KGUARD, Linksys, LB-LINK, MVPower, Realtek và TBK. Các mô-đun tải xuống sẽ lấy về các tệp thực thi nhị phân tương thích để tấn công nhiều kiến trúc phần cứng khác nhau, bao gồm AMD X86-64, ARM, Intel 80386, MIPS R3000 và PowerPC.
Cơ chế duy trì ẩn náu và thủ thuật hoạt động
FortiGuard Labs đã phân tích ba biến thể của mạng máy tính ma (botnet) này và nhận thấy hành vi tương đồng giữa các phiên bản. Tiến trình hoạt động của mã độc sẽ chủ động tiêu diệt các tiến trình độc hại cạnh tranh, đồng thời vô hiệu hóa bộ đếm thời gian giám sát hệ thống (watchdog timer) nhằm bảo vệ môi trường thực thi của mình.
Để duy trì sự tồn tại sau mỗi lần hệ thống khởi động lại, ClingSTUN sao chép tệp thực thi của nó thành hai tệp ẩn và cấp quyền chạy. Sau đó, nó chèn thêm các câu lệnh khởi động vào ba kịch bản khởi tạo hệ thống chuẩn, đảm bảo mã độc tự động chạy trong quá trình khởi động.
Lợi dụng hạ tầng công cộng hợp pháp
Nhằm duy trì kết nối proxy qua các rào cản chuyển đổi địa chỉ mạng (NAT), ClingSTUN tạo một socket UDP cục bộ gắn với một cổng ngẫu nhiên và gửi các yêu cầu liên kết STUN tiêu chuẩn đến các điểm cuối STUN công cộng. Mã độc định kỳ truyền định danh nhóm cùng sơ đồ cổng ngược trở lại các điểm cuối này mà không cần sử dụng máy chủ điều phối riêng trong giai đoạn này. Nó cũng lắng nghe các gói tin đầu vào cụ thể để kích hoạt cơ chế tự lây nhiễm hoặc thực thi lệnh từ xa.
FortiGuard Labs lưu ý rằng các máy chủ STUN công cộng bị lợi dụng là các dịch vụ hợp pháp và không nên bị coi là hạ tầng do kẻ tấn công kiểm soát. Đội ngũ an ninh mạng được khuyến nghị phát hiện dấu hiệu xâm nhập bằng cách đánh giá lưu lượng STUN bất thường kết hợp với các hoạt động tiến trình lạ trên máy chủ, các kết nối mạng UDP không rõ nguyên nhân và các tín hiệu duy trì kết nối (keepalive) lặp đi lặp lại.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Linux Backdoor Abuses STUN Protocol, Exploits Dozens of Flaws