OWN NEWS GATHER
← 戻る
The Hacker News

Realtek製SDKの脆弱性を悪用する新ボットネット「Cling」を確認——STUNプロトコルを偽装したC2通信を実行

要点

  • Realtek Jungle SDKの重大な脆弱性（CVE-2021-35394）を狙い、新種ボットネットマルウェア「Cling」を感染させる攻撃が急増している。

  • ClingはNAT越えのための標準プロトコル「STUN」の通信を偽装し、ネットワーク監視を回避しながらC2（指令サーバー）通信を行う。

  • 複数ベンダーのルーターや監視カメラレコーダーが抱える脆弱性を突く攻撃コードを内蔵し、自律的に感染を拡大する。

  • 感染後は起動設定への追記やwgetコマンドの乗っ取りによって永続化し、DDoS攻撃やプロキシ構築などの遠隔操作を実行する。

  • OT（制御技術）セキュリティ企業のNozomi Networksは、Realtek Jungle SDKの既知の脆弱性を悪用して拡散する新たなボットネットマルウェア「Cling」の活動を確認したとする調査レポートを公開した。報告によると、2026年9月上旬よりパッチ適用済みの深刻な脆弱性を突く攻撃が急増しており、その攻撃活動の一部でClingの配信が行われているという。

  • Clingは感染拡大の手法そのものよりも、標準的なネットワークプロトコルであるSTUN（Session Traversal Utilities for Network Address Translation）をC2（コマンド＆コントロール）通信の経路として悪用している点が特徴的であると指摘されている。

Realtek SDKの脆弱性悪用と標的となる機器群

Nozomi Networksの観測によると、2026年9月5日頃からRealtek Jungle SDKに存在するリモートコード実行（RCE：遠隔から不正なコードを実行される欠陥）の脆弱性「CVE-2021-35394」（CVSSスコア：9.8）を狙った攻撃の試みが急増した。この脆弱性はすでに修正パッチが提供されているものの、パッチが未適用のまま運用されている機器が標的となっている。

解析されたClingの検体には、Realtek製SDKだけでなく、複数のベンダーが提供するルーターやDVR（監視カメラ用デジタルビデオレコーダー）に存在するコマンドインジェクションやRCEの脆弱性を突くエクスプロイトコードが組み込まれていた。具体的には以下の脆弱性が悪用対象として特定されている。

  • Realtek SDKのRCE脆弱性（CVE-2014-8361）
  • Eir製ルーター「D1000」のRCE脆弱性（CVE-2016-10372）
  • MVPower製CCTV DVRのRCE脆弱性（CVE-2016-20016）
  • LB-LINK製ルーターのRCE脆弱性（CVE-2023-26801）
  • FiberHome製ルーター「SR1041F」および中国移動（China Mobile）製「HG6543C4」のRCE脆弱性（CVE-2023-41011）
  • TBK製DVRのRCE脆弱性（CVE-2024-3721）
  • Linksys製機器のRCE脆弱性（CVE-2025-34037）

マルウェアはこれらの既知の欠陥を悪用することで、ネットワーク上の脆弱な機器に対してワームのように再帰的なスキャンと攻撃を仕掛け、ボットネットの規模を自律的に拡大させる能力を持つ。

STUNプロトコルを悪用したC2通信のメカニズム

Clingの最も際立った特徴は、STUNプロトコルおよび公開されているSTUNサーバーインフラを悪用したC2通信手法にある。STUNとは、NAT（ネットワークアドレス変換）やファイアウォールの背後にある端末が自身の公開IPアドレスやポートを特定し、P2P（端末間直接通信）の接続を支援するための標準プロトコルである。

ClingはSTUN通信のトラフィックを装うことで、ネットワーク監視システムに対して正規のNAT越え通信を行っているかのように見せかける。具体的には、以下の4段階のプロセスを経て遠隔制御を行っているという。

  1. バインディング要求の送信：検体内にハードコードされた13台のSTUNサーバーリストに対し、約5秒間隔で「STUN Binding Request」を送信する。この際、本来ランダムに生成されるべきトランザクションIDがすべてゼロに設定される。
  2. 外部ポートの記録：サーバーから端末のパブリックIPアドレスとポート番号を含む「Binding Success Response」を受信し、外部から観測されたポート情報を記録する。
  3. 独自登録メッセージの送信：記録したポート情報と、機器への感染経路を示す識別タグ（realtek.selfrepやselfrep.routerなど）を含む独自の登録メッセージ（UDPデータグラム）を各サーバーへ送信する。
  4. コマンドのポーリング：STUNのトランザクションIDフィールド内にオペレーターからの指示がエンコードされたUDPパケットを受信・待機する。

送信される登録メッセージは正規のSTUN仕様に準拠していないため、通常のSTUNサーバーではパケットが破棄される。しかし、リストに含まれる13台のサーバーのうち1台（IPアドレス：145.249.115[.]184）は、通常の応答動作とは異なり、トランザクションIDをすべてゼロにした応答を返していたという。この特異な挙動から、当該サーバーは攻撃者によってボット専用に調整されたSTUNサーバーであり、トランザクションIDフィールドを利用して感染端末へ制御コマンドを送り届けていると分析されている。

感染端末での永続化と攻撃機能

感染したシステムにおいて、Clingは多重起動を防ぎつつ長期的に潜伏するための仕組みを備えている。プロセスの二重起動を防ぐため、ソケットオプションの SO_REUSEADDR を用いてポート33957へのバインドを試み、失敗した場合はプロセスを正常終了させる。

システムの再起動後も動作を継続させる永続化の手法としては、自身を /root/.cling および /usr/local/bin/.cling に複製した上で、/etc/inittab、/etc/init.d/rcS、/etc/rc.d/rc.boot といった起動スクリプトや設定ファイルへ追記を行う。これにより、SysVやBusyBoxをベースとする組み込みLinuxシステム上で自動起動を実現する。

さらに別の永続化手法として、システム内の正規の wget コマンドを特定して別の場所へ移動させ、元の場所にCling自身を wget として置き換える動作も確認されている。この場合、システムの正規プロセスが wget を実行するたびにマルウェアが自動的に呼び出されることになる。

攻撃者からコマンドを受信したClingは、以下のような攻撃や遠隔操作を実行できる状態になる。

  • 周辺ネットワークへの再帰的スキャンと感染拡大
  • TCPトンネルの生成および停止
  • プロキシ機能の起動および停止
  • 指定した標的に対する一定時間のDoS（サービス妨害）攻撃

Nozomi Networksによると、Clingによるフラッディング攻撃（大量のパケットを送りつける攻撃）の標的として、韓国のインターネットサービスプロバイダ（ISP）、シカゴ大学のクラスタ環境、オンラインゲーム「Minecraft」のサーバーなどが実際に観測されたとしている。

元URL