FortiGuard Labs 于 10 月 5 日披露一个名为 ClingSTUN 的 Linux 后门，该恶意软件利用约 24 个已知漏洞入侵路由器、IoT 设备与 DVR 等联网硬件，把受害设备变成可远程控制的代理节点，并滥用合法的公共 STUN 服务器隐藏通信。由于其流量与正常的 VoIP、WebRTC 通信混在一起，传统基于恶意域名黑名单的检测手段很难发现。
事件概述
ClingSTUN 被 Fortinet 描述为“反向连接代理后门”，能够维持持久化、执行远程命令并自我传播。攻击者最初利用 Hytec Inter 路由器的一个已知命令注入漏洞进入，随后不断更换下载基础设施与利用的漏洞，最新一轮已覆盖 D-Link、TP-Link、Realtek、Linksys、Tenda、EnGenius、Ivanti、Lantronix、AVTECH、MeiG、Sunhillo、KGUARD 等十余家厂商的设备，漏洞类型涵盖命令注入、代码注入与缓冲区溢出。多数漏洞早已有补丁，攻击之所以奏效，主要是大量边缘设备仍以过旧固件暴露在公网。
技术细节
感染后，ClingSTUN 会把自身复制到隐藏位置，并向 /etc/inittab、/etc/init.d/rcs、/etc/rc.d/rc.boot 追加启动项，确保重启后依然存活；它还会关闭设备的看门狗定时器，防止系统因异常自动重启而清除感染，并扫描并杀掉竞争恶意软件的进程。获取 root 权限后，它把自身进程信息伪装成 PID 1（init）的元数据，使 ps 等工具难以察觉。通信方面，它向公共 STUN 端点发送标准 20 字节绑定请求以获取 NAT 映射与外网地址，早期版本使用 24 个端点、后期收敛到 13 个，控制指令则通过另开的 TCP 连接下发。程序内含 7 个硬编码利用用于横向扩散，并支持 ARM、MIPS、PowerPC、x86 等多种架构。
影响评估
该恶意软件的危害不在单台设备本身，而在于把受害设备的公网 IP 变成攻击者的“跳板”：通过被感染设备中转，攻击流量会呈现为来自企业内部的可信 IP，从而绕过边界防护并掩盖真实来源。Fortinet 观察到操作者可下发扫描、启停 TCP 隧道、开启代理服务以及发起 DoS 攻击等指令，观测到的 DoS 目标包括韩国 ISP、美国某大学集群与 Minecraft 服务器。由于大量联网边缘设备长期不升级、厂商已停止支持，这类“旧漏洞组合拳”屡试不爽，且被感染设备往往不在企业常规资产清单内。
修复建议
应为所有联网边缘设备建立准确台账，记录固件版本与支持状态，能打的补丁立即打，无法修复或已停止支持的设备应隔离或更换。检测上，除关注异常进程与持久化文件外，更应结合设备行为判断：出现与业务无关的频繁 STUN/UDP 连接、全零事务 ID 或非标准绑定请求时应重点排查。Fortinet 强调，不应简单把被访问的公共 STUN 服务器当作恶意基础设施——问题出在设备为何产生这些连接，行为比目的地信誉更值得关注。