رصد باحثون محاولات متزايدة لاستغلال ثغرة حرجة سبق ترقيعها في حزمة تطوير البرمجيات Realtek Jungle SDK بهدف نشر برمجية خبيثة تُعرف باسم Cling، وهي بوت نت تتميز بقدرتها على إخفاء اتصالاتها داخل حركة شبكية تبدو سليمة. ولا تكمن خطورة هذه البرمجية في ابتكار أسلوب انتشار جديد، بل في إعادة توظيف سلوك بروتوكول STUN المعتاد ليصبح قناة عملية للتحكم والسيطرة.
رصد موجة استغلال لثغرة CVE-2021-35394 وكيف تعمل Cling
قالت شركة Nozomi Networks المتخصصة في أمن التقنيات التشغيلية: إن بوت نت Cling يحوّل سلوك STUN العادي إلى قناة تحكم عملية، وإن حركة المرور الناتجة عنها قد تشبه نشاط اجتياز NAT المشروع، مع بقاء قدرتها على دعم الانتشار والوكالة وإنشاء الأنفاق وشن هجمات الحرمان من الخدمة. وأفادت الشركة برصد ارتفاع في محاولات استغلال الثغرة CVE-2021-35394، وهي ثغرة تنفيذ شيفرات عن بعد حصلت على تقييم 9.8 على مقياس CVSS، بدءًا من نحو 5 سبتمبر 2026، وتضمّن جزء من هذا النشاط تسليم Cling.
وكشف تحليل عينة من البرمجية أنها تضمّن منطق استغلال لعدد من ثغرات حقن الأوامر وتنفيذ الشيفرات عن بعد تصيب أجهزة توجيه وأجهزة تسجيل فيديو من عدة مصنّعين، منها ثغرة Realtek SDK رقم CVE-2014-8361، وثغرة جهاز التوجيه Eir D1000 رقم CVE-2016-10372، وثغرة MVPower لكاميرات المراقبة رقم CVE-2016-20016، وثغرة أجهزة LB-LINK رقم CVE-2023-26801، وثغرة FiberHome وChina Mobile رقم CVE-2023-41011، وثغرة TBK رقم CVE-2024-3721، وثغرة Linksys رقم CVE-2025-34037. وللتأكد من تشغيل نسخة واحدة فقط، تربط البرمجية مقبسًا بالمنفذ 33957 وتنهي نفسها بهدوء إذا فشل الربط، ثم تنسخ نفسها إلى المسارين /root/.cling و/usr/local/bin/.cling، وتضيفهما إلى ملفات الإقلاع في /etc/inittab و/etc/init.d/rcS و/etc/rc.d/rc.boot لتضمن البقاء على أنظمة SysV وBusyBox. وتلجأ كذلك إلى آلية بديلة تقوم على تحديد الملف التنفيذي wget واستبداله بالبرمجية الخبيثة بعد نقل النسخة الأصلية إلى موضع آخر، فتعمل البرمجية كلما استدعت عملية مشروعة الأمر wget.
كيف تستغل Cling بروتوكول STUN لإخفاء قناة القيادة والسيطرة
يُعد STUN، وهو اختصار لأدوات اجتياز الجلسات لترجمة عناوين الشبكة NAT، بروتوكول شبكيًا قياسيًا يساعد الأجهزة الواقعة خلف جدار ناري أو خلف NAT على إقامة اتصالات لحظية مباشرة بين الأطراف. وتستغل Cling هذا البروتوكول وبنيته العامة لتسجيل الأجهزة المصابة وتلقي أوامر المشغّل وجعل النشاط الخبيث أقل وضوحًا لأنظمة مراقبة الشبكات.
وتتبع البرمجية أربع خطوات للتواصل مع خوادم التحكم، فهي ترسل طلب ربط STUN إلى قائمة مضمّنة تضم 13 خادمًا كل خمس ثوانٍ تقريبًا، مع ضبط معرّف المعاملة على أصفار كاملة بدلًا من قيمة عشوائية كما تنص المواصفة. ثم تسجل المنافذ الخارجية التي تعيدها الخوادم عند استلام رسالة نجاح الربط التي تتضمن عنوان IP العام ومنافذ الجهاز، وترسل رسالة تسجيل مخصصة عبر UDP إلى كل خادم تحمل المنافذ المرصودة ووسمًا يحدد طريقة الإصابة مثل realtek.selfrep وselfrep.router، وأخيرًا تفحص حزم UDP التي تشفّر أوامر المشغّل داخل حقل معرّف المعاملة في STUN. وذكرت Nozomi أن النشاط يبدو من منظور المراقبة وكأنه تفاعل عادي مع خوادم STUN، وأن إرسال رسالة التسجيل إلى كل الخوادم يدل على أن المشغّل يحتاج إلى الاطلاع على أحدها على الأقل لتتبع الأجهزة الجديدة الداخلة إلى الشبكة ومعرفة وجهة الأوامر.
ولا تلتزم رسائل التسجيل بتعريف بروتوكول STUN، ما يدفع خوادم STUN المشروعة إلى إسقاطها. غير أن أحد الخوادم الثلاثة عشر، وهو 145.249.115[.]184، أعاد معرّف معاملة مكوّنًا من أصفار بدلًا من تكرار معرّف الطلب الأصلي في رد نجاح الربط. ويرجّح هذا السلوك الشاذ، بحسب Nozomi، أن الخادم مصمم خصيصًا لحركة STUN الخاصة بالبوت نت وأنه يُستخدم لإيصال أوامر المشغّل إلى الأجهزة المصابة عبر تضمينها في حقل معرّف المعاملة.
قدرات الهجوم والأهداف المرصودة وانتحال هوية خادم Google
تتيح الأوامر لمشغّل الهجوم مسح الشبكات بصورة متكررة وتوسيع البوت نت على نحو يشبه انتشار الديدان، وتشغيل نفق TCP أو إيقافه، وتشغيل وكيل أو إيقافه، وتنفيذ هجوم حرمان من الخدمة ضد هدف محدد لمدة زمنية معينة. وشملت أهداف الإغراق المرصودة العنوان 112.151.157[.]222 على المنفذ 8080 وهو يتبع مزود خدمة إنترنت في كوريا الجنوبية، والعنوان 192.170.240[.]137 على المنفذ 53 وهو تابع لعنقود حوسبة في جامعة شيكاغو، والعنوانين 23.81.40[.]193 و147.185.221[.]129 على المنفذ 25565 وهما لخوادم ماينكرافت.
وأوضحت Nozomi أن أبرز ما في حركة التحكم هو مصدر الأوامر، فالحزم التي تحمل أوامر المشغّل تنطلق من العنوان 74.125.250[.]129 الذي يُحل إليه النطاق stun.l.google.com. وهذا يعني أن المشغّل لا يكتفي بإخفاء الأوامر داخل حزمة تشبه STUN، بل يجعلها تبدو كردود مشروعة من إحدى أشهر خدمات STUN على الإنترنت.
تحديث فورتينت وتسمية ClingSTUN وقائمة الثغرات المستهدفة
وصفت Fortinet FortiGuard Labs في تقرير جديد نشرته في 5 أكتوبر 2026 البرمجية بأنها تستغل ثغرات غير مرقّعة في أجهزة متصلة بالإنترنت لإقامة موطئ قدم دائم، وأطلقت عليها اسم ClingSTUN. وأفادت بأن البرمجية حصلت على الوصول الأولي أيضًا عبر استغلال عدد من ثغرات حقن الأوامر في منتجات Linear وD-Link وSunhillo SureLine وTenda وHytec Inter وTP-Link وIvanti Connect Secure وPolicy Secure وAVTECH وEnGenius وLantronix EDS5000 وMeiG، ومن معرّفاتها CVE-2019-7256 وCVE-2023-1389 وCVE-2023-46805 وCVE-2024-21887 وCVE-2024-7029 وCVE-2025-34035 وCVE-2025-67038 وCVE-2026-36356.
وكما هو شأن عائلات البوت نت الأخرى، تعتمد الهجمات على سكربتات تحميل تعمل بصدفة الأوامر لجلب الحمولات الخبيثة المناسبة لمعماريات لينكس المختلفة، ومنها ARM وIntel 80386 وMIPS R3000 وPowerPC وAMD X86-64. وبعد تشغيلها، تستطيع Cling إنهاء البرمجيات المنافسة وإنشاء آليات بقاء على الجهاز المصاب وتيسير تنفيذ الأوامر عن بعد والانتشار الذاتي، وتضمّن لذلك استغلالات جاهزة لسبع ثغرات هي CVE-2014-8361 وCVE-2016-20016 وCVE-2023-26801 وCVE-2023-41011 وCVE-2024-3721 وCVE-2025-34037 وCVE-2026-87827 الخاصة بأجهزة KGUARD DVR. وقالت Fortinet إن ClingSTUN يعمل كباب خلفي ووكيل اتصال عكسي يحوّل الأنظمة المصابة إلى عقد وكيلة يتحكم فيها المشغّل عن بعد، وإنه يسيء استخدام بنية STUN العامة لاكتشاف عناوين IP والمنافذ المعيّنة خارجيًا والحفاظ على ارتباطات NAT وتحسين الاتصال بين الأجهزة المخترقة والمشغّلين، وإن كثيرًا من الخوادم التي يتصل بها مشروعة، ولذلك تمتزج حركته بسهولة مع اتصالات VoIP وWebRTC المعتادة.
