ClingSTUN: il malware che trasforma router e IoT in proxy invisibili

Un router dimenticato in un armadio tecnico può diventare, a tua insaputa, il trampolino di un attacco informatico. È esattamente ciò che fa ClingSTUN: il malware ClingSTUN è una backdoor Linux che infetta router e dispositivi IoT vulnerabili e li trasforma in proxy remoti, sfruttati dagli attaccanti per instradare traffico malevolo nascondendone l’origine. A documentarlo, il 5 ottobre 2026, sono stati i ricercatori di FortiGuard Labs (Fortinet). La particolarità non è una falla nuova: il malware riusa decine di vulnerabilità già note — spesso con patch disponibile da anni — e abusa di un protocollo del tutto legittimo, STUN, per mimetizzare le proprie comunicazioni nel normale traffico di VoIP e videochiamate.

Che cos’è il malware ClingSTUN

ClingSTUN è una backdoor Linux di tipo “back-connect proxy”: compromette un dispositivo esposto su Internet, vi mantiene l’accesso nel tempo e lo rende un nodo proxy che gli attaccanti usano per far transitare altro traffico. In pratica, l’apparato infetto diventa un indirizzo IP “prestato” dietro cui nascondere operazioni malevole.

Il nome unisce due elementi: Cling, l’aggrapparsi al dispositivo per non mollarlo, e STUN, il protocollo legittimo di cui abusa. A battezzarlo così sono stati i ricercatori di FortiGuard Labs, che ne hanno ricostruito il comportamento in tre campagne distinte, ciascuna con server di download differenti. In parallelo, la società di sicurezza Nozomi Networks ha analizzato la stessa minaccia chiamandola semplicemente “Cling”: due ricerche indipendenti arrivate alla stessa famiglia di malware a pochi giorni di distanza.

A differenza di altre backdoor che prendono di mira direttamente gli sviluppatori, ClingSTUN punta all’hardware di rete: il bersaglio non sono dati sensibili, ma la connettività stessa del dispositivo.

Come ClingSTUN usa STUN per nascondersi

STUN (Session Traversal Utilities for NAT) è un protocollo che permette a un dispositivo dietro un router NAT di scoprire quale indirizzo IP pubblico e quale porta gli sono assegnati verso Internet. Lo usano ogni giorno WebRTC, i browser e le applicazioni VoIP per stabilire chiamate audio e video.

ClingSTUN sfrutta questa funzione legittima per uno scopo diverso: contatta i server STUN pubblici per capire come il dispositivo infetto è raggiungibile dall’esterno e per tenere aperta la mappatura NAT. Il risultato è una mimetizzazione quasi perfetta, perché per un amministratore di rete vedere traffico STUN non significa affatto vedere traffico malevolo: lo stesso protocollo è usato da software del tutto innocui.

Tecnicamente, il malware apre un socket UDP, si lega a una porta locale casuale e invia richieste STUN binding standard da 20 byte. Secondo l’analisi di FortiGuard Labs, una versione del malware interrogava 24 server STUN pubblici, mentre una successiva ne usava 13 — segno di una minaccia che continua a evolversi. Per approfondire i dettagli tecnici è disponibile il report originale di FortiGuard Labs.

Quali router e dispositivi IoT sono colpiti

ClingSTUN non dipende da un singolo bug: si comporta come una piattaforma capace di adattarsi al parco di dispositivi vulnerabili del momento. I ricercatori hanno osservato tentativi contro router, DVR, telecamere IP e appliance di rete di numerosi produttori, tra cui Hytec, EnGenius, D-Link, TP-Link, Realtek, AVTECH, Tenda, Lantronix, Linear e Ivanti.

Alcune delle vulnerabilità note documentate nella catena d’attacco:

Il caso di TP-Link Archer AX21 è emblematico: TP-Link aveva già distribuito un firmware correttivo nel 2023, ma la disponibilità di una patch non implica che tutti l’abbiano applicata. È il problema strutturale dell’IoT: molti apparati restano accesi per anni, a volte dimenticati, senza aggiornamenti automatici e oltre la fine del supporto. Basta che l’interfaccia vulnerabile resti raggiungibile da Internet perché una falla vecchia continui a offrire un varco.

Persistenza e tecniche di evasione

Una volta dentro, ClingSTUN lavora per restare e per non farsi trovare. Un downloader scarica il payload giusto per l’architettura del dispositivo — ARM, Intel 80386, MIPS, PowerPC o x86-64 — così da coprire l’eterogeneo mercato di router e IoT.

Per sopravvivere ai riavvii, il malware si copia in percorsi nascosti come /root/.cling e /usr/local/bin/.cling e modifica i vecchi file di boot di Linux (/etc/inittab, /etc/init.d/rcS, /etc/rc.d/rc.boot), ancora diffusi su hardware embedded basato su BusyBox. Le tecniche di evasione osservate includono:

• Eliminazione dei malware concorrenti già presenti sul dispositivo, per avere uso esclusivo delle sue risorse.
• Disattivazione del watchdog hardware, il timer di sicurezza che riavvierebbe il dispositivo in caso di blocco.
• Mascheramento come PID 1: copia le informazioni del processo init per confondersi con un processo di sistema legittimo.
• Pulizia degli argomenti da riga di comando, così da apparire “vuoto” in strumenti come ps.

Non è la prima volta che una minaccia si traveste per non insospettire: lo abbiamo visto anche con malware mascherato da comuni utility per PC. Qui l’approccio è concettualmente simile, ma applicato al cuore della rete domestica e aziendale.

Come proteggere router e IoT da ClingSTUN

La difesa più efficace contro ClingSTUN non richiede tecnologie esotiche, ma igiene di base applicata con costanza. Il primo passo è sapere quali dispositivi sono esposti: modello, versione firmware e stato del supporto dovrebbero essere noti per ogni router, DVR, telecamera e appliance.

Le contromisure consigliate dai ricercatori:

1. Aggiorna il firmware di router e dispositivi IoT, dando priorità a quelli con CVE già pubbliche.
2. Riduci l’esposizione su Internet: pannelli di amministrazione, API, UPnP e porte di gestione non dovrebbero essere pubblicati sulla WAN. Per l’accesso remoto usa una VPN.
3. Segmenta la rete: isola i dispositivi IoT su una VLAN o subnet dedicata, separata da workstation e server, per limitare il movimento laterale.
4. Sostituisci gli apparati a fine supporto; dove non è possibile, valuta un firmware open source supportato dalla community per i router più diffusi.
5. Monitora il traffico in uscita, prestando attenzione ad attività STUN anomale provenienti da dispositivi che non dovrebbero generarne.

Su un dispositivo Linux accessibile via shell vale la pena controllare la presenza dei file /root/.cling o /usr/local/bin/.cling, modifiche sospette ai file di boot e socket UDP persistenti verso host sconosciuti.

Domande frequenti su ClingSTUN

Cos’è il malware ClingSTUN?

ClingSTUN è una backdoor Linux di tipo back-connect proxy documentata da FortiGuard Labs nell’ottobre 2026. Infetta router, DVR e dispositivi IoT esposti su Internet sfruttando vulnerabilità note, vi mantiene la persistenza e li trasforma in nodi proxy controllati da remoto. Il suo tratto distintivo è l’abuso del protocollo STUN per nascondere le comunicazioni di comando e controllo.

Come fa ClingSTUN a nascondersi usando STUN?

Il malware invia richieste STUN standard ai server pubblici normalmente usati da VoIP e WebRTC per scoprire il proprio indirizzo IP pubblico e mantenere aperta la mappatura NAT. Poiché quel traffico è identico a quello di una comune videochiamata, le comunicazioni malevole si confondono con attività legittime e risultano difficili da individuare per gli amministratori di rete.

Quali router e dispositivi IoT sono colpiti?

ClingSTUN prende di mira dispositivi di molti produttori, tra cui router Hytec e TP-Link Archer AX21, servizi IoT EnGenius, apparati D-Link, Realtek, AVTECH, Tenda, Lantronix, Linear e appliance Ivanti. Sfrutta almeno 24 vulnerabilità note per l’accesso iniziale e include sette exploit per diffondersi verso altri dispositivi vulnerabili nella stessa rete.

Come proteggere router e IoT da ClingSTUN?

Le misure chiave sono aggiornare il firmware, ridurre l’esposizione su Internet di pannelli e porte di gestione, usare una VPN per l’accesso remoto e segmentare la rete isolando i dispositivi IoT. Gli apparati a fine supporto andrebbero sostituiti, e il traffico in uscita monitorato per individuare attività STUN anomale.

Conclusione

ClingSTUN è un promemoria scomodo: un dispositivo non deve contenere dati preziosi per fare gola a un attaccante, basta che sia connesso e dimenticato. La combinazione di vulnerabilità vecchie e protocolli legittimi lo rende insidioso, ma le contromisure restano alla portata di tutti. La vera sfida non è tecnologica, è di manutenzione e consapevolezza. E tu, sai esattamente quanti dispositivi hai esposti su Internet in questo momento? Dillo nei commenti.

#tuttelevitediunmaker