Cling : un botnet IoT qui camoufle ses communications C2 en trafic STUN Google

🔍 Contexte

Analyse publiée le 5 octobre 2026 sur Cryptika (source originale : CyberSecurityNews.com), basée sur un rapport de Nozomi Networks daté du 1er octobre 2026. L’article décrit le malware Cling, un botnet ciblant des appareils IoT exposés.

🎯 Vecteur d’infection et propagation

L’infection initiale exploite CVE-2021-35394, une vulnérabilité dans le SDK Realtek (composant UDPServer), affectant routeurs, points d’accès, répéteurs et autres équipements réseau. L’échantillon analysé contient également des exploits pour :

• CVE-2014-8361
• CVE-2023-26801
• CVE-2024-3721
• CVE-2025-34037
• CVE-2016-10372
• CVE-2023-41011
• CVE-2016-20016

Ces CVE étendent la portée du malware à des routeurs et équipements d’enregistrement vidéo supplémentaires.

🕵️ Technique de camouflage C2 (STUN Masquerading)

Cling contacte 13 serveurs STUN codés en dur toutes les cinq secondes via UDP, imitant le protocole STUN légitime utilisé par les applications de visioconférence. Les commandes opérateur sont encodées dans le champ transaction identifier de 12 octets du protocole STUN. Les paquets de commande semblent provenir de l’infrastructure STUN de Google (74.125.250.129), avec une usurpation d’adresse source (IP spoofing) comme explication la plus probable selon les chercheurs. Un serveur suspect (145.249.115.184) a été identifié comme relais de commandes réel via des tests contrôlés.

⚙️ Capacités du botnet

• Téléchargement de charges utiles supplémentaires
• Démarrage/arrêt de scans
• Établissement de tunnels TCP
• Activation de relais proxy
• Lancement d’attaques par déni de service (DDoS/flooding)
• Auto-propagation

🔒 Persistance

• Création de copies cachées : /usr/local/bin/.cling, /root/.cling
• Modification des scripts de démarrage : /etc/inittab, /etc/init.d/rcS, /etc/rc.d/rc.boot
• Remplacement de l’utilitaire wget tout en préservant l’original sous wget.r et en enregistrant son chemin dans wget.p

🎯 Cibles observées

Des instructions d’attaque ont été observées ciblant :

• Un fournisseur d’accès Internet sud-coréen (112.151.157.222:8080)
• L’infrastructure de l’Université de Chicago (192.170.240.137:53)
• Des serveurs de jeu Minecraft (23.81.40.193:25565, 147.185.221.129:25565)

📋 Type d’article

Publication de recherche technique avec IoCs détaillés, produite à partir d’un rapport Nozomi Networks. But principal : documenter les capacités, la technique de camouflage et les indicateurs de compromission du malware Cling pour les équipes SOC et CTI.

🧠 TTPs et IOCs détectés

TTP

• T1190 — Exploit Public-Facing Application (Initial Access)
• T1203 — Exploitation for Client Execution (Execution)
• T1059.004 — Command and Scripting Interpreter: Unix Shell (Execution)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1071 — Application Layer Protocol (Command and Control)
• T1001.001 — Data Obfuscation: Junk Data (Command and Control)
• T1036 — Masquerading (Defense Evasion)
• T1014 — Rootkit (Defense Evasion)
• T1574 — Hijack Execution Flow (Persistence)
• T1037 — Boot or Logon Initialization Scripts (Persistence)
• T1496 — Resource Hijacking (Impact)
• T1498 — Network Denial of Service (Impact)
• T1090 — Proxy (Command and Control)
• T1584 — Compromise Infrastructure (Resource Development)

IOC

• IPv4 : 118.45.196.225 — AbuseIPDB · VT · ThreatFox
• IPv4 : 120.193.219.210 — AbuseIPDB · VT · ThreatFox
• IPv4 : 58.211.144.243 — AbuseIPDB · VT · ThreatFox
• IPv4 : 121.32.243.81 — AbuseIPDB · VT · ThreatFox
• IPv4 : 145.249.115.184 — AbuseIPDB · VT · ThreatFox
• IPv4 : 216.93.246.18 — AbuseIPDB · VT · ThreatFox
• IPv4 : 85.17.88.164 — AbuseIPDB · VT · ThreatFox
• IPv4 : 77.72.169.213 — AbuseIPDB · VT · ThreatFox
• IPv4 : 77.72.169.211 — AbuseIPDB · VT · ThreatFox
• IPv4 : 5.39.72.109 — AbuseIPDB · VT · ThreatFox
• IPv4 : 81.187.30.115 — AbuseIPDB · VT · ThreatFox
• IPv4 : 212.227.67.34 — AbuseIPDB · VT · ThreatFox
• IPv4 : 212.227.67.33 — AbuseIPDB · VT · ThreatFox
• IPv4 : 207.38.82.134 — AbuseIPDB · VT · ThreatFox
• IPv4 : 83.211.9.232 — AbuseIPDB · VT · ThreatFox
• IPv4 : 212.53.40.43 — AbuseIPDB · VT · ThreatFox
• URLs : http://118.45.196.225:800/mipsel — URLhaus
• URLs : http://120.193.219.210:800/mipsel — URLhaus
• URLs : http://58.211.144.243:800/mipsel — URLhaus
• SHA256 : 90d738a8d650e3fefda9d7efa4baa11bd89ab05fcf0eb1f1730db11243531e28 — VT · MalwareBazaar
• SHA256 : 3a6927a3399f2a10bb2e2229482e5096e5f1c3401a87f7f1730db11243531e28 — VT · MalwareBazaar
• SHA1 : 3b0ac6aaabb3bf8058ca14f9c8ccc613cfa3ea71 — VT · MalwareBazaar
• SHA1 : 08636d09d9ffd1713bd6bcb965ad40b6ce3de1aa — VT · MalwareBazaar
• CVEs : CVE-2021-35394 — NVD · CIRCL
• CVEs : CVE-2014-8361 — NVD · CIRCL
• CVEs : CVE-2023-26801 — NVD · CIRCL
• CVEs : CVE-2024-3721 — NVD · CIRCL
• CVEs : CVE-2025-34037 — NVD · CIRCL
• CVEs : CVE-2016-10372 — NVD · CIRCL
• CVEs : CVE-2023-41011 — NVD · CIRCL
• CVEs : CVE-2016-20016 — NVD · CIRCL
• Fichiers : .cling
• Fichiers : mipsel
• Fichiers : wget.r
• Fichiers : wget.p
• Chemins : /usr/local/bin/.cling
• Chemins : /root/.cling
• Chemins : /etc/inittab
• Chemins : /etc/init.d/rcS
• Chemins : /etc/rc.d/rc.boot
• Chemins : /usr/bin/wget.r
• Chemins : /usr/bin/wget.p
• Chemins : /bin/wget.r
• Chemins : /bin/wget.p
• Chemins : /usr/local/bin/wget.r
• Chemins : /usr/local/bin/wget.p
• Chemins : /sbin/wget.r
• Chemins : /sbin/wget.p
• Chemins : /usr/sbin/wget.r
• Chemins : /usr/sbin/wget.p

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• Cling (botnet)

🟢 Indice de vérification factuelle : 95/100 (haute)

• ✅ cryptika.com — source reconnue (Rösti community) (20pts)
• ✅ 11627 chars — texte complet (fulltext extrait) (15pts)
• ✅ 50 IOCs dont des hashes (15pts)
• ✅ 3/8 IOCs confirmés (AbuseIPDB, MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (15pts)
• ✅ 14 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ✅ 5/5 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

• 120.193.219.210 (ip) → VT (16/91 détections)
• 58.211.144.243 (ip) → VT (13/91 détections)
• 3a6927a3399f2a10… (sha256) → VT (26/76 détections)

🔗 Source originale : https://www.cryptika.com/cling-malware-masquerades-as-google-stun-traffic-to-control-compromised-iot-devices/