Atores de ameaça tentaram, nas últimas semanas, explorar uma falha crítica no SDK Jungle da Realtek com o objetivo de instalar a botnet Cling em dispositivos vulneráveis. A exploração, já corrigida pela fabricante, utilizou o protocolo STUN como mecanismo de comando e controle, permitindo que os invasores mantivessem contato com as máquinas comprometidas sem levantar suspeitas imediatas. Segundo a Nozomi Networks, a estratégia não introduz nova forma de propagação, mas aproveita comportamentos padrão de comunicação já presentes em redes.
Contexto
Em resposta ao aumento de ataques que visam componentes de firmware e SDKs de fabricantes de hardware, a Realtek lançou, no início de 2024, uma atualização que corrige a vulnerabilidade no Jungle SDK. A falha permitia a execução de código arbitrário ao ser acionada por pacotes manipulados, o que poderia ser explorado por agentes maliciosos para instalar softwares indesejados. Historicamente, o SDK Jungle tem sido integrado a uma ampla gama de dispositivos de rede, como roteadores, câmeras IP e sistemas de automação residencial, ampliando o potencial de impacto caso seja comprometido.
Impacto
Até o momento, não há relatos de comprometimentos em larga escala, mas a natureza da botnet Cling sugere que, se bem-sucedida, poderia ser utilizada para ataques de negação de serviço, mineração de criptomoedas ou espionagem de tráfego. Organizações que dependem de equipamentos baseados em Realtek podem enfrentar riscos de interrupção ou vazamento de dados, especialmente se não aplicarem as atualizações de segurança disponibilizadas. A reutilização do STUN, protocolo originalmente projetado para facilitar a comunicação em redes NAT, permite que os comandos cheguem aos dispositivos mesmo em ambientes com firewalls restritivos, ampliando a superfície de ataque.
Detalhes técnicos
Do ponto de vista técnico, a vulnerabilidade reside em uma falha de validação de entrada dentro do módulo de gerenciamento de sessões do Jungle SDK. Quando um pacote especialmente formatado chega ao dispositivo, o código vulnerável processa informações não sanitizadas, desencadeando a execução de payloads arbitrários. O malware Cling incorpora um cliente STUN que envia requisições ao servidor de comando e controle, mascarando o tráfego como legítimo. Na prática, isso dificulta a detecção por soluções de monitoramento que não analisam o conteúdo das mensagens STUN. A botnet também apresenta capacidade de atualização automática, permitindo que os operadores introduzam novos módulos sem necessidade de acesso físico ao dispositivo.
Encerramento
Para mitigar o risco, a Realtek recomenda que todos os clientes atualizem imediatamente para a versão corrigida do Jungle SDK e revisem as políticas de filtragem de tráfego, incluindo inspeção de pacotes STUN. Administradores de rede devem monitorar logs em busca de padrões incomuns de comunicação e aplicar patches de segurança assim que forem disponibilizados. A Nozomi Networks continuará acompanhando a evolução da campanha e divulgará novas informações conforme forem obtidas. Fonte: The Hacker News.