STUN-запрос к stun.l.google.com – штатная часть жизни любого звонка в Teams или Zoom: приложение узнаёт свой публичный адрес за NAT, чтобы собеседник дозвонился. 13 таких запросов каждые пять секунд с заражённого IoT-роутера выглядят как фоновая активность видеоконференцсвязи. Ответ, пришедший с адреса 74.125.250[.]129, выглядит ровно так же – разве что в 12 байтах поля transaction ID записана не случайная метка, а команда на UDP-флуд по серверу Minecraft. Оператор ботнета Cling превратил публичную инфраструктуру Google в канал управления, а IP-спуфинг – в щит от любого репутационного фильтра.
Два независимых лабораторных разбора – Nozomi Networks Labs и FortiGuard Labs – вскрыли механику целиком. Nozomi поставили контролируемый эксперимент: притворились заражённым хостом, разослали каждому из 13 STUN-серверов уникальный набор портов и дождались, пока оператор себя выдаст. FortiGuard проследили эволюцию кампании в три волны и собрали арсенал из 30 эксплойтов.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local