Vulnerabilidade no SDK da Realtek impulsiona botnet em roteadores
Pesquisadores de segurança identificaram um crescimento nas tentativas de exploração da CVE-2021-35394, uma falha crítica no Realtek Jungle SDK. Com pontuação 9,8 em 10, o problema pode permitir que invasores executem código remotamente. A vulnerabilidade está sendo usada para instalar a botnet Cling em roteadores e gravadores de vídeo conectados à internet.
A intensificação dos ataques foi observada a partir de 5 de setembro. Embora a falha tenha sido divulgada há cerca de cinco anos, ela continua relevante porque o SDK da Realtek é incorporado a produtos de diversos fabricantes. Assim, equipamentos de marcas diferentes podem estar expostos ao mesmo problema.
A longevidade desses dispositivos amplia o risco. Roteadores e gravadores de vídeo costumam permanecer em funcionamento por anos e, em muitos casos, recebem atualizações de firmware com pouca frequência – ou não recebem nenhuma. Mesmo quando existe uma correção, o usuário pode não saber que precisa instalá-la ou não encontrar instruções claras para o modelo que possui.
A Cling também não depende de uma única vulnerabilidade para se espalhar. Seu código inclui ferramentas de exploração para sete falhas distintas, que afetam equipamentos associados a fabricantes como Realtek, Linksys, MVPower, TBK, LB-LINK, FiberHome e China Mobile. Essa variedade de alvos permite que o malware procure outros dispositivos vulneráveis depois de comprometer um aparelho.
Uma vez instalada, a botnet realiza varreduras recursivas na rede e tenta infectar novos equipamentos, agindo de forma semelhante a um worm. O programa malicioso também pode criar e encerrar túneis TCP, ativar ou desativar proxies e colaborar em ataques de negação de serviço, nos quais um grande volume de tráfego é usado para tirar sistemas do ar.
Outro aspecto que chamou a atenção dos pesquisadores é a forma como os operadores enviam instruções à botnet. O canal de comando e controle utiliza o campo de identificação de transação do protocolo STUN, empregado por serviços de voz e vídeo para identificar endereços de rede e viabilizar conexões.
As mensagens são estruturadas para se parecer com respostas legítimas de um servidor STUN público do Google. Com isso, o tráfego malicioso pode se misturar às comunicações de uma chamada de voz ou vídeo e ficar menos evidente em uma análise superficial da rede.
A FortiGuard Labs, da Fortinet, confirmou as descobertas e passou a identificar essa variante como ClingSTUN. O episódio reforça que vulnerabilidades antigas continuam sendo exploradas quando há dispositivos desatualizados e expostos à internet. A data de divulgação de uma falha, por si só, não significa que o risco tenha desaparecido.
Para reduzir a exposição, o primeiro passo é identificar todos os roteadores, câmeras e gravadores conectados à rede, incluindo aparelhos instalados há bastante tempo. É importante verificar o modelo e a versão do firmware na página de administração do dispositivo ou na documentação do fabricante.
Se houver uma atualização de segurança disponível, ela deve ser instalada conforme as instruções oficiais do fabricante. Antes de atualizar, convém salvar as configurações necessárias e confirmar que o firmware corresponde exatamente ao modelo do equipamento. Uma versão destinada a outro aparelho pode causar falhas de funcionamento.
Também é recomendável trocar as senhas padrão por combinações fortes e exclusivas e desativar recursos de administração remota que não sejam necessários. Serviços acessíveis pela internet podem ampliar a superfície de ataque, sobretudo quando usam credenciais fracas ou configurações antigas.
Em redes domésticas e corporativas, limitar o acesso externo aos dispositivos de infraestrutura ajuda a conter tentativas de exploração. Sempre que possível, a administração do roteador deve ficar restrita à rede local, enquanto equipamentos como câmeras e gravadores devem ser separados de computadores e servidores importantes.
Acompanhar o comportamento da rede também pode ajudar a detectar comprometimentos. Conexões inesperadas, tráfego intenso sem explicação e alterações não autorizadas nas configurações merecem investigação. Em ambientes empresariais, o monitoramento deve abranger equipamentos de rede e dispositivos de vídeo, não apenas computadores e servidores.
Quando o fabricante deixou de oferecer suporte e não há firmware corrigido, a substituição pode ser a única medida duradoura. Manter em operação um aparelho vulnerável e conectado à internet cria uma oportunidade para que invasores o incorporem a uma botnet, mesmo que o dispositivo pareça funcionar normalmente.
Por fim, a proteção não depende apenas de corrigir uma falha específica. Inventariar equipamentos, instalar atualizações, remover serviços desnecessários e substituir produtos sem suporte são práticas essenciais para evitar que vulnerabilidades conhecidas continuem servindo de porta de entrada para ataques.