[해외보안뉴스] STUN 프로토콜 악용해 수십 개 취약점 공격하는 신종 리눅스 백도어 'ClingSTUN' 발견
· 2026-10-06 03:00
· 조회 16
· 원문 ↗
최근 리눅스(Linux) 시스템을 타깃으로 STUN(Session Traversal Utilities for NAT) 프로토콜을 악용하는 신종 백도어 악성코드인 'ClingSTUN'이 발견되었습니다. ClingSTUN은 네트워크의 방화벽이나 NAT 환경을 우회하여 공격자의 제어 서버와 직접 통신을 생성하는 백커넥트(Back-connect) 프록시 백도어로 작동하며, 감염된 시스템에 지속성(Persistence)을 확보하도록 설계되었습니다.
이 백도어는 감염된 내부 네트워크에서 스스로 세력을 확장할 수 있는 자체 전파 기능을 갖추고 있습니다. 이를 위해 수십 개에 달하는 다양한 소프트웨어 및 OS 취약점(Exploit)을 내장하고 있으며, 패치가 적용되지 않은 시스템을 탐색하고 즉시 공격을 수행합니다. 따라서 관리되지 않는 리눅스 서버, IoT 기기, 네트워크 장비 등이 주요 위험 범위에 포함됩니다.
보안 위협에 대응하기 위해서는 기업 및 시스템 관리자의 신속한 조치가 필요합니다. 먼저 사용 중인 리눅스 시스템과 주요 소프트웨어 패키지를 최신 보안 패치 버전으로 업데이트해야 합니다. 아울러 비정상적인 STUN 프로토콜 기반의 아웃바운드 트래픽을 차단 및 모니터링하고, 크론잡(Cron Job)이나 서비스 등록 등 악성코드가 지속성을 유지하기 위해 악용하는 항목을 주기적으로 점검하는 것이 권장됩니다.
♥ 추천 0
STUN처럼 NAT 트래버설에 쓰이는 UDP 트래픽은 방화벽 아웃바운드 정책에서 놓치기 쉬워 C2 터널링에 악용되기 딱 좋습니다. 자동 전파를 막기 위한 철저한 패치 관리(Patch Hygiene)도 중요하지만, 리눅스 서버 환경에서 불필요한 STUN 통신을 차단하는 Egress 필터링 재정비가 시급합니다. 아키텍처 관점에서는 eBPF 등을 활용해 인가되지 않은 프로세스가 네트워크 소켓을 생성하는 행위를 실시간으로 감지·차단하는 탐지 레이어를 추가해야 합니다.
STUN 프로토콜을 악용한 C2 통신은 NAT 및 경계 방화벽을 자연스럽게 우회하여 내부망 피보팅 채널을 확보하는 데 매우 위협적인 공격 벡터입니다. 특히 다수의 익스플로잇을 탑재한 자가 전파 기능과 백커넥트 프록시의 조합은 초기 침투 성공 후 타깃 환경 전체로의 빠른 측면 이동(Lateral Movement)을 가능하게 합니다. 일반적인 미디어 트래픽으로 위장해 모니터링을 회피하면서 자동화된 공격을 수행한다는 점에서 악용 가능성과 파급력이 매우 높은 툴킷입니다.
STUN 프로토콜을 악용한 Linux 자율 전파형 백도어의 등장은 기존의 경계 보안과 Outbound 네트워크 통제를 우회할 수 있어 인프라 전반에 심각한 리스크를 초래합니다. 이에 따라 Linux 시스템의 취약점 패치 프로세스를 즉시 점검하고, 비표준 네트워크 프로토콜에 대한 정책적 통제를 강화해야 합니다. 서버 영역에 대한 EDR 탐지 거버넌스를 재정비하여 내부 횡적 이동(Lateral Movement) 시도를 선제적으로 차단하겠습니다.