Botnet Cling ataca roteadores e DVRs e usa protocolo de videochamada para esconder comando e controle

Um novo botnet chamado Cling, também identificado como ClingSTUN, está explorando falhas antigas em roteadores, DVRs e câmeras conectadas à internet para se espalhar. Pesquisadores da Nozomi Networks e da Fortinet descreveram a ameaça, que chama atenção por esconder sua comunicação dentro de um protocolo usado em chamadas de voz e vídeo.

Se você tem roteador doméstico ou um sistema de câmeras com gravador digital em casa ou no escritório, o recado é direto: verifique se o equipamento está com o firmware atualizado.

Por que isso importa para quem está no Brasil

Entre as marcas apontadas como vulneráveis estão TP-Link, D-Link, Tenda e Linksys, fabricantes de aparelhos amplamente vendidos e usados em residências e pequenos negócios no país.

O malware também mira dispositivos de outros fabricantes, como Realtek, MVPower, LB-LINK, China Mobile, TBK e KGUARD, além de falhas em produtos da Ivanti.

Como o ataque depende de aparelhos sem correção, a recomendação prática é simples:

• Acesse o painel de configuração do roteador e procure por atualizações de firmware.
• Faça o mesmo nos gravadores (DVRs) dos sistemas de câmeras de segurança.
• Troque senhas padrão e desative acessos remotos que você não usa.

Essas falhas, mesmo quando já têm correção disponível, seguem sendo exploradas ativamente contra quem deixou o equipamento desatualizado.

Como o ataque funciona

A Nozomi Networks registrou um pico de tentativas de exploração da falha CVE-2021-35394, no Realtek Jungle SDK, a partir de 5 de setembro de 2026. A brecha tem nota de gravidade 9.8 na escala CVSS, próxima do máximo, e é usada para entregar o Cling nos dispositivos.

O malware carrega lógica para explorar sete vulnerabilidades diferentes, o que permite a propagação automática entre roteadores e DVRs de vários fabricantes, num comportamento do tipo worm.

O ponto mais engenhoso está na comunicação. O Cling usa o protocolo STUN, normalmente empregado para liberar passagem de chamadas de voz e vídeo pela rede, para falar com os servidores que o controlam. Assim, o tráfego malicioso se mistura ao que parece atividade legítima.

Segundo os pesquisadores, o malware mantém contato com 13 servidores STUN fixos, enviando requisições a cada 5 segundos. Para enganar sistemas de monitoramento, os comandos do operador chegam disfarçados como se partissem do servidor STUN oficial do Google, usando o endereço 74.125.250.129, que resolve para stun.l.google.com.

O que o Cling consegue fazer

Em relatório publicado em 5 de outubro de 2026, a Fortinet batizou a ameaça de ClingSTUN e a descreveu funcionando como um proxy com backdoor, ou seja, uma porta oculta de acesso ao dispositivo.

Além de se espalhar sozinho, o botnet é capaz de:

• Disparar ataques de negação de serviço (DoS).
• Funcionar como proxy, escondendo a origem de outras ações.
• Abrir túneis de tráfego através dos aparelhos infectados.

Entre os alvos observados em ataques de inundação estão um provedor de internet sul-coreano e servidores de Minecraft.

A lógica de roteadores e DVRs transformados em peças de uma rede maliciosa lembra outras campanhas recentes de invasão de infraestrutura. Vale a mesma atenção dedicada a golpes que instalam ferramentas de acesso remoto sem o usuário perceber, já que o resultado costuma ser o controle do equipamento por terceiros.

O que fazer agora

A falha central explorada pelo Cling, no Realtek Jungle SDK, já foi corrigida pelo fabricante. O problema é que aparelhos sem atualização continuam expostos, e é justamente neles que o botnet entra.

Por isso, a medida mais eficaz é atualizar o firmware dos equipamentos de rede e dos gravadores de câmeras. Quando a atualização não estiver mais disponível para modelos muito antigos, a orientação é avaliar a troca do aparelho, especialmente se ele fica ligado direto à internet.

Não há número divulgado até agora sobre quantos dispositivos foram infectados em escala global, nem confirmação sobre modelos específicos comercializados no Brasil entre os citados. Ainda assim, pela popularidade das marcas envolvidas, checar as atualizações é uma precaução barata diante do risco.