你家摄像头，正在替别人打工

一台吃灰的家用摄像头，夜里没人看它，但它没闲着——它正在替一群陌生人转发流量。近期被安全圈讨论的 ClingSTUN 恶意软件，做的就是这门“生意”：利用早已公开的 IoT 漏洞完成入侵，再借助公网 STUN 服务器维持对设备的长期代理访问。它不加密、不勒索、不破坏，安静得像一个合格的房客。但恰恰是这种“温柔”，揭示了 IoT 攻击的新逻辑——从一次性破坏，转向可持续经营。

⚠️ 一条不抢不砸的攻击链

金句开场：最危险的恶意软件，往往安静得像没装。

想象一个典型场景：某台挂在家庭宽带下的网络摄像头，固件三年没更新，管理界面还挂在公网。攻击者批量扫描已知 IoT 漏洞，拿下设备权限，植入 ClingSTUN。接下来发生的事和传统僵尸网络截然不同——设备没有瘫痪，画面依然能看，用户毫无察觉。它只是在后台默默连向公网 STUN 服务器，为自己保留一条随时可控的“隧道”。

攻击链可以简化成这样：

从素材来看，ClingSTUN 的两个核心特征非常清晰：利用的是已知漏洞（known flaws），滥用的是公开的 STUN 基础设施（public STUN servers）。这两个“已知”和“公开”加在一起，构成了一个低成本的攻击模型——不需要零日漏洞，不需要自建 C2 基础设施。

产业逻辑在哪？传统勒索软件靠“事件”赚钱，一锤子买卖，动静越大越好；而代理化攻击靠“存量”赚钱，每台被控制的设备都是一项可持续经营的资产。前者是抢劫犯，后者是收租的。当攻击者的商业模式从“破坏”切换到“经营”，整个攻防的节奏都会被拉长、变淡、更难察觉。

圈内私下流传一句话：现在最怕的不是设备出事，而是“设备没坏，流量不对”。ClingSTUN 正是这种威胁的典型样本。

🛰️ STUN：被借走的“公共电话亭”

金句开场：攻击者最好的掩护，是互联网自己的基础设施。

先说 STUN 是什么。STUN（Session Traversal Utilities for NAT）是一种网络协议，作用是帮助位于 NAT 后面的设备发现自己的公网地址和端口映射，是视频通话、WebRTC 这类点对点应用的地基。换句话说，大量公网 STUN 服务器本来就是为了“帮设备穿透内网”而合法存在的。

ClingSTUN 的聪明之处在于：它不连接攻击者自建的控制服务器，而是去连接这些合法的、公开的、几乎不会被封禁的 STUN 服务器，借助其返回的信息建立和维持代理访问通道。这就带来三重优势：

• 不用自建 C2，省掉了基础设施成本和被端掉的风险；
• 流量混入正常业务，与海量视频通话、P2P 通信难以区分；
• 生命周期极长，只要公网 STUN 服务存在，代理通道就有“报时处”。

两种模式的对比一目了然：

这是“就地取材”思路在 IoT 场景的延伸——攻击工具不再自带，直接把互联网的公共设施变成攻击链的一环。防御方要面对的，是一个“协议本身无罪、用法有罪”的经典困局。

🔍 老漏洞，新租金：为什么偏偏是 IoT

金句开场：攻击者从不需要新漏洞，只需要你不打补丁。

ClingSTUN 利用的不是什么高深漏洞，而是已知漏洞。这四个字比任何高级威胁叙事都扎心。家庭摄像头、路由器这类设备的问题老生常谈：出厂固件即巅峰、默认弱口令、缺乏自动更新、用户从不登录管理后台。安全厂商每季度都在重复同样的劝告，设备厂商每季度都在装作没听见。

但真正值得琢磨的是变现路径。为什么有人愿意长期“养”这些设备？答案大概率藏在代理 IP 市场的产业逻辑里：家庭宽带出口的 IP，被业内称为“住宅 IP”，因为看起来像真实用户，在灰色市场里比机房 IP 稀缺得多、值钱得多。用途从爬虫、广告验证、账号批量注册，到给更恶劣的攻击行为当跳板，不一而足。IoT 设备恰恰大量挂在这类家宽出口后面——一台台设备，就是一个个天然合格的代理出口。

一次攻击的典型生命周期大致是这样的：

注意一个关键转变：攻击者要的不是你设备里的数据，而是你设备的“网络位置”。数据加密了可以恢复，位置被占用你根本不知道。这决定了此类攻击的隐蔽性天然高一个量级，也决定了单纯“防丢数据”的安全思路已经不够用。

有做 IoT 应急的朋友私下感慨，这类案子里用户最典型的反应是：“机器好好的，为什么要管？”——这句话本身就是攻击者最大的护城河。

🧩 为什么它比勒索软件更难抓

金句开场：勒索软件怕你发现，代理木马怕你察觉——前者是速度问题，后者是认知问题。

ClingSTUN 给防御方出的难题，比传统恶意软件更刁钻：

第一，无破坏性即无告警。 终端安全工具的传统判断依据里，文件加密、进程注入、异常耗资源都是高置信信号。而一个安静的代理进程，可能连这些都不沾。

第二，借道合法服务导致误报困境。 如果防御规则简单粗暴地封禁所有 STUN 流量，正常视频会议、WebRTC 应用会第一个遭殃。检测必须从“协议黑名单”转向“行为基线”——一台从不打视频电话的摄像头，突然高频与 STUN 服务器交互，这才是真正的信号。

第三，受害者与责任人是分裂的。 家用设备的主人既没有感知，也没有能力响应；而企业即便想排查，也看不到员工家里的摄像头。攻防的边界被拉到了安全团队的视线之外。

这解释了为什么此类威胁能长期存在：它落在了“个人懒得管、企业管不着、厂商不想管”的三不管地带。灰色产业链最擅长的，就是寻找责任的缝隙。

🛡️ 防御拼图：从防入侵到防滥用

金句开场：IoT 安全的下半场，比的不是谁能挡住攻击，而是谁能发现设备被“租”走了。

顺着 ClingSTUN 的攻击链，防御措施其实能逐环拆开：

• 入口环节：设备厂商必须解决“已知漏洞永远存在”的死结——默认强口令、固件签名、自动化更新机制应成为出厂标配，而不是可选项；
• 通道环节：企业应对出站流量建立行为基线，对 IoT/OT 网段与公网 STUN 类服务的异常交互保持监控，而不是一刀切封禁；
• 资产环节：把摄像头、打印机、门禁这类“哑终端”纳入资产清单。连资产都不在台账上的设备，谈不上任何防护；
• 生态环节：对“来路不明的住宅代理 IP 服务”保持警惕——你买的每一次“真实用户 IP”，背后可能就是某台被入侵的家用设备。

更深一层看，ClingSTUN 这类威胁会倒逼 IoT 安全产品的价值点迁移：过去卖的是“防入侵”，未来卖的是“防滥用”——持续证明设备没有被当作别人的基础设施。这对安全厂商是新的产品命题，对设备厂商则是绕不开的责任命题。

写在最后

ClingSTUN 的样本价值，不在于技术多先进，而在于它把 IoT 攻击的商业模式完整展示了一遍：已知漏洞做入口，公共 STUN 设施做通道，代理市场做变现，全程静默、全程可持续。当攻击者开始“经营”而非“破坏”，防御方也得换算一下自己的账本——每一次拖延的固件更新，都在为别人的代理池贡献库存。可以预判的是，随着公网代理需求继续膨胀，这种“借道合法协议、寄生存量设备”的模式会被更多团伙复制。下一台替别人打工的设备，可能就挂在你家的路由器后面。