搜索

[13775] 2019-02-19_滥用ThinkPHP漏洞的僵尸网络Hakai和Yowai

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2019-02-19_滥用ThinkPHP漏洞的僵尸网络Hakai和Yowai 滥 用 T h i n k P H P 漏 洞 的 僵 尸 网 络 H a k a i 和 Y o w a i f e n g b i n 8 6 0 6   F r e e B u f   2 0 1 9 - 0 2 - 1 9 前 言 前 言 网 络 犯 罪 分 子 正 在 利 用 一 个 在 网 络 犯 罪 分 子 正 在 利 用 一 个 在 2 0 1 8 年 年 1 2 月 被 发 现 和 已 修 补 的 月 被 发 现 和 已 修 补 的 T h i n k P H P 漏 洞 传 播 漏 洞 传 播 Y o w a i （ （ M i r a i 变 种 ） 和 变 种 ） 和 H a k a i （ （ G a f g y t 变 种 ） 两 种 僵 尸 网 络 病 毒 。 变 种 ） 两 种 僵 尸 网 络 病 毒 。 网 络 犯 罪 分 子 利 用 字 典 攻 击 破 坏 使 用 网 络 犯 罪 分 子 利 用 字 典 攻 击 破 坏 使 用 P H P 框 架 创 建 网 站 的 框 架 创 建 网 站 的 W e b 服 务 器 ， 并 获 得 这 些 路 由 器 的 控 制 ， 以 实 现 分 布 服 务 器 ， 并 获 得 这 些 路 由 器 的 控 制 ， 以 实 现 分 布 式 拒 绝 服 务 攻 击 （ 式 拒 绝 服 务 攻 击 （ D D o S ） 。 ） 。 Y o w a i Y o w a i （ B A C K D O O R . L I N U X . Y O W A I . A ， 由 趋 势 科 技 检 测 ） 具 有 与 其 他 M i r a i 变 体 类 似 的 配 置 表 。 其 配 置 表 使 用 相 同 的 过 程 进 行 解 密 ， 并 将 T h i n k P H P 漏 洞 利 用 添 加 到 感 染 列 表 中 。 Y o w a i 侦 听 端 口 6 以 接 收 来 C ＆ C 服 务 器 的 命 令 。 在 感 染 路 由 器 后 ， 它 会 使 用 字 典 攻 击 来 尝 试 感 染 其 他 设 备 。 受 影 响 的 路 由 器 现 在 成 为 僵 尸 网 络 的 一 部 分 ， 使 其 运 营 商 能 够 使 用 受 影 响 的 设 备 发 起 D D o S 攻 击 。 Y o w a i 利 用 许 多 其 他 漏 洞 来 补 充 字 典 攻 击 ， 它 在 执 行 后 会 在 用 户 控 制 台 上 显 示 一 条 消 息 。 分 析 发 现 它 还 包 含 一 个 竞 争 的 僵 尸 网 络 列 表 ， 它 将 从 系 统 中 清 除 这 些 竞 争 的 僵 尸 网 络 。 字 典 攻 击 的 用 户 名 字 典 攻 击 的 用 户 名 / 密 码 密 码 竞 争 僵 尸 网 络 名 单 竞 争 僵 尸 网 络 名 单 O x h l w S G 8 d e f a u l t t l J w p b o 6 S 2 f G q N F s a d m i n d a e m o n 1 2 3 4 5 g u e s t s u p p o r t 4 3 2 1 r o o t v i z x v t 0 t a l c 0 n t r 0 l 4 ! b i n a d m s y n n e t d v r h e l p e r ,   m i r a i ,   l i g h t ,   a p e x ,   T s u n a m i ,   h o h o ,   n i k k i ,   m i o r i ,   h y b r i d ,   s o r a ,   y a k u z a ,   k a l o n ,   o w a r i ,   g e m i n i ,   l e s s i e ,   s e n p a i ,   a p o l l o ,   s t o r m ,   V o l t a g e ,   h o r i z o n ,   m e r a k i ,   C a y o s i n ,   M a f i a ,   H e l i o s ,   S e n t i n e l ,   F u r a s s h u ,   l o v e ,   o b l i v i o n ,   l z r d ,   y a g i ,   d a r k ,   b l a d e ,   m e s s i a h ,   q b o t ,   m o d z ,   e t h e r e a l ,   u n i x ,   e x e c u t i o n ,   g a l a x y ,   k w a r i ,   o k a n e ,   o s i r i s ,   n a k u ,   d e m o n ,   s y t h e ,   x o v a ,   t s u n a m i ,   t r i n i t y ,   B U S H I D O ,   I Z 1 H 9 ,   d a d d y l 3 3 t ,   K O W A I - S A D ,   g g t r ,   Q B o t B l a d e S P O O K Y ,   S O 1 9 0 I j 1 X ,   h e l l s g a t e ,   s y s u p d a t e r ,   K a t r i n a 3 2 表 1 .   Y o w a i 用 于 字 典 攻 击 的 默 认 用 户 名 和 密 码 列 表 以 及 从 系 统 中 删 除 竞 争 僵 尸 网 络 的 列 表 除 了 T h i n k P H P 漏 洞 ， Y o w a i 还 利 用 了 以 下 漏 洞 ： C V E - 2 0 1 4 - 8 3 6 1 ， a   L i n k s y s   R C E ， C V E - 2 0 1 8 - 1 0 5 6 1 ， C C T V - D V R R C E 。 H a k a i G a f g y t d 变 种 H a k a i （ B A C K D O O R . L I N U X . H A K A I . A A ， 由 趋 势 科 技 检 测 ） 僵 尸 网 络 病 毒 感 染 物 联 网 （ I o T ） 设 备 并 依 赖 路 由 器 漏 洞 进 行 传 播 。
有 趣 的 是 ， H a k a i 的 样 本 包 含 从 M i r a i 复 制 的 代 码 ， 特 别 是 用 于 加 密 其 配 置 表 的 函 数 。 但 是 ， 该 函 数 无 法 运 行 ， 怀 疑 t e l n e t 字 典 攻 击 的 代 码 是 故 意 删 除 的 ， 以 使 H a k a i 更 加 隐 蔽 。 由 于 M i r a i 的 变 种 通 常 会 杀 死 竞 争 僵 尸 网 络 ， H a k a i 避 免 攻 击 使 用 默 认 密 码 的 I o T 设 备 从 而 更 有 生 存 的 优 势 。 与 暴 力 破 解 t e l n e t 相 比 ， 单 独 利 用 漏 洞 传 播 的 方 法 更 难 以 检 测 。 结 论 结 论
鉴 于 T h i n k P H P 是 一 个 免 费 的 开 源 P H P 框 架 ， 因 其 简 化 的 功 能 和 易 用 性 而 受 到 开 发 人 员 和 公 司 的 欢 迎 ， 很 容 易 被 H a k a i 和 Y o w a i 这 样 的 恶 意 程 序 滥 用 ， 进 而 破 坏 W e b 服 务 器 和 攻 击 网 站 。 随 着 更 多 的 僵 尸 网 络 代 码 可 以 在 线 获 得 和 交 换 ， 可 以 预 见 相 互 竞 争 的 僵 尸 网 络 具 有 相 似 的 代 码 。 此 外 ， 网 络 犯 罪 分 子 会 继 续 研 究 类 似 M i r a i 的 僵 尸 网 络 ， 开 发 更 多 M i r a i 变 种 ， 并 增 加 恶 意 软 件 的 适 应 性 ， 攻 击 越 来 越 多 的 使 用 默 认 密 码 的 I o T 设 备 。 物 联 网 设 备 用 户 应 将 其 设 备 固 件 更 新 到 制 造 商 发 布 的 最 新 版 本 ， 修 补 漏 洞 。 用 户 还 应 经 常 更 新 设 备 密 码 ， 以 防 止 未 经 授 权 的 登 录 。 * 参 考 来 源 ： t r e n d m i c r o ， f e n g b i n 8 6 0 6 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理