搜索

[28475] 2020-08-03_Mirai僵尸网络利用武器通过CVE-2020-5902攻击物联网设备

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-08-03_Mirai僵尸网络利用武器通过CVE-2020-5902攻击物联网设备 M i r a i 僵 尸 网 络 利 用 武 器 通 过 C V E - 2 0 2 0 - 5 9 0 2 攻 击 物 联 网 设 备 趋 势 科 技   O t s 安 全   2 0 2 0 - 0 8 - 0 3 2 0 2 0 年 7 月 3 0 日 太 平 洋 标 准 时 间 上 午 1 0 : 0 0 开 始 更 新 ： 我 们 对 恶 意 软 件 样 本 的 持 续 分 析 显 示 ， 对 涉 及 U R I 和 S h o d a n 扫 描 参 数 的 详 细 信 息 进 行 了 调 整 。 我 们 在 这 篇 文 章 中 做 了 必 要 的 更 改 。 我 们 要 感 谢 F 5   N e t w o r k s 与 我 们 联 系 以 澄 清 这 些 细 节 。 从 J e m i m a h   M o l i n a 和 A u g u s t o   R e m i l l a n o   I I 获 得 更 多 见 解 在 7 月 的 第 一 周 首 次 披 露 了 两 个 F 5   B I G - I P 漏 洞 之 后 ， 我 们 继 续 监 视 和 分 析 这 些 漏 洞 及 其 他 相 关 活 动 ， 以 进 一 步 了 解 其 严 重 性 。 根 据 针 对 C V E - 2 0 2 0 - 5 9 0 2 发 布 的 变 通 办 法 ， 我 们 找 到 了 一 个 物 联 网 （ I o T ） M i r a i 僵 尸 网 络 下 载 程 序 （ 由 趋 势 科 技 检 测 为 T r o j a n . S H . M I R A I . B O I ） ， 可 以 将 其 添 加 到 新 的 恶 意 软 件 变 体 中 以 进 行 扫 描 以 进 行 暴 露 B i g - I P 盒 ， 用 于 入 侵 并 提 供 恶 意 负 载 。 我 们 发 现 的 样 本 还 尝 试 利 用 常 用 设 备 和 软 件 中 最 近 披 露 的 潜 在 未 修 补 漏 洞 。 建 议 系 统 管 理 员 和 使 用 相 关 设 备 的 个 人 立 即 修 补 其 各 自 的 工 具 。   常 规 常 规 如 先 前 所 报 道 ， 此 安 全 漏 洞 涉 及 B I G - I P 管 理 界 面 中 的 远 程 代 码 执 行 （ R C E ） 漏 洞 ， 即 交 通 管 理 用 户 界 面 （ T M U I ） 。 在 分 析 了 已 发 布 的 信 息 之 后 ， 我 们 从 A p a c h e   h t t p d 中 的 缓 解 规 则 中 注 意 到 ， 利 用 此 漏 洞 的 一 种 可 能 方 法 涉 及 到 U R I 中 包 含 分 号 字 符 的 H T T P   G E T 请 求 。 在 L i n u x 命 令 行 中 ， 分 号 向 解 释 器 发 送 命 令 行 已 完 成 的 信 号 ， 这 是 漏 洞 需 要 触 发 的 一 个 字 符 。 为 了 进 一 步 分 析 ， 我 们 测 试 了 I o T 僵 尸 网 络 作 者 是 否 可 以 通 过 以 下 Y a r a 规 则 为 现 有 和 / 或 新 的 恶 意 软 件 变 体 添 加 扫 描 功 能 ： 图 1 . 用 于 检 查 恶 意 软 件 的 Y a r a 规 则 尽 管 用 于 测 试 的 规 则 看 起 来 很 简 单 ， 但 它 使 我 们 可 以 检 查 各 种 恶 意 软 件 ， P y t h o n 或 R u b y 概 念 证 明 （ P o C ） 。 从 7 月 1 日 披 露 之 日 起 ， 我 们 发 现 了 7 月 1 1 日 编 译 为 M I P S 架 构 的 E L F 文 件 的 第 一 个 示 例 ， 该 示 例 标 识 了 两 个 地 址 ： h x x p   [ ： ]   / /   7 9   [ 。 ]   1 2 4   [ 。 ]   8 [ 。 ]   2 4   /   b i n s   / （ 标 识 为 疾 病 向 量 ） 和 h x x p   [ ： ]   / /   7 8   [ 。 ]   1 4 2   [ 。 ]   1 8   [ 。 ]   2 0 （ 标 识 为 命 令 和 控 制 （ C ＆ C ） 服 务 器 ） 。 诸 如 M i r a i 之 类 的 I o T 恶 意 软 件 的 一 种 常 见 模 式 是 ， 找 到 一 个 域 中 托 管 的 具 有 不 同 扩 展 名 的 不 同 文 件 ， 这 些 扩 展 名 旨 在 攻 击 不 同 的 体 系 结 构 。 检 查 主 机 后 ， 我 们 发 现 以 下 文 件 h a s h 文 件 文 件 a c b 9 3 0 a 4 1 a b d c 4 b 0 5 5 e 2 e 3 8 0 6 a a d 8 5 0 6 8 b e 8 d 8 5 e 0 e 0 6 1 0 b e 3 5 e 7 8 4 b f d 7 c f 5 b 0 e f e t c h . s h 0 3 7 8 5 9 3 2 3 2 8 5 e 0 b b b c 0 5 4 f 4 3 b 6 4 2 c 4 8 f 2 8 2 6 9 2 4 1 4 9 c b 1 c 4 9 4 c b b f 1 f c 8 7 0 7 f 9 4 2 s o r a . a r m 5 5 5 c 4 6 7 5 a 8 4 c 1 e e 4 0 e 6 7 2 0 9 d f d e 2 5 a 5 d 1 c 1 9 7 9 4 5 4 e c 2 1 2 0 0 4 7 0 2 6 d 9 4 f 6 4 d 5 7 7 4 4 s o r a . a r m 6
0 3 2 5 4 e 6 2 4 0 c 3 5 f 7 d 7 8 7 c a 5 1 7 5 f f c 3 6 8 1 8 1 8 5 e 6 2 b d f c 4 d 8 8 d 5 b 3 4 2 4 5 1 a 7 4 7 1 5 6 d s o r a . a r m 7 2 0 4 c b a d 5 2 d d e 2 4 a b 3 d f 4 1 c 5 8 0 2 1 d 8 0 3 9 9 1 0 b f 7 e a 0 7 6 4 5 e 7 0 7 8 0 c 2 d b d 6 6 f 7 e 9 0 b s o r a . m 6 8 k 3 f 8 e 6 5 9 8 8 b 8 e 2 9 0 9 f 0 e a 5 6 0 5 f 6 5 5 3 4 8 e f b 8 7 5 6 5 5 6 6 8 0 8 c 2 9 d 1 3 6 0 0 1 2 3 9 b 7 d f a 9 s o r a . m i p s 1 5 b 2 e e 0 7 2 4 6 6 8 4 f 9 3 b 9 9 6 b 4 1 5 7 8 f f 3 2 3 3 2 f 4 f 2 a 6 0 e f 3 6 2 6 d f 9 d c 7 4 0 4 0 5 e 4 5 7 5 1 s o r a . m p s l 0 c a 2 7 c 0 0 2 e 3 f 9 0 5 d d d f 9 0 8 3 c 9 b 2 f 8 b 3 c 0 b a 8 f b 0 9 7 6 c 6 a 0 6 1 8 0 f 6 2 3 c 6 a c c 6 d 8 c a s o r a . p p c e c c 1 e 3 f 8 3 3 2 d e 9 4 d 8 3 0 e d 9 7 c d 0 7 8 6 7 b 9 0 a 4 0 5 b c 9 c c 1 b 8 d e c c e c 5 1 b a d b 4 a 2 7 0 7 c s o r a . s h 4 e 7 1 a c a 7 7 8 e a 1 7 5 3 9 7 3 b 2 3 e 6 a a 2 9 d 1 4 4 5 f 9 3 d c 1 5 e 5 3 1 c 7 0 6 b 6 1 6 5 5 0 2 d 6 c f 0 b f a 4 s o r a . x 8 6 表 1 .   C ＆ C 中 托 管 的 文 件 进 一 步 查 看 I P 地 址 ， 我 们 了 解 到 自 6 月 以 来 ， 它 已 被 用 于 部 署 I o T 恶 意 软 件 ， 包 括 其 他 M i r a i 变 体 。 该 S O R A 文 件 名 先 前 已 经 被 确 定 为 未 来 变 体 可 用 于 蛮 力 攻 击 和 其 他 安 全 漏 洞 的 R C E 的 滥 用 和 非 法 控 制 和 管 理 设 备 。 同 时 ， f e t c h . s h 是 具 有 以 下 内 容 的 s h e l l 脚 本 ： 图 2 .   f e t c h . s h   s h e l l s c r i p t f e t c h . s h 连 接 到 h t t p   [ ： ]   / /   7 9   [ 。 ]   1 2 4   [ 。 ]   8   [ 。 ]   2 4   /   b i n s   /   s o r a 。 { a r c h i t e c t u r e } ， 以 下 载 并 执 行 名 为 “   s y s c t l ” 的 适 用 恶 意 二 进 制 文 件 。 同 时 ， f e t c h . s h 还 创 建 c r o n 作 业 以 启 用 下 载 二 进 制 文 件 的 自 动 执 行 。 图 3 . 创 建 c r o n 作 业 该 脚 本 使 用 i p t a b l e s 工 具 将 所 有 数 据 包 丢 弃 到 常 用 的 传 输 控 制 协 议 （ T C P ） 端 口 ， 例 如 T e l n e t ， S e c u r e   S h e l l （ S S H ） 和 设 备 W e b 面 板 （ H T T P ） 的 默 认 端 口 。 这 可 能 有 两 个 不 同 的 含 义 ： 没 有 其 他 恶 意 软 件 可 以 直 接 访 问 受 感 染 设 备 中 的 公 开 服 务
设 备 所 有 者 将 无 法 访 问 管 理 界 面 这 也 让 人 联 想 到 我 们 最 近 的 研 究 论 文 中 所 引 用 的 对 当 前 连 接 的 物 联 网 设 备 进 行 控 制 的 含 义 。 通 过 分 析 该 僵 尸 网 络 的 x 8 6 示 例 ， 我 们 了 解 到 它 尝 试 利 用 易 受 攻 击 的 B I G - I P 盒 ， 因 为 它 向 受 害 端 口 4 4 3   /   T C P （ H T T P S ） 发 送 G E T 请 求 ： 图 4 .   G E T 请 求 利 用 C V E - 2 0 2 0 - 5 9 0 2 考 虑 到 该 漏 洞 的 严 重 性 ， 如 果 I D 路 径 正 确 地 附 加 到 带 有 t m s h C m d . j s p 的 “   c o m m a n d ” 参 数 的 简 单 G E T 请 求 ， 就 足 以 在 受 感 染 设 备 中 远 程 执 行 命 令 。   滥 用 其 他 漏 洞 利 用 滥 用 其 他 漏 洞 利 用 在 进 一 步 检 查 变 体 后 ， 我 们 还 发 现 它 尝 试 利 用 随 机 生 成 的 目 标 中 最 近 发 现 和 发 现 的 漏 洞 。 这 是 此 变 体 使 用 的 漏 洞 利 用 的 完 整 列 表 ： 设 备 设 备 脆 弱 性 脆 弱 性 C V E 识 别 识 别 A p a c h e   K y l i n   3 . 0 . 1 命 令 注 入 漏 洞 C V E - 2 0 2 0 - 1 9 5 6 A r u b a   C l e a r P a s s 策 略 管 理 器 6 . 7 . 0 未 经 身 份 验 证 的 远 程 命 令 执 行 C V E - 2 0 2 0 - 7 1 1 5 大 I P   1 5 . 0 . 0   < 1 5 . 1 . 0 . 3   /   1 4 . 1 . 0 < 1 4 . 1 . 2 . 5   /   1 3 . 1 . 0   < 1 3 . 1 . 3 . 3   /   1 2 . 1 . 0 < 1 2 . 1 . 5 . 1   /   1 1 . 6 . 1   < 1 1 . 6 . 5 . 1 T M U I 远 程 执 行 代 码 C V E - 2 0 2 0 - 5 9 0 2 C o m t r e n d   V R - 3 0 3 3 命 令 注 入 C V E - 2 0 2 0 - 1 0 1 7 3  
惠 普 L i n u x K I   6 . 0 1 远 程 命 令 注 入 C V E - 2 0 2 0 - 7 2 0 9   腾 达 A C 1 5   A C 1 9 0 0 远 程 执 行 代 码 C V E - 2 0 2 0 - 1 0 9 8 7 N e x u s 储 存 库 管 理 员 3 远 程 执 行 代 码 C V E - 2 0 2 0 – 1 0 2 0 4 N e t l i n k   G P O N 路 由 器 1 . 0 . 1 1 远 程 执 行 代 码 不 适 用 N e t g e a r   R 7 0 0 0 路 由 器 远 程 执 行 代 码 不 适 用 S i c k b e a r d   0 . 1 远 程 命 令 注 入 不 适 用 表 2 . 其 他 示 例 使 用 的 其 他 漏 洞 利 用 结 论 和 安 全 建 议 结 论 和 安 全 建 议 F 5   N e t w o r k s 迎 合 了 许 多 企 业 的 网 络 设 备 需 求 ， B I G - I P 是 政 府 和 公 司 使 用 的 最 受 欢 迎 的 产 品 之 一 ， 尤 其 是 在 当 今 突 然 在 家 工 作 的 情 况 下 。 它 会 影 响 广 泛 的 产 品 和 版 本 ， 包 括 接 近 漏 洞 披 露 日 期 的 最 新 发 布 的 产 品 和 版 本 。 随 着 C V E - 2 0 2 0 - 5 9 0 2 在 通 用 漏 洞 评 分 系 统 （ C V S S ） v 3 . 0 漏 洞 等 级 中 获 得 1 0 的 评 分 ， 该 漏 洞 还 表 明 安 全 漏 洞 本 身 很 容 易 在 线 滥 用 和 自 动 化 。 而 且 ， 它 不 需 要 凭 据 或 高 级 编 码 技 能 即 可 利 用 。 话 虽 如 此 ， F 5 已 经 发 布 了 内 容 丰 富 且 详 细 的 缓 解 程 序 ， 以 拒 绝 包 含 分 号 的 请 求 。 另 外 ， 虽 然 默 认 设 置 不 会 向 公 众 公 开 管 理 界 面 ， 但 我 们 的 S h o d a n 扫 描 显 示 大 约 7 , 0 0 0 个 在 线 公 开 的 主 机 （ 考 虑 到 仅 侦 听 端 口 4 4 3 和 8 4 4 3 的 主 机 ） 。 “ 暴 露 ” 是 指 “ 可 从 I n t e r n e t 访 问 ” ， 但 不 能 确 定 所 述 主 机 是 易 受 攻 击 的 。 意 识 到 安 全 漏 洞 的 严 重 性 ， 国 防 部 网 络 司 令 部 在 披 露 后 三 天 发 布 了 一 条 推 文 ， 建 议 立 即 修 复 该 漏 洞 。 考 虑 到 该 漏 洞 的 披 露 日 期 以 及 对 漏 洞 进 行 广 泛 攻 击 所 需 的 天 数 （ 1 0 天 ） ， 似 乎 恶 意 行 为 者 正 在 密 切 关 注 最 新 的 披 露 和 报 告 以 提 出 自 己 的 漏 洞 。 尽 管 其 中 一 些 漏 洞 仅 在 博 客 文 章 中 进 行 了 讨 论 ， 并 未 作 为 公 开 的 漏 洞 利 用 代 码 发 布 ， 但 这 些 网 络 犯 罪 分 子 知 道 两 件 事 ： 首 先 ， 制 造 商 尚 未 提 出 相 应 的 补 丁 程 序 ； 其 次 ， 系 统 管 理 员 尚 未 下 载 并 在 同 等 时 间 内 实 施 已 发 布 的 修 补 程 序 。 系 统 管 理 员 和 安 全 团 队 可 以 通 过 以 下 一 些 最 佳 实 践 来 保 护 I o T 设 备 免 受 这 些 类 型 的 威 胁 ： 通 过 不 断 监 控 制 造 商 的 发 布 ， 确 保 I o T 设 备 的 固 件 运 行 在 最 新 版 本 上 。 使 用 虚 拟 专 用 网 络 （ V P N ） 可 以 防 止 任 何 管 理 接 口 直 接 暴 露 于 I n t e r n e t 。 利 用 网 络 分 段 来 限 制 感 染 的 传 播 并 自 定 义 设 备 的 安 全 设 置 。 确 保 有 一 个 网 络 流 量 监 视 和 检 测 系 统 ， 并 具 有 良 好 的 W e b 应 用 程 序 防 火 墙 （ W A F ） 。 这 是 为 了 跟 踪 基 线 和 异 常 使 用 范 围 ， 以 保 护 可 在 线 访 问 的 管 理 界 面 。 安 装 多 层 保 护 系 统 ， 该 系 统 可 以 检 测 ， 阻 止 和 阻 止 诸 如 蛮 力 攻 击 之 类 的 威 胁 ， 这 些 威 胁 会 滥 用 此 类 安 全 漏 洞 进 行 入 侵 。 连 接 的 设 备 还 可 以 通 过 趋 势 科 技 ™ 家 庭 网 络 安 全     和     趋 势 科 技 ™ 家 庭 网 络 安 全 S D K     解 决 方 案 等 安 全 软 件 进 行 保 护 ， 这 些 软 件     可 以 检 查 路 由 器 与 所 有 连 接 的 设 备 之 间 的 互 联 网 流 量 ， 并 帮 助 用 户 评 估 漏 洞 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理