搜索

[5164] 2018-05-25_54个国家大量路由器被僵尸网络VPNFilter控制

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2018-05-25_54个国家大量路由器被僵尸网络VPNFilter控制 5 4 个 国 家 大 量 路 由 器 被 僵 尸 网 络 V P N F i l t e r 控 制 原 创   E 安 全   E 安 全   2 0 1 8 - 0 5 - 2 5 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 5 月 2 5 日 讯   思 科 和 赛 门 铁 克 公 司 于 美 国 时 间 2 0 1 8 年 5 月 2 3 日 陆 续 发 出 安 全 预 警 ： 黑 客 利 用 一 个 复 杂 的 规 模 化 恶 意 软 件 V P N F i l t e r ， 感 染 了 全 球 5 4 个 国 家 的 5 0 万 台 路 由 器 ， 并 构 建 了 庞 大 的 僵 尸 网 络 ， L i n k s y s ， M i k r o T i k ， N e t g e a r   和   T P - L i n k   等 多 家 路 由 器 设 备 厂 商 受 影 响 。 V P N F i l t e r 功 能 强 大 ， 可 破 坏 固 件 设 备 功 能 强 大 ， 可 破 坏 固 件 设 备 恶 意 软 件   V P N F i l t e r   被 认 为 是 第 二 个 支 持 启 动 持 久 性 功 能 的   I o T   恶 意 软 件 ， 不 仅 如 此 ， 该 软 件 还 可 扫 描 数 据 采 集 与 监 控 系 统 （ S C A D A ） 组 件 收 集 有 价 值 的 信 息 ， 并 支 持 删 除 / 破 坏 固 件 的 功 能 ， 致 使 受 影 响 的 设 备 不 可 用 。 全 球 全 球 5 0 万 台 万 台   路 由 器 变 路 由 器 变 “ 肉 鸡 肉 鸡 ” 思 科 称 在 逾 5 0 万 台 路 由 器 上 发 现 了   V P N F i l t e r   恶 意 软 件 ， 全 球 5 4 个 国 家 ， 多 个 品 牌 的 路 由 器 遭 遇 感 染 。 思 科 表 示 ， 攻 击 者 未 使 用   0 D a y   漏 洞 构 建 该 僵 尸 网 络 ， 而 是 利 用 的 老 旧 的 公 开 已 知 漏 洞 感 染 路 由 器 。 赛 门 铁 克 罗 列 了 被 感 染 的 设 备 型 号 ： L i n k s y s   E 1 2 0 0 L i n k s y s   E 2 5 0 0 L i n k s y s   W R V S 4 4 0 0 N M i k r o t i k   R o u t e r O S   f o r   C l o u d   C o r e   R o u t e r s :   V e r s i o n s   1 0 1 6 ,   1 0 3 6 ,   a n d   1 0 7 2
N e t g e a r   D G N 2 2 0 0 N e t g e a r   R 6 4 0 0 N e t g e a r   R 7 0 0 0 N e t g e a r   R 8 0 0 0 N e t g e a r   W N R 1 0 0 0 N e t g e a r   W N R 2 0 0 0 Q N A P   T S 2 5 1 Q N A P   T S 4 3 9   P r o 其 它 运 行 Q T S 软 件 的 Q N A P   N A S   设 备 T P - L i n k   R 6 0 0 V P N 网 件 、 L i n k s y s 等 公 司 建 议 用 户 确 保 路 由 产 品 已 经 升 级 到 最 新 的 固 件 版 本 来 抵 御 此 次 网 络 攻 击 。 乌 克 兰 或 再 遭 网 络 攻 击 乌 克 兰 或 再 遭 网 络 攻 击 思 科 表 示 ， V P N F i l t e r   恶 意 软 件 的 代 码 与 2 0 1 5 年 及 2 0 1 6 年 破 坏 乌 克 兰 电 网 的 恶 意 软 件   B l a c k E n e r g y   存 在 重 叠 之 处 ， 该 恶 意 软 件 或 与 俄 罗 斯 黑 客 组 织 有 关 ， 且 有 可 能 在 近 期 发 起 针 对 乌 克 兰 的 大 型 黑 客 攻 击 。 多 国 曾 指 责 俄 罗 斯 就 是   N o t P e t y a   勒 索 软 件 攻 击 的 幕 后 黑 手 。 此 外 ， 有 人 认 为 “ 坏 兔 子 ” 勒 索 软 件 也 出 自 俄 罗 斯 之 手 ， 它 们 的 主 要 目 标 均 是 乌 克 兰 。 外 媒 报 道 ， 俄 罗 斯 黑 客 可 能 或 蓄 谋 再 次 对 乌 克 兰 发 动 网 络 攻 击 ， 这 一 次 可 能 会 使 用 由 大 量 路 由 器 组 建 的 僵 尸 网 络 。 近 期 被 感 染 设 备 激 增 近 期 被 感 染 设 备 激 增 被 恶 意 软 件   V P N F i l t e r   感 染 的 设 备 组 成 的 个 僵 尸 网 络 可 追 溯 至 2 0 1 6 年 ， 但 研 究 人 员 表 示 ， 该 网 络 僵 尸 网 络 最 近 几 个 月 才 开 始 大 肆 扫 描 设 备 ， 规 模 也 在 短 期 内 得 以 迅 速 扩 大 。 思 科 表 示 该 僵 尸 网 络 的 操 纵 者 过 去 几 周 一 直 在 重 点 感 染 乌 克 兰 的 路 由 器 和 I o T   设 备 ， 甚 至 创 建 了 专 门 的 命 令 与 控 制 服 务 器 （ C & C   服 务 器 ） 管 理 这 些 乌 克 兰 “ 肉 鸡 ” 。 目 前 尚 不 清 楚 攻 击 者 的 意 图 所 在 ， 随 着 该 僵 尸 网 络 的 行 动 加 快 ， 很 快 将 会 爆 发 一 起 攻 击 ， 但 思 科 担 心 ， 其 最 可 能 瞄 准 的 目 标 可 能 是 乌 克 兰 近 期 即 将 举 办 的 重 大 活 动 。 或 瞄 准 乌 克 兰 大 型 活 动 或 瞄 准 乌 克 兰 大 型 活 动
U E F A   欧 洲 冠 军 联 赛 决 赛 将 于 2 0 1 8 年 5 月 2 6 日 在 乌 克 兰 首 都 基 辅 拉 开 序 幕 。 乌 克 兰 的 宪 法 日 （ 6 月 2 8 日 ） 也 可 能 会 是 攻 击 发 生 之 时 ， 而 2 0 1 7 年 这 个 时 候 正 是   N o t P e t y a   攻 击 的 发 动 日 期 。 恶 意 软 件 攻 击 三 步 走 恶 意 软 件 攻 击 三 步 走 第 一 阶 段 ： 由 最 轻 量 级 的 恶 意 程 序 感 染 设 备 ， 并 获 得 启 动 持 久 性 。 几 周 前 ， 罗 马 尼 亚 安 全 专 家 披 露 ， 第 一 款 在 设 备 重 启 后 仍 能 存 活 的   I o T   恶 意 软 件 “ 捉 迷 藏 ” （ H N S ） 。 赛 门 铁 克 发 布 的 一 份 报 告 指 出 ， 用 户 可 执 行 所 谓 的 “ 硬 重 置 ” （ 即 恢 复 出 厂 设 置 ） 来 移 除 第 一 阶 段 的 恶 意 软 件 。 第 二 阶 段 ： V P N F i l t e r   的 恶 意 软 件 模 块 虽 然 无 法 在 设 备 重 启 后 存 活 ， 但 它 可 以 在 用 户 重 启 设 备 时 依 靠 第 一 阶 段 的 模 块 重 新 下 载 该 模 块 。 第 二 阶 段 的 主 要 作 用 是 支 持 第 三 阶 段 的 插 件 架 构 。 思 科 称 ， 目 前 为 止 已 发 现 了 第 三 阶 段 的 插 件 功 能 ， 包 括 ： 嗅 探 网 络 数 据 包 并 拦 截 流 量 ； 监 控 是 否 存 在   M o d u b u s   S C A D A   协 议 ； 通 过   T o r   匿 名 网 络 与   C & C   服 务 器 通 信 。 思 科 怀 疑 ， V P N F i l t e r   的 操 纵 者 已 经 创 建 了 其 它 模 块 ， 只 是 目 前 尚 未 部 署 。
V P N F i l t e r   是 一 款 擦 除 器 是 一 款 擦 除 器 虽 然   V P N F i l t e r   第 二 阶 段 的 模 块 并 不 具 有 启 动 持 久 性 ， 但 这 个 阶 段 的 模 块 最 危 险 ， 因 为 它 包 含 自 毁 功 能 ， 可 覆 写 设 备 固 件 的 关 键 部 分 并 重 启 设 备 ， 从 而 导 致 设 备 不 可 用   ， 因 为 启 动 设 备 所 需 的 代 码 已 被 乱 码 替 换 。 思 科 的 研 究 人 员 在 报 告 中 指 出 ， 大 部 分 受 害 者 无 法 恢 复 这 一 操 作 ， 它 要 求 受 害 者 具 备 普 通 消 费 者 一 般 不 具 备 的 技 术 能 力 、 知 识 或 工 具 。 V P N F i l t e r   的 主 要 用 途 的 主 要 用 途 从 目 前 来 看 ， 攻 击 者 可 能 会 利 用   V P N F i l t e r   开 展 如 下 行 动 ： 监 控 网 络 流 量 并 拦 截 敏 感 网 络 的 凭 证 ； 监 控 流 向 S C A D A 设 备 的 网 络 流 向 ， 并 部 署 专 门 针 对 工 业 控 制 系 统 基 础 设 施 的 恶 意 软 件 ； 利 用 该 僵 尸 网 络 的 “ 肉 鸡 ” 隐 藏 其 它 恶 意 攻 击 的 来 源 ； 使 路 由 器 瘫 痪 ， 导 致 乌 克 兰 大 部 分 互 联 网 基 础 设 施 不 可 用 。
思 科 表 示 目 前 正 在 和 公 私 实 体 合 作 识 别 被   V P N F i l t e r   感 染 的 设 备 ， 并 在 攻 击 发 动 之 前 将 其 消 灭 。 乌 克 兰 特 勤 局 已 发 布 安 全 预 警 。 F B I   已 控 制 已 控 制   V P N F i l t e r   僵 尸 网 络 一 台 重 要 的 服 务 器 僵 尸 网 络 一 台 重 要 的 服 务 器 2 0 1 8 年 5 月 2 3 日 美 国 政 府 表 示 ， 将 寻 求 出 手 解 救 被 黑 客 入 侵 并 控 制 的 数 十 万 受 感 染 的 路 由 及 存 储 设 备 。 持 有 法 院 命 令 的 美 国 联 邦 调 查 局 （ F B I ） 特 工 已 控 制 了 该 僵 尸 网 络 一 台 重 要 的 服 务 器 ， 发 现 了 该 僵 尸 网 络 的 受 害 者 ， 并 重 挫 了 该 僵 尸 网 络 再 次 感 染 目 标 的 能 力 。 T h e D a i l y B e a s t   报 道 指 出 ， V P N F i l t e r 与 俄 罗 斯 黑 客 组 织 F a n c y   B e a r （ 又 名 A P T 2 8 ） 有 关 。 法 庭 记 录 显 示 ， F B I   自 2 0 1 7 年 八 月 以 来 一 直 在 调 查   V P N F i l t e r   僵 尸 网 络 ， 当 时   F B I   特 工 向 美 国 匹 兹 堡 一 名 受 害 者 （ 家 用 路 由 器 遭 感 染 ） 了 解 了 情 况 。 这 名 受 害 者 自 愿 将 路 由 器 交 给 了   F B I   特 工 ， 还 允 许   F B I   利 用 其 家 用 网 络 上 的 网 络 分 流 器 观 察 网 络 流 量 。 设 备 重 启 后 可 摆 脱 控 制 设 备 重 启 后 可 摆 脱 控 制 F B I   利 用 受 害 者 提 供 的 这 些 素 材 识 别 出 这 款 恶 意 软 件 的 一 个 关 键 弱 点 ： 如 果 受 害 者 重 启 被 感 染 的 路 由 器 ， 恶 意 插 件 就 会 全 部 消 失 ， 只 有 这 款 恶 意 软 件 的 核 心 代 码 存 活 下 来 。 核 心 代 码 经 过 重 新 编 程 能 通 过 互 联 网 连 接 到 黑 客 部 署 的   C & C   服 务 器 。 核 心 代 码 首 先 会 检 查 托 管 在   P h o t o b u c k e t （ 热 门 的 图 片 网 站 ） 网 站 上 、 在 元 数 据 中 隐 藏 信 息 的 特 定 图 片 。 如 果 核 心 代 码 无 法 找 到 这 些 图 片 （ 事 实 上 已 从 P h o t o b u c k e t   删 除 ） ， 它 就 会 转 向 硬 编 网 址   T o K n o w A l l [ . ] c o m   的 应 急 备 份 控 制 点 。 5 月 2 2 日 ， 匹 兹 堡 的   F B I   特 工 要 求 该 地 联 邦 法 官 下 达 命 令 ， 以 让 域 名 注 册 公 司   V e r i s i g n   将   T o K n o w A l l [ . ] c o m   地 址 移 交 给   F B I ， 以 进 一 步 展 开 调 查 ， 破 坏 该 僵 尸 网 络 相 关 的 犯 罪 活 动 ， 并 协 助 补 救 工 作 。 法 官 同 意 了   F B I   的 要 求 ， F B I   5 月 2 3 日 接 管 了 该 域 名 。
赛 门 铁 克 公 司 的 技 术 总 监 维 克 拉 姆 · 塔 库 尔 表 示 ， 此 举 可 有 效 扼 杀 这 款 恶 意 软 件 重 启 后 恢 复 活 动 的 能 力 。 V P N F i l t e r   恶 意 软 件 的   P a y l o a d   本 身 不 具 有 持 久 性 ， 因 此 在 路 由 器 重 启 后 亦 无 法 存 活 ， 普 通 消 费 者 可 重 启 路 由 器 阻 止 这 类 网 络 攻 击 。 F B I   正 在 收 集 被 感 染 路 由 器 （ 向 T o K n o w A l l [ . ] c o m 通 信 ） 的 互 联 网   I P   地 址 ， F B I   可 利 用   I P   信 息 清 理 该 僵 尸 网 络 的 感 染 。 塔 库 尔 指 出 ， F B I   可 追 踪 遭 遇 感 染 的 受 害 者 ， 并 将 此 类 信 息 提 供 给 当 地 互 联 网 服 务 提 供 商 。 部 分 互 联 网 服 务 提 供 商 有 能 力 远 程 重 启 路 由 器 ， 其 它 这 类 提 供 商 可 通 知 用 户 ， 敦 促 其 重 启 设 备 。 他 表 示 ， 从 技 术 角 色 来 看 ， V P N F i l t e r   不 会 向   F B I   发 送 受 害 者 的 浏 览 历 史 或 其 它 敏 感 数 据 。 它 的 威 胁 能 力 纯 粹 要 求 额 外 的   P a y l o a d 。 被 感 染 的 路 由 器 目 前 没 有 将 数 据 泄 露 给 T o K n o w A l l [ . ] c o m 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 1 0 0 9 6 4 5 1 5 . s h t m l 推 荐 阅 读 ： A P T 2 8 盯 上 美 国 科 学 家 ， 无 人 机 等 机 密 技 术 或 泄 露 A P T 2 8 攻 击 国 际 奥 委 会 官 员 为 俄 罗 斯 发 声 A P T 2 8 又 要 搞 事 情 ！ 租 用 英 国 服 务 器 ， 8 台 用 途 不 明 2 0 1 7 僵 尸 网 络 “ 盛 行 ” 国 家 ： 中 国 第 三 “ D o u b l e D o o r ” 僵 尸 网 络 首 次 同 时 链 接 两 个 漏 洞 绕 过 防 火 墙 攻 击 1 0 亿 I o T 设 备 或 被 僵 尸 网 络 M i r a i O k i r u 盯 上 首 届 中 国 工 业 信 息 安 全 大 会   |   做 了 哪 几 件 大 事 儿 ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理