搜索

[10912] 2017-01-09_蜜罐揭秘真实的Mirai僵尸网络

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-01-09_蜜罐揭秘真实的Mirai僵尸网络 蜜 罐 揭 秘 真 实 的 M i r a i 僵 尸 网 络 泰 格 实 验 室   F r e e B u f   2 0 1 7 - 0 1 - 0 9 * 本 文 原 创 作 者 ： 泰 格 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 关 于 关 于 M i r a i 文 章 已 经 很 多 ， 基 本 都 是 基 于 文 章 已 经 很 多 ， 基 本 都 是 基 于 M i r a i 公 开 源 码 的 解 读 ， 或 者 相 关 公 开 源 码 的 解 读 ， 或 者 相 关   D D O S   事 件 的 分 析 。 我 们 决 定 使 出 洪 荒 之 力 事 件 的 分 析 。 我 们 决 定 使 出 洪 荒 之 力 ， 通 过 构 建 针 对 性 蜜 罐 系 统 ， 主 动 探 测 揭 秘 当 前 互 联 网 上 真 实 隐 藏 着 的 ， 通 过 构 建 针 对 性 蜜 罐 系 统 ， 主 动 探 测 揭 秘 当 前 互 联 网 上 真 实 隐 藏 着 的 M i r a i 僵 尸 网 络 。 僵 尸 网 络 。         1 、 僵 尸 网 络 探 测 系 统 、 僵 尸 网 络 探 测 系 统 基 于 M i r a i 感 染 逻 辑 ， 我 们 研 发 了 一 套 针 对 性 的 M i r a i 僵 尸 网 络 探 测 系 统 。 下 边 简 单 介 绍 一 下 M i r a i   的 组 成 部 分 。 — - S c a n L i s t e n 模 块 ： 模 块 ： 主 要 用 于 接 收 B o t 弱 口 令 扫 描 得 到 的 设 备 信 息 ， 包 括 ： i p   、 端 口 、 用 户 名 、 密 码 。 并 将 其 发 送 给   L o a d 处 理 。 — - L o a d 模 块 ： 模 块 ： 接 收 S c a n L i s t e n 发 送 的 目 标 信 息 ， 并 针 对 每 个 设 备 植 入 木 马 。 — - C N C 模 块 ： 模 块 ： 主 要 用 于 管 理 B o t ， 发 起 D D O S 攻 击 。 — - B o t 模 块 ： 模 块 ： 运 行 于 网 络 设 备 ， 主 要 实 现 网 络 设 备 t e l n e t 弱 口 令 扫 描 ， 同 时 接 收 C N C   控 制 指 令 对 目 标 发 动   D D O S 攻 击 。 M i r a i 的 感 染 逻 辑 是 ： S c a n L i s t e n 在 接 受 到 B o t   的 扫 描 结 果 信 息 后 ， 未 对 信 息 发 送 方 进 行 身 份 验 证 ， 直 接 把 结 果 传 递 给   L o a d ， 然 后         L o a d 直 接 对 结 果 中 的 目 标 植 入 木 马 。 示 意 图 如 下 ：  
      M i r a i 的 感 染 逻 辑 我 们 通 过 伪 造 扫 描 结 果 信 息 ， 把 蜜 罐 系 统 地 址 信 息 与 登 陆 口 令 发 送 给 疑 似 S c a n L i s t e n ， 如 果 命 中 真 实 S c a n L i s t e n   ， 则 相 应 的   L o a d 服 务 器 会 对 蜜 罐 系 统 植 入 M i r a i 木 马 ， 木 马 运 行 后 与 相 应 的 C N C   服 务 器 建 立 连 接 。 示 意 图 如 下 ：    
M i r a i 僵 尸 网 络 探 测 系 统 疑 似 疑 似 S c a n L i s t e n 的 的 I P 获 取 方 法 ： 获 取 方 法 ： 在 全 球 范 围 内 ， 扫 描 端 口   4 8 1 0 1   打 开 的 服 务 器       I P 。 真 实 真 实 S c a n L i s t e 命 中 确 认 方 法 ： 命 中 确 认 方 法 ： 通 过 构 造 大 量 包 极 其 复 杂 用 户 名 与 密 码 ， 在 一 定 时 间 段 内 ， 保 证 针 对 一 个 疑 似 S c a n L i s t e n   发 送 一 个 唯 一 的 用 户 名 密 码 。 通 过 监 控 与 蜜 罐 系 统 建 立 t e l n e t 连 接 时 使 用 的 用 户 名 与 密 码 ， 即 可 确 定 哪 个 疑 似 S c a n L i s t e n 是 真 实 的   S c a n L i s t e n 。   2 、 、 S c a n L i s t e n 服 务 器 全 球 分 布 服 务 器 全 球 分 布 通 过 近 3 个 月 的 主 动 探 测 分 析 ， 我 们 发 现 有 1 8 7 4 个   S c a n L i s t e n   服 务 器 ， 分 布 于 全 球 3 4 个 国 家 或 地 区 。
该 地 图 中 颜 色 越 深 ， 代 表 分 布 数 量 越 多 ， 可 以 看 出 分 布 数 量 最 大 的 几 个 国 家 有 中 国 大 陆 、 美 国 、 比 利 时 、 荷 兰 、 法 国 、 西 班 牙 、 俄 罗 斯 等 。 3 、 、 S c a n L i s t e n 服 务 器 中 国 大 陆 分 布 服 务 器 中 国 大 陆 分 布 在 中 国 大 陆 ， 共 发 现 4 2 2 个 ， 主 要 分 布 山 东 、 上 海 、 河 南 、 浙 江 、 辽 宁 等 省 份 或 者 直 辖 市 。
4 、 、 B O T 全 球 分 布 全 球 分 布
我 们 对 部 分 S c a n L i s t e n 接 收 到 的 B O T 信 息 进 行 了 统 计 ， 发 现 近   8 7   万 台 B O T 历 史 记 录 信 息 ， 分 布 于 2 0 2 个 国 家 或 地 区 。 主 要 分 布 于 中 国 、 俄 罗 斯 、 印 度 、 巴 西 、 越 南 、 伊 朗 、 巴 基 斯 坦 、 意 大 利 、 日 本 、 土 耳 其 、 美 国 等 国 。 5 、 、 B O T 中 国 大 陆 分 布 中 国 大 陆 分 布
6 、 、 B O T 扫 描 分 析 扫 描 分 析
通 过 蜜 罐 系 统 捕 获 到 的 B o t 扫 描 使 用 的 弱 口 令 ， 发 现 已 经 累 计 增 加 到 8 6 条 。 M i r a i 原 B o t 扫 描 利 用 弱 口 令 为 6 0 个 ， 如 下 图 所 示 ： I D 用 户 名 用 户 名 密 码 密 码 I D 用 户 名 用 户 名 密 码 密 码 I D 用 户 名 用 户 名 密 码 密 码 1 6 6 6 6 6 6 6 6 6 6 6 6 2 1 m o t h e r f u c k e r 4 1 r o o t h i 3 5 1 8 2 8 8 8 8 8 8 8 8 8 8 8 8 2 2 r o o t v i z x v 4 2 r o o t u s e r 3 a d m i n a d m i n 2 3 r o o t x c 3 5 1 1 4 3 r o o t d r e a m b o x 4 a d m i n 1 2 3 4 2 4 r o o t r o o t 4 4 r o o t k l v 1 2 3 5 a d m i n p a s s w o r d 2 5 r o o t a d m i n 4 5 r o o t 0 6 a d m i n 7 u j M k o 0 a d m i n 2 6 r o o t d e f a u l t 4 6 r o o t 7 u j M k o 0 a d m i n 7 a d m i n s m c a d m i n 2 7 r o o t 1 2 3 4 5 6 4 7 r o o t 7 u j M k o 0 v i z x v 8 a d m i n a d m i n 1 2 3 4 2 8 r o o t Z t e 5 2 1 4 8 r o o t s y s t e m 9 a d m i n 1 1 1 1 2 9 r o o t j u a n t e c h 4 9 r o o t i k w b 1 0 a d m i n 1 2 3 4 5 6 3 0 r o o t a n k o 5 0 r o o t k l v 1 2 3 4 1 1 a d m i n 1 2 3 4 5 3 1 r o o t 1 2 3 4 5 5 1 r o o t r e a l t e k 1 2 a d m i n 5 4 3 2 1 3 2 r o o t x m h d i p c 5 2 r o o t z l x x 1 3 a d m i n 4 3 2 1 3 3 r o o t 5 4 3 2 1 5 3 s u p e r v i s o r s u p e r v i s o r 1 4 a d m i n 1 1 1 1 1 1 1 3 4 r o o t 8 8 8 8 8 8 5 4 s u p p o r t s u p p o r t 1 5 a d m i n p a s s 3 5 r o o t 1 2 3 4 5 5 t e c h t e c h 1 6 a d m i n m e i n s m 3 6 r o o t p a s s w o r d 5 6 u b n t u b n t 1 7 a d m i n 1 p a s s w o r d 3 7 r o o t 1 1 1 1 5 7 u s e r u s e r 1 8 a d m i n i s t r a t o r 1 2 3 4 3 8 r o o t p a s s 5 8 A d m i n i s t r a t o r a d m i n 1 9 g u e s t 1 2 3 4 5 3 9 r o o t 6 6 6 6 6 6 5 9 a d m i n 2 0 g u e s t g u e s t 4 0 r o o t j v b z d 6 0 r o o t 最 新 B o t 新 增 扫 描 弱 口 令 2 6 条 ， 详 细 信 息 如 下 图 所 示 ： I D 用 户 名 用 户 名 密 码 密 码 I D 用 户 名 用 户 名 密 码 密 码 I D 用 户 名 用 户 名 密 码 密 码 1 a d m i n c a t 1 0 2 9 1 0 d e f a u l t a n t s l q 1 9 r o o t t e l n e t 2 a d m i n Z m q V f o S I P 1 1 g u e s t a d m i n 2 0 r o o t g r o u t e r 3 a d m i n 8 8 8 8 8 8 1 2 n e t g e a r n e t g e a r 2 1 r o o t o e l i n u x 1 2 3 4 a d m i n g u e s t 1 3 r e a l t e k r e a l t e k 2 2 r o o t 8 8 8 8 8 8 8 8 5 a d m i n 6 6 6 6 6 6 1 4 r o o t 1 0 0 1 c h i n 2 3 s e r v i c e s e r v i c e 6 A d m i n 1 1 1 1 1 1 1 5 r o o t c a t 1 0 2 9 2 4 s y s t e m s y s t e m 7 a d m i n o e l i n u x 1 2 3 1 6 r o o t t l 7 8 9 2 5 t e l n e t t e l n e t 8 A d m i n i s t r a t o r m e i n s m 1 7 r o o t G M 8 1 8 2 2 6 u s e r q w e a s d z x 9 a d m i n l v j h a d m i n l v j h 1 2 3 1 8 r o o t h u n t 5 7 5 9
7 、 悟 语 、 悟 语   通 过 对 S c a n L i s t e n 与 B o t 分 布 的 分 析 ， B o t   主 要 分 布 于 发 展 中 国 家 ， 侧 面 反 映 出 发 展 中 国 家 网 络 安 全 防 御 能 力 普 遍 较 弱 。   我 国 经 济 发 展 较 强 省 份 或 地 区 在 网 络 安 全 防 御 能 力 方 面 没 有 形 成 明 显 优 势 ， 让 我 想 起 某 安 全 人 士 所 说 的 一 句 话 ： 中 国 一 流 的 网 络 规 模 却 只 有 四 流 网 络 安 全 防 御 能 力 。 我 们 于 此 事 件 中 就 可 管 中 窥 豹 可 见 一 斑 ， 我 国 作 为 世 界 上 拥 有 最 多 网 民 的 国 家 ， 提 高 国 家 网 络 安 全 防 御 能 力 已 经 刻 不 容 缓 ！ * 本 文 原 创 作 者 ： 泰 格 实 验 室 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理