搜索

[12737] 2018-05-23_新的Mirai僵尸网络至少利用了三个全新漏洞

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-05-23_新的Mirai僵尸网络至少利用了三个全新漏洞 新 的 M i r a i 僵 尸 网 络 至 少 利 用 了 三 个 全 新 漏 洞 A n d y . i   F r e e B u f   2 0 1 8 - 0 5 - 2 3 F o r t i n e t 的 安 全 专 家 发 现 了 一 种 新 的 变 体 的 安 全 专 家 发 现 了 一 种 新 的 变 体 M i r a i 僵 尸 网 络 ， 称 为 僵 尸 网 络 ， 称 为 “ W i c k e d   M i r a i ” ， 它 包 括 新 的 漏 洞 同 时 传 播 一 个 ， 它 包 括 新 的 漏 洞 同 时 传 播 一 个 新 的 僵 尸 程 序 。 新 的 僵 尸 程 序 。 W i c k e d   M i r a i 这 个 名 字 来 自 代 码 中 的 字 符 串 ， 专 家 发 现 ， 与 原 始 版 本 相 比 ， 这 个 新 变 种 至 少 包 含 三 个 新 的 漏 洞 。 由 于 两 年 前 公 布 了 源 代 码 ， F o r t i G u a r d 实 验 室 的 团 队 看 到 了 越 来 越 多 的 M i r a i 变 体 。 “ 一 些 做 了 重 大 的 修 改 ， 例 如 增 加 了 将 受 感 染 的 设 备 变 成 恶 意 软 件 代 理   和   密 码 器 群 的   功 能 。 其 他 人 则 将 M i r a i 代 码 与 多 种 针 对 已 知 和 未 知 漏 洞 的 漏 洞 整 合 在 一 起   ， 类 似 于 最 近 由 F o r t i G u a r d 实 验 室 发 现 的 新 变 种 ， 我 们 现 在 称 其 为 W I C K E D 。 ” M i r a i   僵 尸 网 络 第 一 次 发 现 2 0 1 6 年 ， M a l w a r e M u s t d i e 的 专 家 们 用 它 在 野 外 发 动 了 大 规 模 的 D D o S 攻 击 。 M i r a i 的 源 代 码 是 2 0 1 6 年 1 0 月 在 网 上 泄 露 ， 很 快 便 出 现 了 许 多 其 他 变 体 ， 包 括   S a t o r i ,   M a s u t a ， 和 O k i r u 。 据 F o r t i n e t 说 ， “ W i c k e d   M i r a i ” 的 作 者 和 其 他 变 体 很 可 能 是 同 一 个 人 。 M i r a i 僵 尸 网 络 通 常 由 三 个 主 要 模 块 组 成 ： 攻 击 、 杀 手 和 扫 描 仪 。 F o r t i n e t 将 其 分 析 集 中 在 负 责 传 播 恶 意 软 件 的 S c a n e r 模 块 上 。 最 初 的 M i r a i 试 图 强 行 破 坏 其 他 I O T 设 备 ， 而 W i c k e d   M i r a i 使 用 已 知 的 漏 洞 。 W i c k e d   M i r a i 将 通 过 启 动 物 联 网 设 备 的 原 始 套 接 字 S Y N 连 接 扫 描 端 口 8 0 8 0 、 8 4 4 3 、 8 0 和 8 1 。 一 旦 建 立 了 连 接 ， 僵 尸 程 序 将 尝 试 利 用 该 设 备 并 通 过 将 攻 击 字 符 串 写 入 套 接 字 来 下 载 攻 击 载 荷 。 专 家 们 发 现 ， 要 使 用 的 漏 洞 取 决 于 僵 尸 程 序 能 够 连 接 到 的 特 定 端 口 。 在 W i c k e d   M i r a i 的 目 标 设 备 列 表 下 面 ： 8 0 8 0 端 口 ： N E T G E A R   D G N 1 0 0 0 和 D G N 2 2 0 0   v 1 路 由 器 ( 也 被 死 神 僵 尸 网 络 使 用 ) ) 8 1   端 口 ： C C T V - D V R 远 程 代 码 执 行 8 4 4 3 端 口 ： N E T G E A R   R 7 0 0 0 和 R 6 4 0 0 命 令 注 入 ( C V E - 2 0 1 6 - 6 2 7 7 )
8 0 端 口 ： 受 威 胁 的 W e b 服 务 器 中 的 调 用 程 序 外 壳 对 代 码 的 分 析 揭 示 了 S t r i n g   S o r a L O A D E R 的 存 在 ， 这 表 明 它 可 能 试 图 分 发 S o r a 僵 尸 网 络 。 进 一 步 的 调 查 让 研 究 人 员 反 驳 了 这 一 假 设 ， 并 证 实 机 器 人 实 际 上 会 连 接 到 恶 意 域 名 下 载 O w a r i M i r a i 机 器 人 。 成 功 利 用 该 漏 洞 后 ， 此 僵 尸 程 序 将 从 恶 意 站 点 下 载 其 有 效 负 载 。 这 种 情 况 下 ， h x x p : / / 1 8 5 [ . ] 2 4 6 [ . ] 1 5 2 [ . ] 1 7 3 / e x p l o i t / o w a r i . { e x t e n s i o n } 。 这 使 得 它 很 明 显 地 想 要 下 载 另 一 个 M i r a i 变 体 O w a r i   b o t ， 而 不 是 先 前 暗 示 的 那 个 。 然 而 ， 在 分 析 时 ， 在 网 站 目 录 中 找 不 到 O w a r i   b o t 样 本 。 在 另 一 轮 事 件 中 ， 它 们 被 下 面 所 示 的 示 例 所 取 代 ， 这 些 样 本 后 来 被 发 现 是 O m n i   b o t 。 对 该 网 站   / b i n s   目 录 的 分 析 显 示 了 其 他 O m n i 样 本 ， 这 些 样 本 显 然 是 使 用 G P O N 提 供 的 漏 洞 C V E - 2 0 1 8 - 1 0 5 6 1 。 F o r t i n e t 的 安 全 研 究 人 员 在 寻 找 W i c k e d ， S o r a ， O w a r i 和 O m n i 之 间 的 联 系 时 ， 发 现 了 一 个 对 O w a r i / S o r a   I o T 的 僵 尸 网 络 作 者 的 采 访 。 采 访 中 透 露 ， 作 者 抛 弃 了 S o r a   和 O w a r i 的 僵 尸 程 序 ， 他 目 前 正 在 从 事 O m n i 项 目 。 “ 根 据 作 者 在 上 述 访 谈 中 就 同 一 主 机 上 的 不 同 僵 尸 网 络 所 作 的 陈 述 ， 我 们 可 以 从 根 本 上 确 认 僵 尸 网 络 W i c k e d 、 S o r a 、 O w a r i 和 O m n i   的 作 者 是 同 一 个 人 。 这 也 使 我 们 得 出 结 论 ， 虽 然 W i c k e d   b o t   最 初 是 为 了 交 付 S o r a 僵 尸 网 络 ， 但 后 来 它 被 重 新 用 于 为 作 者 的 后 续 项 目 服 务 ， ” F o r t i n e t 总 结 道 。 * 参 考 来 源 ： S e c u r i t y A f f a i r s ， 由 A n d y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理