搜索

[13016] 2018-08-03_20多万台MikroTik路由器被黑，用户被迫扛起锄头挖矿

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2018-08-03_20多万台MikroTik路由器被黑，用户被迫扛起锄头挖矿 2 0 多 万 台 M i k r o T i k 路 由 器 被 黑 ， 用 户 被 迫 扛 起 锄 头 挖 矿 F r e d d y   F r e e B u f   2 0 1 8 - 0 8 - 0 3 研 究 人 员 发 现 研 究 人 员 发 现 2 0   多 万 台 多 万 台 M i k r o T i k 路 由 器 被 黑 客 接 管 ， 让 用 户 不 知 不 觉 中 为 他 们 挖 矿 。 路 由 器 被 黑 客 接 管 ， 让 用 户 不 知 不 觉 中 为 他 们 挖 矿 。 近 日 ， 安 全 研 究 人 员 发 现 了 一 场 针 对 M i k r o T i k 路 由 器 的 大 规 模 恶 意 劫 持 活 动 ， 利 用 M i k r o t i k 企 业 路 由 器 中 的 一 个 已 知 漏 洞 来 接 管 路 由 器 ， 向 用 户 访 问 的 页 面 注 入 C o i n h i v e 挖 矿 脚 本 。 用 户 打 开 该 网 页 后 即 开 始 挖 掘 门 罗 币 ， 而 挖 矿 所 得 将 转 发 至 黑 客 的 账 户 地 址 。 T r u s t w a v e   S p i d e r L a b s 的 安 全 研 究 员 S i m o n   K e n i n 表 示 ， 攻 击 的 首 先 从 巴 西 开 始 ， 第 一 阶 段 即 感 染 了 约 7 2 0 0 0 台 M i k r o T i k 路 由 器 。 随 后 ， 这 场 恶 意 攻 击 迅 速 波 及 到 全 球 2 0 多 万 台 M i k r o T i k 路 由 器 ， 本 文 截 稿 时 ， 这 一 数 字 仍 在 增 长 。 攻 击 方 式 攻 击 方 式 本 次 攻 击 利 用 了 M i k r o T i k 于 今 年 4 月 2 3 日 修 补 的 零 日 漏 洞 ， 虽 然 M i k r o T i k 修 复 该 漏 洞 前 后 只 用 了 一 天 ， 但 还 有 成 千 上 万 的 M i k r o T i k 路 由 器 未 能 及 时 打 上 补 丁 ， 导 致 黑 客 乘 虚 而 入 。 该 漏 洞 使 得 黑 客 能 够 通 过 W i n b o x 从 设 备 读 取 文 件 ， 获 得 对 M i k r o T i k 路 由 器 的 未 经 身 份 验 证 的 远 程 管 理 员 访 问 权 限 。 初 步 调 查 显 示 ， 黑 客 并 不 是 在 路 由 器 上 运 行 恶 意 可 执 行 文 件 ， 而 是 通 过 路 由 器 功 能 推 送 包 含 C o i n h i v e 挖 矿 脚 本 的 自 定 义 错 误 页 面 。 以 下 是 以 下 是 S i m o n   K e n i n 的 分 析 ： 的 分 析 ： 首 先 ， 在 S h o d a n   搜 索 引 擎 上 看 到 的 所 有 页 面 实 际 上 都 是 w e b p r o x y 错 误 页 面 ， 可 见 黑 客 创 建 了 一 个 包 含 C o i n h i v e 脚 本 的 自 定 义 错 误 页 面 ：
黑 客 在 文 件 系 统 中 创 建 了 一 个 自 定 义 的 错 误 页 面 该 页 面 包 含 的 内 容 经 过 测 试 和 R e d d i t 用 户 的 报 告 ， 会 发 生 两 种 情 况 ： 接 入 到 该 路 由 器 的 用 户 ， 只 要 用 户 在 浏 览 网 页 时 跳 转 到 任 何 类 型 的 错 误 页 面 ， 都 会 打 开 这 个 包 含 C o i n h i v e 挖 矿 脚 本 的 自 定 义 错 误 页 面 。 如 果 后 端 本 地 服 务 器 也 连 接 到 路 由 器 ， 只 要 用 户 连 接 到 了 这 个 服 务 器 ， 哪 怕 没 有 直 接 连 接 到 受 感 染 路 由 器 ， 也 会 受 到 影 响 。 而 根 据 R e d d i t 上 一 些 用 户 的 报 告 ， 他 们 在 浏 览 网 页 时 ， 每 个 网 页 都 被 注 入 了 C o i n h i v e 挖 矿 代 码 。 得 知 该 信 息 后 ， S i m o n   K e n i n 进 一 步 调 查 发 现 了 另 外 一 个 脚 本 ：
“ s c r i p t 3 ” 脚 本 _ 用 户 一 连 上 路 由 器 ， 脚 本 就 开 动 了 从 上 图 中 可 以 看 到 ， 用 户 一 连 接 到 无 线 网 络 ， 脚 本 立 即 执 行 。 由 于 服 务 器 上 没 有 m i k r o t i k . p h p 文 件 ， 因 此 该 文 件 内 容 未 知 。 它 可 能 是 用 于 将 C o i n h i v e 挖 矿 代 码 注 入 每 个 h t m l 页 面 的 脚 本 ， 至 于 如 何 实 现 ， 在 本 调 查 中 也 未 能 揭 示 ， 只 能 说 这 些 黑 客 对 于 M i k r o T i k 路 由 器 配 置 有 着 极 深 的 理 解 。 为 什 么 这 么 说 ？ 请 看 以 下 截 图 ， 揭 示 了 该 攻 击 的 持 续 机 制 ： 黑 客 添 加 的 后 台 任 务 一 共 有 两 个 任 务 ： 连 接 到 另 一 台 主 机 “ m i n 0 1 . c o m ” ， 并 获 取 一 个 新 的 “ e r r o r . h t m l ” 文 件 。 这 是 为 了 C o i n h i v e 平 台 屏 蔽 了 黑 客 当 前 使 用 的 站 点 密 钥 后 ， 使 用 另 一 个 站 点 密 钥 来 替 换 它 。 下 载 并 执 行 为 名 为 “ u 1 1 3 . r s c ” 的 脚 本 。 目 前 可 以 看 到 该 脚 本 仅 用 于 占 位 ， 但 这 一 看 就 知 道 是 向 所 有 被 接 管 的 设 备 发 送 附 加 命 令 的 一 种 途 径 。
在 编 译 本 文 时 看 到 的 脚 本 内 容 在 调 查 过 程 中 ， S i m o n   K e n i n 还 确 定 了 黑 客 在 寻 找 新 的 包 含 该 漏 洞 的 路 由 器 时 使 用 的 脚 本 ： 路 由 器 受 到 感 染 时 执 行 的 命 令 我 们 可 以 看 到 该 脚 本 修 改 了 一 些 系 统 设 置 、 启 用 了 代 理 、 获 取 了 自 定 义 错 误 页 面 ， 并 根 据 需 要 创 建 了 更 新 的 计 划 任 务 ， 最 后 还 创 建 了 名 为 “ f t u ” 的 后 门 帐 户 。 这 个 脚 本 正 不 断 添 加 更 多 清 理 命 令 ， 进 一 步 降 低 占 用 空 间 并 减 少 将 C o i n h i v e 挖 矿 代 码 注 入 每 个 网 页 时 产 生 的 线 索 ， 最 终 降 低 被 检 测 的 风 险 。 越 来 越 小 心 的 黑 客 越 来 越 小 心 的 黑 客 从 大 张 旗 鼓 的 加 密 勒 索 软 件 ， 到 现 在 隐 藏 在 信 息 流 里 的 挖 矿 代 码 ， 黑 客 的 思 维 方 式 也 从 一 锤 子 买 卖 转 向 了 更 长 久 的 非 法 利 益 。 在 海 量 的 网 页 中 注 入 C o i n h i v e 挖 矿 代 码 不 可 能 不 被 发 现 ， 越 来 越 多 用 户 的 怒 火 必 然 会 推 动 用 户 自 己 和 I S P 调 查 问 题 的 根 源 。 安 全 研 究 员 S i m o n   K e n i n 在 进 行 调 查 时 ， 只 在 路 由 器 返 回 的 错 误 页 面 中 发 现 了 注 入 的 C o i n h i v e 脚 本 ， 这 说 明 其 他 用 户 在 网 络 上 提 出 问 题 之 后 ， 黑 客 切 换 了 策 略 ， 缩 小 攻 击 面 的 同 时 提 升 了 攻 击 的 量 级 ， 即 仅 在 错 误 页 面 注 入 挖 矿 代 码 ， 感 染 更 多 的 M i k r o T i k 路 由 器 。 但 由 于 部 署 M i k r o T i k 路 由 器 的 企 业 数 量 巨 大 ， 包 含 该 挖 矿 代 码 的 页 面 的 出 现 次 数 仍 可 达 到 数 百 万 次 。 在 管 理 员 为 路 由 器 打 上 补 丁 之 前 ， 这 场 攻 击 仍 将 继 续 ， F r e e b u f 小 编 将 持 续 关 注 并 为 大 家 更 新 信 息 ， 也 请 使 用 M i k r o T i k 路 由 器 的 小 伙 伴 赶 紧 自 查 起 来 。 参 考 来 源 ： T h e   R e g i s t e r   ， F B 小 编 F r e d d y 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理