搜索

[3271] 2016-11-01_可用IPv6攻击物联网的新型恶意软件LinuxIRCTelnet

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-11-01_可用IPv6攻击物联网的新型恶意软件LinuxIRCTelnet 可 用 I P v 6 攻 击 物 联 网 的 新 型 恶 意 软 件 L i n u x / I R C T e l n e t 原 创   E 安 全   E 安 全   2 0 1 6 - 1 1 - 0 1 E 安 全 讯 ， 安 全 研 究 人 员 M a l w a r e M u s t D i e 发 现 新 型 的 意 大 利 恶 意 软 件 — L i n u x / I R C T e l n e t 。 该 恶 意 软 件 的 目 标 是 通 过 I R C 和 T e l n e t 连 接 的 物 联 网 僵 尸 网 络 。 L i n u x / I R C T e l n e t 能 产 生 I P v 6   D D o S ， 并 执 行 M i r a i 不 包 含 的 新 能 力 。 媒 体 对 M a l w a r e M u s t D i e 的 研 究 人 员 u n i x f r e a k j p 进 行 了 简 短 采 访 。   u n i x f r e a k j p 解 释 道 ， 这 是 主 要 特 征 ， 以 便 能 够 通 过 适 当 的 安 全 意 识 对 抗 这 款 新 恶 意 软 件 。 M i r a i 僵 尸 网 络 扩 充 “ 肉 鸡 ” 后 ， 显 然 ， 在 不 久 的 将 来 ， 受 利 益 驱 使 ， 越 来 越 多 的 物 联 网 设 备 将 被 用 来 实 施 D D o S 攻 击 。 物 联 网 设 备 通 常 缺 乏 足 够 的 质 量 控 制 ， 并 且 存 在 漏 洞 ， 从 而 很 容 易 被 利 用 。 然 而 ， 近 期 ， 物 联 网 常 遭 遇 蛮 力 攻 击 ， 还 因 为 物 联 网 设 备 部 署 在 其 它 地 方 ， 而 未 更 改 默 认 凭 证 。 这 就 是 M i r a i 的 计 划 ， 之 前 也 提 到 过 。 M a l w a r e M u s t D i e 的 知 名 白 帽 子 研 究 人 员 u n i x f r e a x j p 发 现 并 对 M i r a i 做 了 反 向 工 程 。 他 发 文 指 出 ， 事 实 上 ， 新 I R C 僵 尸 网 络 E L F 恶 意 软 件 具 有 I R C 基 础 代 码 （ T s u n a m i / K a i t e ） 协 议 的 规 范 ， 但 记 录 方 式 不 同 ， 在 消 息 传 送 和 恶 意 / 攻 击 媒 介 中 添 加 了 更 多 新 功 能 。 新 新 I R C 僵 尸 网 络 僵 尸 网 络 E L F 恶 意 软 件 新 旧 功 能 皆 兼 备 恶 意 软 件 新 旧 功 能 皆 兼 备 L i n u x / I R C T e l n e t 恶 意 软 件 （ 肉 鸡 客 户 端 ） 的 重 点 具 有 以 下 特 征 和 概 念 架 构 ： 1 )   旨 在 利 用 t e l n e t 协 议 攻 击 物 联 网 ， 到 目 前 为 止 ， 物 联 网 是 新 的 “ 黄 金 国 ” 。 2 )   使 用 G a y F g t / T o r l u s / L i z k e b a b / B a s h d o o r / B a s h l i t e 过 去 使 用 的 t e l n e t 扫 描 器 ， 重 构 C 代 码 截 图 如 下 ：
图 1 ： t e l n e t 扫 描 器 3 )   使 用 M i r a i 泄 露 的 凭 证 列 表 和 二 进 制 代 码 硬 编 写 的 蛮 力 密 码 字 典 ， 如 下 ： 图 2 ： 蛮 力 密 码 字 典 4 )   通 过 发 送 恶 意 C & C   I R C 服 务 器 的 命 令 使 用 K a i t e n 概 念 组 合 （ I R C 协 议 使 用 的 ） 。 下 方 是 u n i x f r e a k j p 通 过 破 译 值 和 恶 意 软 件 行 为 得 到 P o C 日
志 ： 图 3 ： I R C   C & C 服 务 器 日 志 5 )   该 恶 意 软 件 源 自 意 大 利 ： 在 二 进 制 代 码 内 发 现 一 些 意 大 利 字 符 串 ， 如 下 图 所 示 。 攻 击 感 染 该 僵 尸 网 络 发 生 在 2 0 1 6 年 1 0 月 2 5 日 。 图 4 ： L i n u x / I R C T e l n e t 二 进 制 中 包 含 意 大 利 语 的 信 息 经 过 快 速 分 析 后 发 现 ， 该 恶 意 软 件 存 在 全 新 的 强 大 功 能 。
首 次 用 首 次 用 I P v 6 攻 击 物 联 网 （ 和 肉 鸡 的 攻 击 物 联 网 （ 和 肉 鸡 的 I P 欺 骗 ） 欺 骗 ） 在 反 向 阶 段 ， 研 究 人 员 在 新 恶 意 软 件 中 发 现 “ T C P 6 ” 和 “ U D P 6 ” 数 据 包 生 成 器 ， 其 可 能 与 “ s p o o f 6 ” 编 码 选 项 有 关 。 似 乎 ， I P v 6 是 首 次 被 用 来 攻 击 物 联 网 ， 并 可 能 生 成 欺 骗 性 D D o S 攻 击 ， 从 而 不 可 能 识 别 被 感 染 肉 鸡 的 I P 地 址 。 与 重 构 代 码 有 关 的 洪 水 看 起 来 非 常 糟 糕 ， 似 乎 正 在 酝 酿 大 量 D o S 攻 击 。 图 5 ： L i n u x / I R C T e l n e t   恶 意 软 件 的 D D o S 攻 击 序 列 U n i x f r e a x j p 这 样 评 论 ： “ 新 I P v 6 的 新 能 力 是 I P v 4 和 I P v 6 数 据 包 D D o S 攻 击 支 持 该 僵 尸 网 络 ， 其 通 过 攻 击 生 成 器 发 送 函 数 s e n d V 4 ( ) 和 s e n d V 6 ( ) ” 。 攻 击 期 间 ， 还 具 备 另 一 种 能 力 ： 还 以 I P v 4 和 I P v 6 的 形 式 欺 骗 I P 地 址 ， 这 个 功 能 真 正 令 人 毛 骨 悚 然 。 ” 以 下 是 I P V 6 上 的 洪 水 生 成 函 数 ：
图 6 ： 反 向 I P v 6 上 的 洪 水 生 成 函 数 可 以 说 ， 新 功 能 的 重 点 是 基 于 I P v 6 的 洪 水 功 能 ， 以 及 M M D 研 究 人 员 U n i x f r e a x j p 和 安 全 研 究 界 目 前 是 否 准 备 好 处 理 物 联 网 I P v 6   D D o S 攻 击 。 图 7 ： R e d d i t 上 关 于 I P v 6 的 讨 论 这 是 未 来 面 临 的 重 大 挑 战 ： 媒 体 对 u n i x f r e a k j p 的 采 访 如 下 ： 第 一 个 问 题 ： 第 一 个 问 题 ： 1 .   你 认 为 L i n u x / I R C T e l e n e t 比 M i r a i 更 危 险 吗 ？ 2 .   M i r a i 以 自 己 的 方 式 带 来 威 胁 性 。 凭 借 新 型 D D o S 攻 击 功 能 ， 人 们 意 识 低 下 ， 难 以 获 取 样 本 ， 以 及 并 且 未 使 用 M i r a i 作 为 新 名 字 而 是 使 用 了 旧
恶 意 软 件 名 称 等 情 况 … 新 恶 意 软 件 降 低 了 安 全 警 报 响 应 。 因 此 ， 当 遭 受 重 创 时 ， 人 们 会 无 比 惊 讶 。 L i n u x / I R C T e l n e t 如 果 像 M i r a i 发 生 的 情 况 一 样 被 无 视 ， L i n u x / I R C T e l n e t 也 会 是 危 险 的 威 胁 。 这 是 在 I R C   C N C 中 运 行 的 首 款 恶 意 软 件 ， 其 使 用 T e l n e t 扫 描 器 感 染 其 它 物 联 网 。 由 于 媒 介 中 存 在 易 受 攻 击 的 媒 介 ， 因 为 该 恶 意 软 件 的 目 标 是 物 联 网 。 因 此 ， 我 不 会 说 L i n u x / I R C T e l n e t 比 M i r a i 更 危 险 。 这 两 个 恶 意 软 件 具 有 各 自 的 危 险 媒 介 ， 这 取 决 于 如 何 响 应 处 理 威 胁 。 第 二 个 问 题 ： 第 二 个 问 题 ： 1 .   I P v 4 或 I P v 6 中 的 I P 欺 骗 选 项 的 能 力 是 什 么 ？ 2 .   比 如 当 受 感 染 的 物 联 网 通 过 U D P 6 或 T C P 6 实 施 攻 击 ， L i n u x / I R C T e l n e t 选 择 欺 骗 攻 击 者 的 源 I P （ 自 身 I P ） ， 而 不 暴 露 用 来 淹 没 目 标 的 生 成 包 的 源 I P 。 I P v 6 支 持 这 种 欺 骗 和 攻 击 。 这 很 重 要 ， 因 为 没 有 D D o S 僵 尸 网 络 编 码 并 专 门 设 计 用 来 攻 击 I P v 6 中 的 服 务 。 第 三 个 问 题 ： 第 三 个 问 题 ： 1 .   你 如 何 知 道 新 僵 尸 网 络 中 可 利 用 的 “ 肉 鸡 ” 大 致 为 3 5 0 0 个 ？ 2 .   给 你 看 张 图 ： 第 四 个 问 题 ： 第 四 个 问 题 ： 对 比 完 成 的 反 向 代 码 和 历 史 检 测 的 E L F 恶 意 软 件 僵 尸 网 络 ， 并 经 过 进 一 步 分 析 ， 我 们 发 现 匹 配 度 较 高 ， 这 一 点 证 实 该 僵 尸 网 络 的 源 代 码 基 于 A i d r a 僵 尸 网 络 。 直 到 我 反 向 了 整 个 源 代 码 并 将 整 个 完 成 的 反 向 代 码 与 历 史 检 测 的 E L F 恶 意 软 件 僵 尸 网 络 库 对 比 后 ， 我 才 确 信 这 一 点 。 并 且 ， 我 发 现 原 A i d r a 代 码 多 处 修 改 和 详 细 检 查 都 不 谋 而 合 。 基 于 A i d r a   b o t 的 旧 代 码 ， 并 添 加 T o r l u s / G a y f g t   t e l n e t 扫 描 器 的 新 逻 辑 ， 以 及 使 用 M i r a i 泄 露 的 易 受 攻 击 物 联 网 设 备 的 登 录 凭 证 ， L i n u x / I R C T e l n e t 的 感 染 速 度 极 快 ， 因 此 ， 能 在 其 装 载 器 首 次 检 测 的 5 天 内 构 建 约 3 5 0 0 个 b o t 客 户 端 。 的 确 ， 欺 骗 和 I P v 6 是 A i d r a 僵 尸 网 络 家 族 设 计 的 商 标 ， 并 且 ， 为 了 根 据 近 期 易 受 攻 击 的 威 胁 环 境 开 发 该 僵 尸 网 络 的 新 版 本 确 实 糟 糕 至 极 … 我 之 前 反 向 过 该 恶 意 软 件 ， 我 了 解 事 实 。 见 到 新 型 A i d r a 僵 尸 网 络 ， 我 瞠 目 结 舌 。 该 僵 尸 网 络 经 过 重 新 设 计 ， 并 在 旧 A i d r a 的 基 础 上 做 了 修 改 ， 从 而 衍 生 新 威 胁 ， 这 是 我 们 目 前 要 将 面 对 的 情 形 。 从 I R C 服 务 器 的 日 志 ， 可 以 看 到 3 4 8 6 个 “ 用 户 ” 被 连 接 。 E 安 全 注 ： 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱
e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理