搜索

[8975] 2015-05-29_LinuxMoose蠕虫：操纵路由器“帮你玩”社交网络

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2015-05-29_LinuxMoose蠕虫：操纵路由器“帮你玩”社交网络 L i n u x / M o o s e 蠕 虫 ： 操 纵 路 由 器 “ 帮 你 玩 ” 社 交 网 络 F r e e B u f   2 0 1 5 - 0 5 - 2 9 微 信 号 ： 微 信 号 ： f r e e b u f E S E T 的 安 全 研 究 员 发 表 了 一 篇 技 术 报 告 ， 报 告 中 详 细 分 析 了 一 个 新 的 蠕 虫 的 安 全 研 究 员 发 表 了 一 篇 技 术 报 告 ， 报 告 中 详 细 分 析 了 一 个 新 的 蠕 虫 L i n u x / M o o s e 。 它 的 攻 击 对 象 主 要 是 调 制 。 它 的 攻 击 对 象 主 要 是 调 制 解 调 器 、 家 用 路 由 器 和 其 他 嵌 入 式 计 算 机 ， 可 将 这 些 设 备 变 成 一 个 代 理 网 络 ， 然 后 创 建 伪 造 的 社 交 账 号 实 施 欺 诈 行 解 调 器 、 家 用 路 由 器 和 其 他 嵌 入 式 计 算 机 ， 可 将 这 些 设 备 变 成 一 个 代 理 网 络 ， 然 后 创 建 伪 造 的 社 交 账 号 实 施 欺 诈 行 为 。 为 。 该 恶 意 程 序 是 由 O l i v i e r   B i l o d e a u 和 T h o m a s   D u p u y 发 现 的 ， 它 会 感 染 基 于 L i n u x 的 路 由 器 和 其 他 基 于 L i n u x 系 统 的 设 备 。 如 果 它 发 现 有 其 他 的 恶 意 程 序 和 它 争 夺 路 由 器 的 有 限 资 源 ， 会 将 其 清 除 ， 然 后 继 续 寻 找 下 一 个 感 染 目 标 。
M o o s e 蠕 虫 不 会 利 用 路 由 器 上 存 在 的 任 何 漏 洞 ， 它 只 会 攻 击 那 些 配 置 较 低 并 且 还 使 用 弱 密 码 登 录 凭 证 的 设 备 。 这 也 意 味 着 不 仅 仅 是 路 由 器 会 感 染 这 种 蠕 虫 ， 其 他 的 设 备 也 可 能 会 感 染 ， 甚 至 是 医 疗 设 备 。 当 然 最 受 影 响 设 备 还 是 路 由 器 ， 涉 及 的 路 由 器 品 牌 有 ： A c t i o n t e c 、 H i k   V i s i o n 、 N e t g e a r 、 S y n o l o g y 、 T P - L i n k 、 Z y X E L 和 Z h o n e 。 M o o s e 蠕 虫 分 析 蠕 虫 分 析 下 图 标 中 列 出 了 M o o s e 的 功 能 ： 在 对 僵 尸 网 络 的 监 控 中 ， 我 们 发 现 这 种 恶 意 软 件 可 以 从 热 门 的 社 交 网 站 中 窃 取 未 经 过 加 密 的 H T T P   C o o k i e s ， 并 且 还 可 执 行 各 种 欺 诈 活 动 … … 例 如 “ 关 注 ” 等 。 下 面 就 是 我 们 从 恶 意 程 序 所 在 的 代 理 服 务 器 上 抓 取 的 H T T P 请 求 ：
值 得 我 们 研 究 的 是 服 务 器 更 新 机 制 是 怎 样 和 H T T P S 进 行 连 接 的 。 但 是 它 几 乎 所 有 的 流 量 都 是 通 过 H T T P S 进 行 加 密 ， 所 以 我 们 没 办 法 看 到 攻 击 者 执 行 的 具 体 操 作 。 通 过 使 用 H T T P S 通 信 中 T L S 握 手 的 证 书 主 题 字 段 ， 我 们 可 以 确 定 目 标 社 交 网 站 的 域 名 。 下 图 绘 制 出 了 某 路 由 器 每 天 向 某 社 交 网 站 发 送 的 请 求 ： 通 过 对 一 个 被 感 染 主 机 长 达 一 个 月 的 监 视 ， 我 们 发 现 它 的 流 量 主 要 会 流 向 下 面 的 社 交 网 站 ： F o t k i   ( Y a n d e x ) I n s t a g r a m   ( F a c e b o o k )
L i v e   ( M i c r o s o f t ) S o u n d c l o u d T w i t t e r V i n e Y a h o o Y o u t u b e   ( G o o g l e ) 从 下 图 中 可 以 看 出 最 易 成 为 目 标 的 社 交 网 站 是 t w i t t e r 、 i n s t a g r a m 、 s o u n d c l o u d 。 在 分 析 时 ， 我 们 经 常 问 自 己 ： 难 道 他 们 付 出 了 那 么 大 的 努 力 就 是 为 了 连 接 到 社 交 网 络 ？ 当 然 不 排 除 说 ， 关 注 、 点 赞 、 阅 读 量 等 还 是 有 一 定 的 市 场 的 。 所 以 攻 击 者 也 可 能 是 为 了 赚 钱 更 多 的 阅 读 量 或 者 关 注 度 而 开 发 的 这 个 病 毒 。 M o o s e 蠕 虫 还 能 劫 持 路 由 器 的 D N S ， 将 D N S 请 求 路 由 到 一 个 恶 意 服 务 器 ， 窃 取 未 加 密 的 社 交 媒 体 c o o k i e s ， 然 后 再 用 c o o k i e s 去 关 注 虚 假 账 户 。 研 究 者 们 已 经 将 该 恶 意 程 序 的 研 究 代 码 全 部 公 开 了 ， 详 见 g i t h u b 。 防 御 措 施 防 御 措 施 如 果 受 害 者 发 现 其 设 备 感 染 了 这 一 病 毒 ， 应 重 启 受 害 者 设 备 ， 然 后 尽 快 的 更 改 密 码 。 然 而 需 要 注 意 的 是 ， 攻 击 者 还 是 可 以 通 过 已 知 的 受 害 者 访 问 凭 证 访 问 受 害 系 统 ， 因 为 恶 意 程 序 已 经 知 道 了 目 标 系 统 的 I P 地 址 ， 并 且 他 们 还 有 很 多 的 方 法 访 问 受 感 染 系 统 的 交 互 式 控 制 平 台 。 他 们 很 可 能 会 人 为 的 访 问 ， 这 也 就 意 味 着 系 统 会 被 进 一 步 的 感 染 ， 比 如 说 永 久 修 改 固 件 。 对 此 用 户 最 好 将 设 备 恢 复 出 厂 设 置 ， 固 件 升 级 ， 重 装 系 统 ， 修 改 密 码 。 即 使 你 的 设 备 没 有 联 网 ， 也 要 更 改 默 认 密 码 。 如 果 可 以 的 话 ， 禁 用 t e l n e t 登 录 ， 使 用 S S H 。 确 保 你 的 路 由 器 不 能 通 过 2 2 （ S S H ） 、 2 3 （ T e l n e t ） 、 8 0 （ H T T P ） 、 4 4 3 （ H T T P S ） 网 络 端 口 进 行 访 问 。 如 果 你 不 知 道 如 何 测 试 你 的 设 备 有 没 有 连 接 这 些 端 口 ， 你 可 以 使 用 如 果 你 不 知 道 如 何 测 试 你 的 设 备 有 没 有 连 接 这 些 端 口 ， 你 可 以 使 用 S h i e l d s U P   s e r v i c e   f r o m   G R C . c o m 的 的 “ 常 用 端 口 常 用 端 口 ” 对 系 对 系 统 进 行 扫 描 ， 以 确 保 上 述 的 几 个 端 口 是 关 闭 的 。 统 进 行 扫 描 ， 以 确 保 上 述 的 几 个 端 口 是 关 闭 的 。 完 整 报 告 点 最 下 方 阅 读 全 文 ！ *   参 考 来 源 w e l i v e s e c u r i t y ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理