搜索

[9359] 2015-09-19_更多思科路由器发现后门：中国有4台

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2015-09-19_更多思科路由器发现后门：中国有4台 更 多 思 科 路 由 器 发 现 后 门 ： 中 国 有 4 台 F r e e B u f   2 0 1 5 - 0 9 - 1 9 安 全 公 司 安 全 公 司 F i r e E y e 前 两 天 刚 刚 发 布 报 告 称 在 四 个 国 家 的 前 两 天 刚 刚 发 布 报 告 称 在 四 个 国 家 的 1 4 台 思 科 路 由 器 上 发 现 台 思 科 路 由 器 上 发 现 S Y N f u l   K n o c k 后 门 程 序 ， 现 在 又 发 现 后 门 程 序 ， 现 在 又 发 现 7 9 台 路 由 器 存 在 相 同 后 门 台 路 由 器 存 在 相 同 后 门 。 。 S Y N f u l   K n o c k   后 门 程 序 后 门 程 序 安 全 研 究 人 员 为 进 一 步 调 查 受 感 染 设 备 而 对 所 有 I P v 4 地 址 进 行 了 扫 描 ， 这 个 被 称 为 S Y N f u l   K n o c k 的 后 门 应 用 程 序 ， 在 收 到 一 串 特 别 的 、 不 合 标 准 的 网 络 数 据 包 硬 编 码 密 码 之 后 ， 后 门 被 激 活 。 通 过 向 每 一 个 网 络 地 址 发 送 无 序 T C P 数 据 包 而 非 密 码 便 可 监 视 应 答 ， 因 此 研 究 者 发 现 了 那 些 被 感 染 的 后 门 。 本 周 二 ， 当 F i r e E y e 第 一 次 曝 出 S Y N f u l   K n o c k 的 活 动 时 ， 震 惊 了 整 个 安 全 世 界 。 植 入 的 后 门 完 全 与 合 法 思 科 路 由 器 映 像 大 小 相 同 ， 同 时 在 每 次 路 由 器 重 启 时 都 会 加 载 。 它 可 支 持 高 达 1 0 0 个 模 块 ， 攻 击 者 能 够 根 据 特 定 目 标 加 载 不 同 功 能 的 模 块 。 在 首 次 披 露 中 ， F i r e E y e 发 现 它 在 印 度 、 墨 西 哥 、 菲 律 宾 和 乌 克 兰 的 服 务 器 上 出 现 ， 共 计 1 4 台 。 这 一 惊 人 发 现 说 明 了 一 直 以 来 偏 向 理 论 化 的 攻 击 形 式 正 逐 步 被 积 极 运 用 。 而 最 新 的 研 究 结 果 显 示 受 害 范 围 其 实 远 远 不 止 四 国 ， 还 包 括 美 国 、 加 拿 大 、 英 国 、 德 国 以 及 中 国 在 内 的 1 9 个 国 家 。 研 究 人 员 写 道 ： 研 究 人 员 写 道 ： 这 一 后 门 可 通 过 指 纹 识 别 ， 我 们 便 使 用 修 改 过 的 Z M a p 扫 描 工 具 发 送 特 制 的 T C P   S Y N 数 据 包 ， 扫 描 了 所 有 公 共 I P v 4 地 址 。 在 9 月 1 5 日 扫 描 的 4 个 公 共 I P v 4 地 址 空 间 ， 发 现 了 7 9 台 主 机 存 在 与 S Y N f u l   K n o c k 后 门 相 符 的 行 为 。 这 些 路 由 器 分 布 于 1 9 个 国 家 的 一 系 列 机 构 中 。 值 得 注 意 的 是 ， 相 比 较 I P 地 址 的 分 配 ， 非 洲 和 亚 洲 植 入 后 门 的 路 由 器 数 量 惊 人 。 而 2 5 台 受 影 响 的 美 国 路 由 器 ， 都 属 于 同 一 个 东 海 岸 的 网 络 服 务 器 供 应 商 。 而 受 影 响 的 德 国 和 黎 巴 嫩 路 由 器 供 应 商 ， 同 时 也 向 非 洲 提 供 服 务 。
如 何 发 现 如 何 发 现 S Y N f u l   K n o c k 后 门 后 门 上 图 便 概 括 了 本 次 研 究 结 果 ； 上 图 便 概 括 了 本 次 研 究 结 果 ； F i r e E y e 研 究 人 员 在 博 客 中 详 细 解 释 了 如 何 检 测 研 究 人 员 在 博 客 中 详 细 解 释 了 如 何 检 测 S N Y f u l   K n o c k 后 门 。 后 门 。 研 究 人 员 使 用 网 络 扫 描 工 具 Z m a p 进 行 了 四 次 扫 描 。 配 置 之 后 ， 便 开 始 向 每 个 地 址 发 送 设 置 为 0 x C 1 2 3 D 和 0 的 数 据 包 ， 等 待 哪 些 响 应 序 列 号 设 置 是 0 ， 紧 急 标 志 并 没 有 设 置 ， 紧 急 指 针 设 置 为 0 x 0 0 0 1 。 “ 我 们 没 有 用 一 个 A C K 数 据 包 进 行 响 应 ， 而 是 发 送 R S T 。 这 并 非 利 用 漏 洞 进 行 登 录 或 者 完 成 握 手 。 这 只 是 为 了 让 我 们 找 出 受 感 染 的 路 由 器 。 因 为 没 有 植 入 后 门 的 路 由 器 并 未 设 置 紧 急 指 针 ， 并 且 只 有 1 / 2 3 2 的 概 率 选 择 0 作 为 序 列 号 。 ” 目 前 可 以 确 定 的 是 S Y N f u l   K n o c k 是 一 个 经 过 专 业 开 发 并 且 功 能 完 备 的 后 门 ， 可 以 影 响 的 设 备 远 超 F i r e E y e 此 前 的 声 称 的 数 量 。 尽 管 受 影 响 的 设 备 中 肯 定 有 用 于 科 学 研 究 的 蜜 罐 ， 用 于 帮 助 研 究 者 寻 找 真 正 的 幕 后 黑 手 以 及 发 现 后 门 是 如 何 在 路 由 器 背 后 进 行 运 作 的 。 但 是 7 9 台 设 备 都 是 诱 饵 的 话 ， 则 似 乎 不 太 可 能 。 目 前 F i r e E y e 没 有 对 这 种 可 能 性 做 出 回 应 。 目 前 尚 没 有 证 据 显 示 S Y N f u l   K n o c k 后 门 利 用 了 思 科 路 由 器 中 任 何 漏 洞 ， F i r e E y e 高 管 表 示 这 个 后 门 背 后 的 攻 击 者 — — 可 能 是 有 政 府 背 景 — — 似 乎 是 利 用 了 厂 商 设 置 的 路 由 器 默 认 密 码 或 者 某 种 其 他 已 知 的 攻 击 方 式 。 研 究 者 说 ， 如 果 其 他 制 造 商 的 网 络 设 备 感 染 了 相 似 后 门 ， 一 点 都 不 奇 怪 。 尽 管 截 至 目 前 ， 没 有 证 据 表 明 来 自 其 他 制 造 商 的 设 备 可 以 感 染 这 一 后 门 ， 但 是 随 着 研 究 人 员 扫 描 工 作 的 持 续 进 行 ， 获 得 支 持 这 一 理 论 的 数 据 也 只 是 时 间 问 题 。 解 决 方 法 解 决 方 法 如 果 确 定 设 备 受 到 感 染 ， 最 有 效 的 缓 解 方 法 就 是 使 用 思 科 的 干 净 下 载 重 新 映 像 路 由 器 。 确 定 新 映 像 的 哈 希 值 匹 配 ， 然 后 加 固 设 备 防 止 未 来 的 攻 击 。 一 定 要 更 新 设 置 、 不 要 采 用 默 认 的 ， 在 确 定 路 由 器 没 有 受 感 染 之 后 ， 也 要 关 注 其 他 网 络 的 安 全 。 如 果 路 由 器 没 有 默 认 凭 证 ， 那 么 感 染 便 是 已 经 发 生 了 ， 下 一 步 需 要 做 的 便 是 影 响 评 估 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理