搜索

[12203] 2018-01-06_华为路由器与僵尸网络不得不说的故事

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2018-01-06_华为路由器与僵尸网络不得不说的故事 华 为 路 由 器 与 僵 尸 网 络 不 得 不 说 的 故 事 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 1 - 0 6 长 话 短 说 长 话 短 说 1 .   C h e c k P o i n t 的 研 究 人 员 近 期 在 H G 5 3 2 华 为 家 庭 路 由 器 中 发 现 了 一 个 0 d a y 漏 洞 ， 网 络 犯 罪 分 子 正 在 利 用 该 漏 洞 实 施 攻 击 。 2 .   攻 击 P a y l o a d 已 被 识 别 为 O K I R U / S A T O R I ， 即 M i r a i 的 升 级 变 种 。 3 .   此 次 攻 击 背 后 的 嫌 疑 人 昵 称 为 “ N e x u s   Z e t a ” 。 漏 洞 利 用 代 码 漏 洞 利 用 代 码 华 为 H G 5 3 2 产 品 漏 洞 利 用 代 码 ： 【 P y t h o n 版 阅 读 原 文 】 介 绍 介 绍 在 过 去 的 十 年 里 ， 联 网 设 备 数 量 的 增 长 已 经 超 过 了 两 百 亿 ， 而 且 随 着 时 间 的 推 移 ， 它 们 的 智 能 化 程 度 也 更 高 了 。 虽 然 这 些 设 备 在 便 携 性 和 实 用 性 等 方 面 得 分 非 常 高 ， 但 C h e c k P o i n t 的 研 究 人 员 表 示 ， 这 些 设 备 的 安 全 得 分 还 未 能 达 到 标 准 。 攻 击 分 析 攻 击 分 析 在 2 0 1 7 年 1 1 月 2 3 日 ， C h e c k P o i n t 的 研 究 人 员 发 现 C h e c k P o i n t 的 某 些 传 感 器 以 及 蜜 罐 系 统 生 成 了 一 些 可 疑 的 安 全 警 报 ， 经 过 进 一 步 分 析 之 后 ， 他 们 发 现 了 大 量 针 对 华 为 H G 5 3 2 设 备 的 攻 击 行 为 ， 攻 击 利 用 的 是 一 个 未 知 的 漏 洞 ， 发 起 端 口 为 3 7 2 1 5 。
在 证 实 了 我 们 的 之 后 ， 我 们 立 刻 将 漏 洞 信 息 披 露 给 了 华 为 的 安 全 团 队 ， 并 进 行 下 一 步 的 漏 洞 修 复 工 作 。 多 亏 了 华 为 安 全 团 队 的 高 效 率 工 作 ， 他 们 迅 速 修 复 了 相 关 漏 洞 并 将 补 丁 推 送 给 了 用 户 。 与 此 同 时 ， C h e c k P o i n t 也 发 布 了 一 个 I P S 保 护 模 块 ， 已 确 保 C h e c k P o i n t 的 用 户 能 够 在 第 一 时 间 得 到 有 效 的 保 护 。 下 图 显 示 的 是 全 球 范 围 内 受 此 漏 洞 影 响 的 分 布 情 况 ： 0   d a y 漏 洞 漏 洞 C V E - 2 0 1 7 - 1 7 2 1 5 华 为 家 庭 网 关 采 用 了 U P n P 协 议 ， 在 T R - 0 6 4 技 术 标 准 的 规 范 下 ， 这 种 协 议 已 被 广 泛 采 用 到 了 各 类 嵌 入 式 设 备 中 以 简 化 设 备 在 家 庭 和 企 业 环 境 下 的 无 缝 联 网 。 T R - 0 6 4 主 要 针 对 的 是 本 地 网 络 配 置 ， 比 如 说 ， 它 允 许 工 程 师 在 内 部 网 络 中 轻 松 地 实 现 基 本 的 设 备 配 置 和 固 件 更 新 等 等 。 在 本 文 所 要 分 析 的 攻 击 场 景 下 ， 华 为 设 备 所 实 现 的 T R - 0 6 4 标 准 将 会 通 过 端 口 3 7 2 1 5 （ U P n P ） 暴 露 在 外 网 中 。 在 对 该 设 备 所 实 现 的 U P n P 描 述 进 行 分 析 之 后 ， 我 们 发 现 它 支 持 一 种 名 叫 “ D e v i c e U p g r a d e ” 的 服 务 类 型 。 这 种 服 务 可 以 通 过 向 “ / c t r l t / D e v i c e U p g r a d e _ 1 ” 发 送 请 求 来 完 成 固 件 的 更 新 操 作 ， 这 个 过 程 还 需 要 涉 及 到 两 个 名 叫 和 的 元 素 。 该 漏 洞 将 允 许 远 程 管 理 员 通 过 在 和 中 注 入 S h e l l 元 字 符 “ $ ( ) ” 来 实 现 远 程 任 意 命 令 执 行 ， 攻 击 向 量 如 下 图 所 示 ： N e w S t a t u s U R L N e w D o w n l o a d U R L N e w S t a t u s U R L N e w D o w n l o a d U R L
当 上 述 代 码 执 行 成 功 后 ， 漏 洞 利 用 代 码 会 返 回 默 认 的 H U A W E I U P N P 消 息 ， 而 “ 设 备 更 新 ” 活 动 将 会 完 成 初 始 化 。 大 家 可 以 在 下 图 中 看 到 ， 攻 击 操 作 涉 及 到 命 令 注 入 ， 下 载 恶 意 P a y l o a d 后 它 将 会 在 目 标 设 备 上 执 行 。 V i r u s T o t a l 针 对 恶 意 P a y l o a d 的 检 测 报 告 如 下 图 所 示 ： 工 作 机 制 工 作 机 制 恶 意 P a y l o a d 的 功 能 还 是 比 较 简 单 的 ， b o t 的 主 要 功 能 就 是 利 用 手 工 制 作 的 U P D 或 T C P 数 据 包 来 对 目 标 设 备 进 行 泛 洪 攻 击 （ F l o o d i n g ） 。 在 攻 击 开 始 时 ， b o t 会 尝 试 使 用 D N S 请 求 （ 利 用 硬 编 码 域 名 ） 来 解 析 I P 地 址 和 C & C 服 务 器 。 接 下 来 ， b o t 会 从 D N S 响 应 中 获 取 目 标 设 备 的 I P 地 址 ， 并 尝 试 使 用 T C P 协 议 （ 硬 编 码 端 口 7 6 4 5 ） 来 与 之 完 成 连 接 。 在 M i r a i 僵 尸 网 络 的 帮 助 下 ， D N S 域 名 以 及 其 他 的 字 符 串 将 会 使 用 简 单 的 异 或 计 算 （ 0 x 0 7 ） 来 进 行 解 码 。 P a y l o a d 中 还 包 含 有 未 编 码 的 字 符 串 （ 伪 造 的 C & C 域 名 ） ， 但 这 部 分 数 据 并 未 使 用 过 ：
用 于 泛 洪 攻 击 的 数 据 包 数 量 以 及 相 应 的 参 数 将 会 被 发 送 至 C & C 服 务 器 中 ： 下 图 显 示 的 是 C & C 服 务 器 针 对 给 定 子 网 范 围 所 生 成 的 随 机 I P 地 址 ： 数 据 包 发 送 完 成 之 后 ， b o t 并 不 会 等 待 目 标 主 机 的 应 答 信 息 。 除 此 之 外 ， b o t 的 代 码 中 还 包 含 很 多 未 使 用 的 功 能 ， 其 中 还 有 很 多 明 文 字 符 串 。 就 此 看 来 ， 攻 击 者 可 能 会 在 今 后 的 变 种 版 本 中 添 加 更 多 的 恶 意 功 能 。 C & C 流 量 流 量 在 C & C 通 信 方 面 ， b o t 使 用 了 自 定 义 的 协 议 。 其 中 包 含 两 个 硬 编 码 请 求 ： C & C 请 求 样 本 ： C & C 服 务 器 的 响 应 信 息 中 包 含 D D o S 攻 击 参 数 ， 如 果 攻 击 者 需 要 发 动 D D o S 攻 击 的 话 ， 请 求 信 息 中 的 起 那 两 个 字 节 必 须 设 置 为 0 0   0 0 或 0 1   0 7 ， 而 之 后 所 包 含 的 就 是 攻 击 数 据 了 。 如 果 前 两 个 字 节 没 有 设 置 成 这 两 个 值 的 话 ， 则 b o t 将 不 会 采 取 任 何 操 作 。 C & C 响 应 样 本 ：
入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C 恶 意 服 务 器 & I P 地 址 信 息 ： I P S & 反 反 B O T 保 护 保 护 我 们 的 I P S 和 反 B O T 保 护 功 能 可 以 有 效 地 防 止 攻 击 者 利 用 本 文 所 介 绍 的 0   D a y 漏 洞 来 实 施 攻 击 ， 我 们 还 会 继 续 观 测 这 种 类 型 的 攻 击 活 动 。 I P S   0 - d a y 保 护 ： I P S 模 块 - H u a w e i   H G 5 3 2 路 由 器 远 程 代 码 执 行 反 B O T 保 护 ： 1 .   L i n u x . O K I R U . A 2 .   L i n u x . O K I R U . B *   参 考 来 源 ： c h e c k p o i n t ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理