搜索

[13535] 2018-12-15_如何利用虚假浏览器更新渗透MikroTik路由器实验

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2018-12-15_如何利用虚假浏览器更新渗透MikroTik路由器实验 如 何 利 用 虚 假 浏 览 器 更 新 渗 透 M i k r o T i k 路 由 器 实 验 周 大 涛   F r e e B u f   2 0 1 8 - 1 2 - 1 5 写 在 前 面 的 话 写 在 前 面 的 话 M i k r o T i k 是 拉 脱 维 亚 一 家 从 事 路 由 器 和 无 线 是 拉 脱 维 亚 一 家 从 事 路 由 器 和 无 线 I S P 系 统 开 发 的 企 业 ， 在 过 去 几 个 月 中 处 理 了 许 多 影 响 其 产 品 操 作 系 统 开 发 的 企 业 ， 在 过 去 几 个 月 中 处 理 了 许 多 影 响 其 产 品 操 作 系 统 的 漏 洞 。 系 统 的 漏 洞 。 2 0 1 8 年 年 4 月 ， 研 究 人 员 发 现 月 ， 研 究 人 员 发 现 R o u t e r O S 的 一 个 关 键 漏 洞 ， 攻 击 一 直 在 以 惊 人 的 速 度 发 生 ， 当 发 现 一 的 一 个 关 键 漏 洞 ， 攻 击 一 直 在 以 惊 人 的 速 度 发 生 ， 当 发 现 一 种 新 发 现 的 种 新 发 现 的 C V E - 2 0 1 8 - 1 4 8 4 7 开 发 技 术 时 ， 情 况 更 糟 。 问 题 在 于 ， 尽 管 供 应 商 提 供 了 安 全 修 复 程 序 ， 但 大 量 的 开 发 技 术 时 ， 情 况 更 糟 。 问 题 在 于 ， 尽 管 供 应 商 提 供 了 安 全 修 复 程 序 ， 但 大 量 的 M i k r o T i k 路 由 器 仍 然 没 有 打 补 丁 并 成 为 自 动 攻 击 的 牺 牲 品 。 犯 罪 分 子 迅 速 利 用 概 念 证 明 代 码 在 短 时 间 内 破 坏 数 路 由 器 仍 然 没 有 打 补 丁 并 成 为 自 动 攻 击 的 牺 牲 品 。 犯 罪 分 子 迅 速 利 用 概 念 证 明 代 码 在 短 时 间 内 破 坏 数 十 万 台 设 备 。 十 万 台 设 备 。 去 年 夏 天 ， S p i d e r L a b s 的 研 究 人 员 通 过 被 黑 客 入 侵 的 M i k r o T i k 设 备 发 现 了 可 能 是 最 大 的 恶 意 C o i n h i v e 活 动 ， 现 在 已 经 演 变 成 一 个 更 广 泛 的 问 题 。 在 最 新 的 攻 击 活 动 中 ， 攻 击 者 利 用 虚 假 的 浏 览 器 更 新 页 面 来 入 侵 路 由 器 。 当 运 行 恶 意 更 新 时 ， 研 究 人 员 会 解 包 代 码 到 计 算 机 中 ， 计 算 机 可 以 扫 描 网 络 中 其 他 有 漏 洞 的 路 由 器 并 尝 试 利 用 。 可 疑 的 浏 览 器 更 新 可 疑 的 浏 览 器 更 新 安 全 研 究 人 员 @ V r i e s H d 首 先 发 现 一 个 尝 试 用 社 会 工 程 技 术 来 入 侵 有 漏 洞 的 路 由 器 的 活 动 。 运 行 受 影 响 的 M i k r o T i k 路 由 器 的 网 络 提 供 商 会 将 关 于 浏 览 器 的 老 版 本 更 新 重 定 向 给 终 端 用 户 。 根 据 C e n s y s 的 搜 索 ， 一 共 有 1 1 0 0 0 个 被 入 侵 的 M i k r o T i k 设 备 提 供 该 虚 假 下 载 页 面 ：
该 浏 览 器 根 系 是 从 一 个 F T P 服 务 器 下 载 的 ， 如 下 图 所 示 ： 有 趣 的 是 ， 此 I P 地 址 也 被 列 为 免 费 和 开 放 的 W e b 代 理 ：
P a y l o a d 分 析 分 析 行 为 分 析 行 为 分 析 P a y l o a d 会 伪 装 成 一 个 名 为 u p d _ b r o w s e r 的 安 装 器 。 当 我 们 运 行 它 时 ， 它 会 弹 出 一 个 错 误 ： 但 如 果 抓 取 网 络 流 量 ， 可 以 看 出 有 很 多 不 同 的 I P 地 址 尝 试 连 接 8 2 9 1 端 口 （ 8 2 9 1 是 通 过 w i n b o x 应 用 管 理 M i c r o T i k 路 由 器 的 默 认 端 口 ） ： U n p a c k 释 放 的 p a y l o a d 是 一 个 比 较 大 的 可 执 行 文 件 （ 7 . 2 5 M B ） 。 该 小 节 的 h e a d e r 和 可 视 化 如 下 图 ：
通 过 查 看 s e c t i o n 名 ， 可 以 看 出 其 打 包 了 一 个 简 单 的 p a c k e r ： U P X 。 重 复 部 分 说 明 提 取 出 的 内 容 太 多 了 。 在 进 行 下 一 步 检 查 后 ， 研 究 人 员 发 现 其 将 一 个 p y t h o n   D L L 和 其 他 相 关 文 件 解 包 到 % T E M P % 文 件 夹 ， 然 后 加 载 这 些 文 件 。 很 容 易 猜 测 出 e x e 文 件 其 实 是 一 个 p y t h o n 脚 本 。 脚 本 中 的 e n t r y   p o i n t 名 为 u p d b r o w s e r 。 反 编 译 脚 本 发 现 恶 意 软 件 的 核 心 是 两 个 p y t h o n 脚 本 ： u p d b r o w s e r . p y 和 u p s . p y 。 脚 本 分 析 脚 本 分 析 该 模 块 的 主 要 功 能 非 常 简 单 ： 我 们 可 以 看 到 ， 错 误 弹 出 窗 口 是 硬 编 码 的 , 它 不 会 警 告 任 何 实 际 错 误 ， 而 是 用 作 诱 饵 。 恶 意 软 件 通 过 查 询 使 用 合 法 服 务 I P   L o g g e r 制 作 的
跟 踪 器 的 硬 编 码 地 址 来 记 录 受 害 者 的 I P 地 址 。 跟 踪 器 采 用 一 个 像 素 大 小 的 图 像 形 式 ： 之 后 ， 该 地 址 会 在 定 义 的 时 间 间 隔 内 定 时 查 询 。 最 重 要 的 操 作 在 名 为 “ s c a n ”   的 函 数 中 执 行 ， 该 函 数 部 署 在 多 个 并 行 线 程 中 （ 最 大 线 程 数 定 义 为 t h m a x   =   6 0 0 ） 。 函 数 生 成 伪 随 机 I P 地 址 并 尝 试 在 上 述 端 口 8 2 9 1 上 连 接 到 它 们 中 的 每 一 个 。 当 连 接 尝 试 成 功 时 ， 它 尝 试 另 一 个 连 接 ， 这 次 是 在 5 6 7 7 8 范 围 内 的 随 机 端 口 上 5 6 8 8 . 当 这 个 失 败 时 ， 就 继 续 漏 洞 利 用 ：   函 数 p o c 是 指 通 过 已 知 的 漏 洞 来 感 染 路 由 器 。 开 始 时 尝 试 利 用 路 径 遍 历 漏 洞 C V E - 2 0 1 8 - 1 4 8 4 7 来 获 取 凭 证 ： u s e r . d a t 文 件 应 该 是 M 2 格 式 ， 因 此 脚 本 附 带 一 个 内 置 的 解 析 器 （ 函 数 l o a d _ f i l e ） ：
如 果 从 u s e r . d a t 文 件 中 检 索 密 码 成 功 ， 它 会 解 密 凭 据 并 使 用 它 们 来 创 建 后 门 ： 具 有 随 机 生 成 密 码 的 帐 户 。 它 还 设 置 由 路 由 器 执 行 的 计 划 任 务 。 调 度 程 序 中 设 置 的 脚 本 是 从 硬 编 码 模 板 生 成 的 （ 此 处 提 供 的 已 清 理 版 本 ） 。 它 的 作 用 是 操 纵 路 由 器 的 设 置 并 设 置 加 载 C o i n H i v e 矿 工 的 错 误 页 面 。 错 误 页 面 可 以 放 在 两 个 位 置 ： 或 。 只 要 用 户 尝 试 查 看 拒 绝 访 问 的 U R L ， 就 会 向 用 户 显 示 这 样 的 页 面 。 但 路 由 器 中 配 置 的 恶 意 脚 本 是 基 于 H T T P 请 求 错 误 。 伪 造 的 错 误 页 面 是 w i l e 欺 骗 原 始 流 量 ， 以 i f r a m e 方 式 展 示 请 求 的 页 面 。 所 以 当 用 户 浏 览 大 多 数 w e b 时 并 不 会 注 意 到 这 一 变 化 。 比 如 ： 缓 解 措 施 缓 解 措 施 M i k r o T i k 用 户 应 及 时 对 路 由 器 打 补 丁 升 级 。 M i k r o T i k 下 载 页 面 中 说 明 了 如 何 对 R o u t e r O S 进 行 升 级 。 意 识 到 这 些 漏 洞 存 在 且 容 易 被 利 用 是 很 重 要 的 ， 因 为 修 补 路 由 器 不 是 很 多 人 习 惯 做 的 事 情 。 但 是 ， 在 许 多 情 况 下 ， 用 户 将 无 法 这 样 做 ， 除 非 他 们 的 I n t e r n e t 服 务 提 供 商 在 上 游 为 他 们 执 行 此 操 作 。 通 过 这 个 社 工 工 程 手 段 ， 我 们 看 到 了 犯 罪 分 子 如 何 试 图 感 染 普 通 用 户 并 利 用 他 们 的 计 算 机 扫 描 互 联 网 以 寻 找 易 受 攻 击 的 路 由 器 。 这 种 技 术 很 聪 明 ， 因 为 这 样 的 努 力 需 要 时 间 和 资 源 才 能 有 效 。 恶 意 软 件 业 务 客 户 和 高 级 消 费 者 用 户 受 到 保 护 ， 免 受 此 威 胁 ， 因 为 我 们 的 反 恶 意 软 件 引 擎 会 实 时 检 测 并 阻 止 此 虚 假 浏 览 器 更 新 ： “   w e b p r o x y / e r r o r . h t m l ” “ f l a s h / w e b p r o x y / e r r o r . h t m l ”
* 参 考 来 源 ： 参 考 来 源 ： m a l w a r e b y t e s ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 ， 周 大 涛 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理