搜索

[2968] 2016-07-13_某CCTV摄像头定制IRC-BOT分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2016-07-13_某CCTV摄像头定制IRC-BOT分析   某 C C T V 摄 像 头 定 制 I R C - B O T 分 析 s t a r t z 0 0 7   E 安 全   2 0 1 6 - 0 7 - 1 3 前 些 天 看 E 安 全 新 闻 （     D - L i n k 安 全 漏 洞 影 响 到 超 过 1 2 0 款 产 品 ， 总 计 4 0 万 台 设 备 ） ， 里 面 说 的 是 D - L I N K 的 安 全 问 题 ， 但 提 到 某 种 摄 像 头 被 蠕 虫 感 染 ， 超 过 7 0 多 家 企 业 ， 这 引 起 了 我 的 注 意 。 进 过 一 番 检 索 ， 我 利 用 h t t p : / / w w w . k e r n e r o n s e c . c o m / 2 0 1 6 / 0 2 / r e m o t e - c o d e - e x e c u t i o n - i n - c c t v - d v r s - o f . h t m l 提 到 的 命 令 执 行 漏 洞 ， 通 过 互 联 网 检 索 找 了 一 个 设 备 ， 进 行 设 备 发 现 了 可 疑 进 程 ”   a r m v 5 l ”    
检 索 可 疑 文 件 ， 在 t m p 目 录 发 现 :   里 面 提 到 了 一 个 网 址 ， 去 这 个 恶 意 完 整 下 载 文 件 。 起 初 看 文 件 名 觉 得 ， 没 多 大 意 思 ， 因 为 我 2 0 1 4 年 就 在 博 客 写 过 类 似 跨 平 台 的 b o t n e t 是 的 报 告 h t t p : / / s e c l a b . d b a p p s e c u r i t y . c o m . c n / ? p = 6 9 h t t p : / / s e c l a b . d b a p p s e c u r i t y . c o m . c n / ? p = 2 3 5
使 用 工 具 分 析 其 中 一 个 恶 意 程 序 ， 其 大 概 流 程 ： 首 先 ， 通 过 h t t p 请 求 获 取 系 统 当 前 ｉ ｐ ＆ 国 家 区 域 ：   接 着 ， 通 过 伪 装 H T T P S 进 行 通 讯 ， 获 取 需 要 加 入 I R C 服 务 器 地 址 :   注 意 箭 头 ， 可 以 看 见 现 在 已 经 有 1 4 2 9 5 个 客 户 端 ， 也 就 是 1 . 4 万 机 器 被 感 染 。 当 然 由 于 网 络 原 因 ， 我 并 未 实 际 登 入 i r c 服 务 器 确 定 。 最 后 是 通 过 I R C 接 受 指 令 ：  
U D P   :                           U D P     D D O S H T T P :                   H T T P   D D O S N I C K :                   改 变 改 变 i r c 客 户 名 字 客 户 名 字 S E R V E R ： ：   修 改 修 改 i r c 服 务 器 地 址 服 务 器 地 址 K I L L ： ：                   杀 死 自 己 杀 死 自 己 G E T ： ：                   下 载 文 件 下 载 文 件 & 保 存 保 存 V E R S I O N :             查 看 查 看 b o t 版 本 版 本 K I L L A L L :                           关 闭 所 有 扫 描 行 为 关 闭 所 有 扫 描 行 为 H E L P :                           打 印 帮 助 打 印 帮 助 B O T K I L L E R :     杀 死 其 他 的 杀 死 其 他 的 b o t S H E L L S H O C K :   使 用 使 用 b a s h 进 行 后 门 漏 洞 植 入 进 行 后 门 漏 洞 植 入 T C P :                                   T C P   D D O S
I P :                                                     获 取 获 取 b o t 客 户 端 客 户 端 i p 地 址 地 址 C C T V S S C A N E R ： ：   扫 描 扫 描 c c t v 漏 洞 漏 洞 M A X O U T S O C K E T S :   修 改 服 务 器 设 置 ， 增 强 扫 描 效 果 修 改 服 务 器 设 置 ， 增 强 扫 描 效 果 C C T V P R O C S :                                 扫 描 扫 描 c c t v 漏 洞 漏 洞 使 用 杀 毒 引 擎 查 杀 时 告 警 “ T s u n a m i ” ， 不 过 有 点 不 一 样 的 地 方 ， 可 能 是 变 种 ， 或 者 叫 一 个 新 的 蠕 虫 ： 1 ，   多 了 c c t v 漏 洞 扫 描 ， 和 p o c 代 码 一 摸 一 样 ！ ！  
2 ，   另 外 会 干 掉 其 他 类 型 的 b o t ：   3 ，   程 序 包 含 b a s h 利 用 功 能 ， 以 前 看 见 都 是 单 独 一 个 程 序 进 行 b a s h 注 入 。 其 他 的 功 能 没 什 么 好 说 的 ， 都 那 样 。 吐 槽 ： 吐 槽 ： 大 部 分 的 设 备 都 是 国 外 ， 速 度 有 点 慢 ， 虽 然 大 部 分 设 备 都 是 O E M 的 国 内 的 某 厂 家 。 I o t 设 备 的 升 级 是 非 常 缓 慢 的 过 程 ， 我 在 进 行 调 查 分 析 时 ， 还 被 某 大 厂 的 设 备 （ 弱 口 令 漏 洞 ） 狂 扫 2 3 端 口 给 干 扰 了 。 该 厂 这 个 问 题 被 爆 出 几 年 了 ， 到 现 在 还 是 肆 意 横 行 。 8 一 个 ： 一 个 ： 由 于 其 p a s s w d 文 件 已 经 泄 漏 ， 其 密 码 是 可 以 被 破 解 。 密 码 不 算 太 复 杂 ， 但 也 不 是 弱 口 令 ！ 很 多 设 备 不 通 过 漏 洞 也 能 登 入 。 s t a r t z 0 0 7 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： w e i b o . c o m / E A Q a p p
E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 更 多 全 球 网 络 安 全 最 新 资 讯 ， 欢 迎 使 用 E 安 全 A P P 客 户 端 。 点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理