搜索

[3246] 2016-10-19_专门攻击中国物联网设备的Hajime蠕虫比Mirai更复杂

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2016-10-19_专门攻击中国物联网设备的Hajime蠕虫比Mirai更复杂 专 门 攻 击 中 国 物 联 网 设 备 的 H a j i m e 蠕 虫   比 M i r a i 更 复 杂 原 创   E 安 全   E 安 全   2 0 1 6 - 1 0 - 1 9 E 安 全 安 全 1 0 月 月 1 9 日 讯 ， 安 全 研 究 人 员 发 现 了 一 款 新 型 物 联 网 蠕 虫 ， 该 蠕 虫 似 乎 与 日 讯 ， 安 全 研 究 人 员 发 现 了 一 款 新 型 物 联 网 蠕 虫 ， 该 蠕 虫 似 乎 与 M i r a i 恶 意 软 件 共 享 行 为 。 恶 意 软 件 共 享 行 为 。 因 为 M i r a i 日 语 的 意 思 是 “ 未 来 ” ， 研 究 人 员 将 新 变 种 命 名 为 “ H a j i m e ” ， 日 语 的 意 思 是 “ 起 点 ” 。 R a p i d i t y   N e t w o r k s 的 安 全 研 究 人 员 S a m   E d w a r d s 和 I o a n n i s   P r o f e t i s 发 现 了 H a j i m e 。 研 究 人 员 搜 索 研 究 人 员 搜 索 M i r a i 时 发 现 了 时 发 现 了 H a j i m e 周 末 发 布 的 H a j i m e 活 动 技 术 报 告 中 ， E d w a r d s 和 P r o f e t i s 解 释 称 ， 看 到 M i r a i 开 发 人 员 发 布 源 代 码 后 ， 他 们 潜 心 调 查 M i r a i 。 这 两 名 研 究 人 员 想 研 究 M i r a i 以 及 其 它 能 访 问 源 代 码 的 黑 客 针 对 M i r a i 的 最 终 用 途 。 为 了 搜 集 M i r a i 僵 尸 网 络 的 情 报 ， 他 们 在 全 球 设 置 蜜 罐 服 务 器 。 1 0 月 5 日 ， 也 就 是 M i r a i 代 码 网 上 泄 漏 后 三 天 ， 这 两 名 研 究 人 员 发 现 M i r a i 感 染 ， 但 经 仔 细 查 看 ， 却 发 现 是 全 新 的 恶 意 软 件 。 这 就 是 发 现 H a j i m e 的 全 过 程 。 H a j i m e 是 一 款 物 联 网 蠕 虫 ， 其 传 播 方 式 与 M i r a i 一 致 ， 但 看 起 来 却 是 一 款 全 新 的 恶 意 软 件 ， 尽 管 两 者 之 间 存 在 某 些 共 享 行 为 。 H a j i m e 通 过 蛮 力 攻 击 自 行 传 播 通 过 蛮 力 攻 击 自 行 传 播 研 究 人 员 表 示 ， H a j i m e 使 用 三 级 感 染 机 制 并 自 行 传 播 。 S t a g e   0 发 生 在 已 被 感 染 的 系 统 上 ， H a j i m e 从 这 里 开 始 扫 描 随 机 I P v 4 地 址 。 H a j i m e 在 端 口 2 3 发 起 蛮 力 攻 击 ， 试 图 通 过 源 代 码 中 硬 编 的 一 系 列 用 户 和 密 码 登 录 另 一 端 。 如 果 I P 地 址 的 端 口 2 3 未 打 开 ， 或 蛮 力 攻 击 失 败 ， H a j i m e 将 移 至 新 I P 。 如 果 连 接 成 功 ， H a j i m e 将 执 行 以 下 四 个 命 令 ：
e n a b l e s y s t e m s h e l l s h   / b i n / b u s y b o x   E C C H I 这 些 命 令 允 许 该 蠕 虫 告 知 其 是 否 感 染 了 L i n u x 系 统 。 R a p i d i t y 的 研 究 人 员 表 示 ， H a j i m e 还 能 攻 击 以 下 平 台 ： A R M v 5 、 A R M v 7 、 I n t e l   x 8 6 - 6 4 、 M I P S 和 l i t t l e - e n d i a n 。 使 用 三 级 感 染 系 统 使 用 三 级 感 染 系 统 H a j i m e 进 入 S t a g e   1 ， 并 开 始 下 载 外 部 二 进 制 — 4 8 4 字 节 E L F 程 序 。 E L F 文 件 时 L i n u x 二 进 制 文 件 ， 与 W i n d o w s 上 的 E X E 文 件 类 似 。 H a j i m e 蠕 虫 启 动 该 二 进 制 只 有 一 个 目 的 ， 打 开 一 个 连 接 到 攻 击 者 服 务 器 ， 并 将 收 到 的 字 节 写 入 新 的 二 进 制 ， 当 数 据 传 输 完 成 时 便 执 行 新 二 进 制 。 研 究 人 员 称 ， S t a g e   2 二 进 制 使 用 D H T 协 议 连 接 到 P 2 P 僵 尸 网 络 ， 通 过 u T P 协 议 下 载 进 一 步 有 效 荷 载 （ 二 进 制 文 件 、 m d o u l e s ） 。 D H T 和 u T P 均 为 B i t T o r r e n t 客 户 端 的 核 心 协 议 。 H a j i m e 与 其 它 物 联 网 恶 意 软 件 类 似 ， 但 却 不 同 与 其 它 物 联 网 恶 意 软 件 类 似 ， 但 却 不 同 H a j i m e 的 操 作 方 式 比 M i r a i 更 胜 一 筹 ， 似 乎 还 借 鉴 了 许 多 其 它 物 联 网 恶 意 软 件 的 技 巧 。
H a j i m e 使 用 D H T 连 接 到 P 2 P 僵 尸 网 络 ， 跟 R e x 类 似 ； 使 用 内 置 的 用 户 名 和 密 码 列 表 蛮 力 攻 击 随 机 I P 并 自 行 传 播 ， 这 一 点 与 M i r a i 类 似 ； 此 外 ， 使 用 的 多 级 感 染 机 制 与 N y a D r o p 类 似 。 不 同 点 在 于 H a j i m e 用 C 语 言 编 写 ， 而 不 是 G o （ R e x ） ； 使 用 的 是 P 2 P 网 络 ， 而 不 是 直 接 C & C 服 务 器 连 接 （ M i r a i ） ； 能 在 大 量 平 台 运 作 ， 也 不 仅 仅 是 M I P S （ N y a D r o p ） 。 因 此 ， H a j i m e 似 乎 吸 纳 其 它 物 联 网 恶 意 软 件 的 优 点 ， 比 今 天 我 们 看 到 的 物 联 网 恶 意 软 件 复 杂 得 多 。 H a j i m e 以 网 络 摄 像 机 、 以 网 络 摄 像 机 、 D V R 和 和 C C T V 系 统 为 目 标 系 统 为 目 标 基 于 H a j i m e 源 代 码 中 包 含 的 硬 编 码 凭 证 ， H a j i m e 以 路 由 器 、 D V R 和 C C T V 系 统 为 目 标 ， 就 如 同 M i r a i 和 N y a D r o p 。 更 具 体 而 言 ， H a j i m e 的 目 标 设 备 由 的 目 标 设 备 由 D a h u a   T e c h n o l o g i e s （ 大 华 技 术 ） 、 （ 大 华 技 术 ） 、 Z T E （ 中 兴 ） 以 及 购 买 （ 中 兴 ） 以 及 购 买 X i o n g M a i   T e c h n o l o g i e s （ 雄 迈 科 技 ） 白 色 （ 雄 迈 科 技 ） 白 色 标 签 标 签 D V R 系 统 的 其 它 公 司 生 产 制 造 。 系 统 的 其 它 公 司 生 产 制 造 。 为 了 避 免 H a j i m e 蠕 虫 劫 持 设 备 ， R a p i d y   N e t w o r k s 提 出 了 三 种 技 术 检 测 并 缓 解 感 染 1 . 阻 止 任 何 包 含 H a j i m e 关 键 交 换 信 息 的 U D P 数 据 包 2 . 阻 止 S t a g e   1 中 使 用 的 T C P 端 口 4 6 3 6 3 . 阻 止 T e l n e t 会 话 （ 执 行 " / b i n / b u s y b o x   E C C H I " s h e l l 命 令 ） 的 任 何 流 量 对 于 H a j i m e 的 幕 后 黑 手 ， R a p i d i t y 研 究 人 员 表 示 ： “ 文 件 时 间 戳 经 分 析 后 表 明 ， 该 蠕 虫 开 发 人 员 在 协 调 世 界 时 U T C   1 5 : 0 0 - 2 3 : 0 0 最 为 活 跃 ， U T C 0 0 : 0 0 - 0 5 : 0 0 停 止 活 动 。 这 个 时 间 大 致 符 合 欧 洲 的 睡 眠 模 式 。 ” 另 外 ， 研 究 人 员 发 现 的 证 据 表 明 ， H a j i m e 工 作 开 始 于 2 0 1 3 年 ， 但 该 蠕 虫 今 年 9 月 才 发 布 。 E d w a r d s 和 P r o f e t i s 补 充 道 ， 虽 然 H a j i m e 和 M i r a i 在 传 播 上 使 用 的 攻 击 模 式 极 其 相 似 ， 但 实 际 扫 描 和 传 播 逻 辑 似 乎 借 鉴 了 q B o t 。 “ 如 果 上 述 攻 击 发 起 日 期 正 确 【 格 林 威 治 标 准 时 间 2 0 1 6 年 9 月 2 6 日 ， 星 期 一 0 8 : 4 1 : 5 4 】 ， 那 么 ， H a j i m e 在 M i r a i 源 代 码 公 布 前 几 天 开 始 行 动 ， 也 就 不 可 能 包 含 任 何 M i r a i 代 码 。 ” E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理