恶意软件Mirai换了个马甲 瞄上我国2亿多台IoT设备

http://tech.sina.com.cn/i/2017-10-22/doc-ifymzzpv8879461.shtml?cre=tianyi&mod=pctech&loc=12&r=25&doct=0&rfunc=82&tj=none&tr=25

　　在一年前的今天（2016.10.21），美国发生了一起规模极大的互联网瘫痪事故，多个城市的主要网站被攻击，人们发现连经常登录的推特、亚马逊、Paypal 等在内的大量网站连续数小时无法正常访问。

　　事后查明，一种名为“Mirai”的恶意程序，通过扫描智能摄像头，尝试默认通用密码（比如懒人经常设置的123456、admin……）进行登录操作，一旦成功即将这台物联网设备作为“肉鸡”纳入到僵尸网络里，进而操控其攻击其他网络设备，当控制的设备达到一定数量级后，进行 DDoS 攻击。

　　换个马甲，我们依然认识你

　　不同于以往的是，在这起事件中，“肉鸡”不再是 PC 电脑，而是已经大规模普及的物联网设备---“智能摄像头”。而这之后，Mirai 不断在全世界留下新的“犯案”记录，连续发动了针对新加坡、利比里亚、德国等的DDoS攻击。

　　对于这次网络大瘫痪，雷锋网也曾撰文分析《僵尸网络新世界：摄像头的背叛和战争》，其中就曾提到 Mirai 的攻击源码被发布后可能造成的严重后果。

这个病毒专门用于控制众多品牌的摄像头。在 Mirai 的攻击源码被发布到网络之后，各大安全厂商迅速查杀，但是这个病毒的代码也迅速被各路黑客改写，成为变种继续在网络中生存。

 

这像极了现实世界中我们和病毒的对抗。每当一种新药研制成功，就可以杀死大部分的病毒，但是总有以下部分存活下来，适应了新的药物，从而成为变种，更难被杀死。

　　就在最近，“Mirai”的新变种就被发现，只不过，这次的攻击载体由摄像头变为了电视机顶盒，而且攻击目标在中国，数量多达2亿多台。虽然入侵方式同样是破解设备弱口令，但采用加壳措施进行自我保护，并采用一定的算法隐藏C&C控制服务器地址，绑定端口1992，绿盟科技将其命名为“Rowdy”。

　　▲Mirai 和其变种 Rowdy 的样本对比

经过对比发现，Rowdy 其bot上线方式与 Mirai 相同，ddos攻击代码一致，代码结构基本无变化，基于这些特征已经可以确定，Rowdy 样本是Mirai物联网恶意软件的变种。

　　据绿盟科技安全顾问透露，Rowdy-Bot僵尸网络已经开始向外发起DDoS攻击，目前监控到的国内受控制僵尸主机已达2000多台，其中东南部沿海地区为重灾区。

　　经过评估发现，Rowdy在短短数月时间已经形成了规模不小的Bot僵尸网络，感染的设备涉及国内5家厂商。据国家统计局2月份发布的《中华人民共和国2016年国民经济和社会发展统计公报》显示，该设备实际用户到达2.23亿户，如此庞大的网络，一旦被Rowdy快速渗透，带来的后果不堪设想。

　　根据分析，Rowdy僵尸网络的C&C控制服务器，IP地址为185.47.62.133，地理位置位于荷兰。僵尸主机与C&C控制主机通讯端口为8716。据关联分析，C&C控制服务器与僵尸主机通讯协议为TCP协议，通讯包字节基本都在80~90字节之间。

　　Rowdy僵尸通过自动化扫描方式传播感染，构成整个僵尸网络。首先，会对目标设备进行扫描，利用内置用户名/口令字典，尝试登录Telnet服务。然后，再通过设备的busybox工具下载并执行恶意病毒程序。

　　目前来看，Rowdy样本支持多个平台，包括x86、ARM、MIPS。僵尸网络能发动多种 DDoS 攻击类型，包括 HTTP Flood、SYN Flood、UDP Flood、DNS Flood、ACK Flood、VSE Flood、GRE IP Flood。组成僵尸网络的设备均为上网出口设备，因此该僵尸网络具备发起大规模、大流量 DDoS 攻击的能力。

　　为啥黑客频频盯上物联网设备，连洗碗机都不放过！

　　无论是去年的“Mirai”还是最近的“Rowdy”，越来越多的物联网设备成为了黑客攻击的目标。

　　在今年初，外媒 TheRegister 就曾报道过德国的一个百年家电品牌 Miele 的一款洗碗机存在漏洞，该设备其实主要作为医疗设备使用，用于实验室和手术器械消毒。

　　很多人好奇，为何这样一款设备要连接网络？Miele 的产品页上有提到，这台设备连接局域网是为了生成文本报告。

　　这台设备的 web 服务器漏洞编号为 CVE-2017-7240，此漏洞可导致未经授权的入侵者访问web服务器的任意目录，攻击者可以从中窃取敏感信息，甚至植入自己的恶意代码、让web服务器执行这些代码。

　　美国去年在互联网“大瘫痪”后曾紧急出台过一个《保障物联网安全战略原则》，其中提出，物联网制造商必须在产品设计阶段构建安全，否则可能会被起诉！以此来强制厂商提高对安全问题的重视。

　　那频频被黑客盯上的物联网攻击到底有何特殊之处呢？绿盟科技安全顾问向雷锋网（公众号：雷锋网）编辑这样解释：

从技术角度来讲，真实的物联网设备都采用了真实的 IP，作为安全厂商来讲，我们很难把设备IP和真实的用户区分开，所以检测时会花费更多的时间。

 

与此同时，物联网设备基本上是长期在线的，它不像我们的PC还会有关机和开机的时候，所以随时都可以攻击，为黑客提供了便利。

 

还有就是捕获手段非常简单，可以在短时间内大量组织起来发动 DDoS 攻击的设备。只要设备搭载了相关的操作系统，并且能够联网，那么黑客就可以入侵操作系统，让这台设备去干些什么。

　　那为什么物联网设备的捕获手段会比较简单呢？

　　绿盟科技安全顾问告诉雷锋网编辑，在 IOT设备这些年的发展中，厂商更注重的是设备功能的完善和用户体验的提升，而对于安全没有足够的重视，使黑客能利用像缺省口令这样简单的漏洞进行攻击。

　　应当如何防范？

　　虽然由于及时发现，Rowdy僵尸网络被有效遏制了，但类似的物联网僵尸网络一定会再次出现。物联网设备，包括摄像头、路由器、智能电视、机顶盒、智能家居和可穿戴设备，只要接入互联网，搭载了相关操作系统，就有可能成为攻击者的潜在目标。攻击者利用存在漏洞的物联网设备，尤其是缺省弱口令的设备，组成庞大的僵尸网络，为其发动大规模DDoS攻击做准备，威胁互联网安全。

　　其实利用缺省口令进行攻击并不是一种高难度的攻击，绿盟科技安全顾问建议，

对于厂商来说，需要在生产的过程当中，就对固件进行保护，以路由器的内置密码为例，厂商一定要注意不要使用类似123456这样的弱口令，而是要用数字、字母、特殊符号等更复杂的口令。而且密码不能以明文的形式，要做一些加密处理。发现了相关的漏洞，及时跟安全厂商联系，快速的更新，替换。

 

对于购买了 IOT设备的普通的用户，及时的去查看官网，更新固件。此外，需要遵守设备安装手册，按照要求修改默认密码。以防IOT设备变成网络僵尸。

　　▲针对DDoS攻击防护建议

　　受Rowdy感染的僵尸网络具备发起多种复杂DDoS攻击的能力。当遭受此类攻击时，可以通过部署本地或者云端的抗拒绝服务系统进行流量清洗。

　　雷锋网原创文章，未经授权禁止转载。详情见转载须知。