物联网安全物联网恶意家族分析

国内异常物联网设备省份分布

对于国内的异常物联网设备集合中的数据，我们同样以省份维度作进行分析，并关联异常行为和设 备类型等信息，得出如下观点。

观点 6： 作为国内 GDP的省份领跑者，广东、江苏、山东、浙江和台湾等省份的物联网设备数量 规模为前五，异常物联网设备规模省份排名中江苏、广东、浙江、山东仍在前四。说明物联网设备普及 程度与当地的经济紧密关联，但物联网设备的威胁也随之跟随，经济和新型产业发展的同时需要重物 联网安全。

首先，通过图 3.16 可知，国内异常物联网设备的主要行为是 DDoS 攻击和僵尸网络通信。其次， 以省份维度划分，异常物联网设备所在省份全国排名前五为江苏、广东、浙江、山东和福建。图 3.17 中出现的省份异常物联网设备数量均超过 1000 个。通过对 3.3.3 节中的图 3.15 可以发现，台湾省作为 物联网设备总量第一大省，但是异常物联网设备数量却并不多，从数据的角度可做出这样的两种假设：

1. 台湾的物联网设备安全性较好，因此没有发生大规模的异常行为。
2. 部署在台湾的恶意数据收集探针较少。 接下来通过设备进行的攻击类型和所在省份进行分析，结果如下图所示：

由图 3.18 可知，广东省的异常物联网设备在 DDoS 攻击、僵尸网络通信和恶意挖矿方面的异常行 为数量在全国省份中最高，江苏省的异常物联网设备在安全漏洞利用、扫描探测和发送垃圾邮件方面的 异常行为数量在全国中最高。

异常物联网设备数量最多的省份前三名是江苏、广东和浙江，因此接下来将对广东、江苏和浙江的 物联网设备类型和异常攻击类型进行详细分析。

通过对图 3.19 江苏、广东和浙江的物联网设备异常行为分析可知，虽然江苏在漏洞利用、扫描探 测和发送垃圾邮件方面是全国最高，但在江苏省内的发生最多的异常行为是 DDoS攻击和僵尸网络通信。

从图 3.20 江苏、广东和浙江异常物联网设备的类型可知，三个省份主要的异常物联网设备是摄像 头和路由器，均占本省的异常设备总数的 90% 以上。广东和浙江摄像头和路由器甚至占本省的 98%。

综上所述，作为国内 GDP大省的台湾、江苏、广东、山东和浙江拥有的物联网设备是全国的前五名， 异常物联网设备前五名分别为江苏、广东、浙江、山东和福建。国内物联网设备主要的行为是 DDoS 攻 击恶意行为和僵尸网络通信异常行为，该两类行为以广东和江苏最显著，其他几类异常行为江苏为主， 但江苏省内进行的主要行为仍是 DDoS 攻击恶意行为和僵尸网络通信异常行为。

物联网恶意家族分析

物联网设备上运行的软件多使用开源框架和开源代码，存在大量安全漏洞。从最初的弱口令漏洞到 后续的 HTTP 服务类漏洞，跨站请求类漏洞，Memcached，ThinkPHP 框架等等，因此存在各个家族的 多变且活跃的变种。

我们发现物联网恶意代码的家族趋向于一致性，目前捕获物联网恶意样本以 Mirai 和 Gafgyt 家族为 主。这些家族的变种大都使用已有的漏洞攻击代码，因此可以攻击者大多数可能是工具使用者，而非代 码开发者。

我们从捕获的数据进行分析可知，物联网中的僵尸网络开始服务化，集中化，基本形成托管制度， 绝大部分攻击者无需自己构建僵尸网络，通过购买 DDoS 服务即可完成攻击。而服务提供者在不断的改进感染代码，增加漏洞利用方式，以获取更大量的僵尸网络主机，从而提供更大带宽的攻击服务。

目前本章已知的专注于攻击物联网恶意代码家族主要包括以下几个： Gafgyt（Qbot），XorDDoS， billgates，Mirai 及其变种（satori、Hijime 等），Tsunami，mayday 等。

物联网恶意家族的样本维度分析

我们对 2018 年从威胁捕获系统中捕获的物联网恶意家族的样本数量进行分析，如图 3.22 所示；又 对 NTI和 VirusTotal 的情报系统中的恶意家族的样本数量进行分析，如图 3.23 所示。虽然两张图的数 据源不同，但均表明 Gafgyt 家族和 Mirai家族的样本总和均为前两名，因此物联网恶意家族趋向一致性。 主要原因为 Mirai 家族和 Gafgyt 家族的源码已经公布，可以随意进行修改，这些家族变种的修改部分主 要集中于 C&C地址和攻击方式。而这正是“工具党”最显著的特征之一，可见大多数攻击者为工具使用者。

此外，本小节对监测到的物联网设备被攻击端口进行分析，如图 3.24 所示。可见 70% 以上的攻击 都是针对 23 端口和 445 端口：23 端口是 Telnet 登陆端口，常见的攻击为弱口令爆破攻击；445 端口 为 SMB（Server Message Block）服务，该端口一般是受到永恒之蓝漏洞的攻击，而这两个漏洞攻击， 在 Mirai 和 Gafgyt 中非常常见，这也与前述推断相符合。

通过捕获到的数据分析可知，物联网中的僵尸网络开始服务化，集中化，基本形成托管制度，绝大 部分攻击者无需自己构建僵尸网络，通过购买 DDoS 服务即可完成攻击，而服务提供者在不断的改进感染代码，增加漏洞利用方式，以获取更大量的僵尸网络主机，从而提供更大带宽的攻击服务。

物联网恶意家族的攻击维度分析

3.4.1 节是对家族的样本数量进行分析，本小节主要对进行过 DDoS 攻击的物联网设备进行分析。

对异常物联网集合数据的家族维度进行分析发现，已验证僵尸主机家族属性的异常物联网设备数量为 6 万左右。将僵尸主机的网络地址与异常物联网数据进行关联，分析这些僵尸主机的月份存活量、主要家 族和异常行为。月份存活量，是指僵尸主机在当月进行过 DDoS 攻击，文中其他地方出现则不再赘述。

观察 7： 当前僵尸主机家族规模前两名是 Gafgyt 家族和 XorDDoS家族，其中通过月份可知在 2018 年 6 月异常物联网僵尸主机存活量最多，Gafgyt 家族进行的 DDoS 攻击主要以路由器和摄像头为主， XorDDoS家族进行的 DDoS 攻击以摄像头为主。

Gafgyt XorDDoS BillGates Mirai chinaz 家族名称

通过对 6 万僵尸主机的月份存活量进行分析可发现，2018 年 6 月份进行过 DDoS 攻击的僵尸主机 数量最多，当前僵尸主机家族规模的前两名为 Gafgyt 和 XorDDoS家族，前五的家族还包括 BillGates、 Mirai 和 chinaz 家族。接下来将对 Gafgyt 家族和 XorDDoS家族的僵尸主机的月份存活量进行分析。

通过图 3.27 和图 3.28 可知，2018 年 6 月份 Gafgyt 家族和 XorDDoS家族控制的僵尸主机月份存活 量非常多。在僵尸主机月份存活量中可知，2018 年 6 月份进行过 DDoS攻击的僵尸主机为 1.2 万左右， 然而在 Gafgyt 家族和 XorDDoS家族 6 月份存活量总和为 0.9 万左右，占当月全部存活量的 77%，由此 可见，2018 年 6 月份进行的 DDoS 攻击主要以 Gafgyt 家族和 XorDDoS家族为主。接下来又对 Gafgyt 家族和 XorDDoS家族所控制的物联网设备类型进行分析给出相应结论。

由图可知，Gafgyt 家族控制的异常物联网设备主要为路由器、摄像头和 VoIP电话，这三类物联网 设备占所有设备的 99%。XorDDoS 家族控制的异常物联网设备主要为摄像头、路由器和 VoIP电话。因 此两个家族所控制的物联网设备类型大致相同，但是 Gafgyt 家族控制的的是路由器和摄像头是一个量 级的，XorDDoS 家族则偏重于摄像头。

参考资料

绿盟 2018物联网安全年报