僵尸网络 DDoS 攻击活动分析

典型攻击链

本年度，伏影实验室根据 CNCERT物联网
威胁情报平台及绿盟威胁识别系统监测数据，在检测僵尸 网络威胁与网络攻击事件时发现，Mirai 变种 Fetch 家族使用了最新的攻击链进行攻击。而在发现该攻 击事件的前 3 个小时左右，国外论坛才刚刚披露相关利用。这足以说明：僵尸网络运营者的情报转化能 力已经远远超出防御方的固有认知。因此本节将 Fetch 家族利用的两条攻击链作为年度攻击事件进行介绍。CVE-2020-12109 与 CVE-2020-12110
Fetch 家族使用了两个已知漏洞 CVE-2020-12109 和 CVE-2020-12110。 该利用链的流程如下：

1. 先使用 payload：POST /login.fcgi 进行默认口令登录认证绕过。
2. 再发送 payload：POST /setbonjoursetting.fcgi 和 POST /setsysname.fcgi（CVE-2020-12109）
   进行命令执行。
   此外，攻击者结合 CVE-2020-12110，可解密 FTP 服务器
   密码、PPPoE 用户名密码、SMTP 服务用 户名密码以及 DDNS用户名密码。