物联网漏洞利用威胁观察

前沿洞察

物联网

威胁观点 1： 2019 年，我们共捕获到 30 余种对于物联网漏洞的利用行为，其中以远程命令执行类漏洞 居多。虽然每年都会有数百到数千个不等的物联网漏洞被公开，但是真正能够造成大范围影响的漏洞并 不多。攻击者偏向于对暴露数量较多的设备（路由器
和视频监控设备）进行攻击，从而扩大其影响范围。观点 2： 物联网设备是 Telnet 弱口令爆破的重点目标，其中摄像头
和路由器是重灾区。观点 3： 自 2 月被百度安全研究人员披露以来，今年下半年
利用 WS-Discovery 协议进行反射攻击 的事件明显增多。我们捕获的反射攻击事件从 8 月中旬开始呈现上升趋势，9 月份之后增长快速，需要 引起安全厂商、服务提供商、运营商等相关机构足够的重视。观点 4： 全球约 228 万台物联网设备开放了 UPnP SSDP 服务（1900 端口），存在被利用进行 DDoS 攻击的风险，设备总量较去年减少约 22%。约 39 万台物联网设备暴露的 UPnP 端口映射服务存 在被滥用的可能，可被用于做代理或将内网服务暴露在外网。

物联网漏洞利用威胁观察

通过绿盟威胁捕获系统，我们对全球物联网漏洞利用情况进行了分析。下面的数据来源于 2019.5.6~2019.11.6 的捕获日志。
我们共捕获到 30 余种对于物联网漏洞 [^1] 的利用行为，其中以远程命令执行类漏洞居多。这也说明了， 从全网物联网威胁的角度来讲，虽然每年都会有数百到数千不等的物联网漏洞被公开出来，但是真正能 够造成大范围影响的并不多。我们将一天来自同一个源 IP 的日志归纳为一次攻击事件，表 6.1 是我们 按照攻击 IP 去重统计之后得到的物联网漏洞利用 Top 10 列表，按数量从多到少排序。从中可以看出攻 击者主要在对路由器和频监控设备进行漏洞利用，这也与互联网
上暴露的物联网设备以路由器和频 监控设备为主相一致，说明攻击者偏向于对暴露数量较多的设备进行攻击，从而扩大其影响范围。这些 漏洞的 PoC 大部分都可以在 Exploit-DB中找到，个别不在其中的也可以在 GitHub 中找到。PoC 的公开 大大降低了攻击者构造攻击载荷的成本。

表 6.1 物联网漏洞利用数量 Top10

Exploit-DB 编号	漏洞公开年份	CVE编号	漏洞描述
43414	2017	CVE-2017-17215	Huawei Router HG532 - Arbitrary Command Execution
37169	2014	CVE-2014-8361	Realtek SDK - Miniigd UPnP SOAP Command Execution
40740	2016	CVE-2016-10372	Eir D1000 Wireless Router - WAN Side Remote Command Injection
N/A	2018	N/A	Shenzhen TVT Digital Technology Co. Ltd & OEM {DVR/NVR/ IPC} API RCE
43387	2014	N/A	Netcore / Netis Routers - UDP Backdoor Access
31683	2014	N/A	Linksys E-series - Remote Code Execution
37171	2015	CVE-2015-2051	D-Link Devices - HNAP SOAPAction-Header Command Execution
41471	2017	N/A	MVPower DVR TV-7104HE 1.8.4 115215B9 - Shell Command Execution
43055	2017	N/A	Netgear DGN1000 1.1.00.48 - ‘Setup.cgi’ Remote Code Execution
44760	2018	N/A	D-Link DSL-2750B - OS Command Injection
我们对去重之后的源 IP 的国家分布进行了分析，从图 6.1 中可以看出，位于中国的恶意 IP 数量比 其他国家高了一个量级，其它恶意 IP 数量比较多的国家有巴西、美国、俄罗斯等。
100% 45000
90% 40000
80% 35000
70% 30000
60%
25000
50%
20000
恶意IP占比40% IP总量（个）
15000
30%
20% 10000
10% 5000
0% 0
中国 巴西 美国 印度 伊朗 越南 韩国 英国 俄罗斯 土耳其 乌克兰意大利 阿根廷 墨西哥
印度尼西亚
恶意IP占比 其他IP占比 IP占总量
图 6.1 绿盟威胁捕获系统物联网类日志源 IP 的国家分布情况

我们对漏洞利用载荷中的样本下载服务器 IP 的国家分布进行了分析，如图 6.2 所示，样本下载服务 器位于美国的最多，占 15.9%。
印度 德国 韩国 荷兰
摩尔多瓦 中国
国家名称
伊朗 俄罗斯 巴西 美国
0 50 100 150 200 250
数量（个）
图 6.2 物联网类攻击样本下载服务器 IP 所在国家 Top 10

参考资料

绿盟 2019年网络安全观察

友情链接

GA 1277.2-2020 互联网交互式服务安全管理要求 第2部分：微博客服务