开启左侧

Satori 僵尸网络利用最新发现的零日漏洞控制了数十万台家庭路由器

[复制链接]
菜小白 发表于 2017-12-23 22:55:44 来自当流科技手机版 | 显示全部楼层 |阅读模式
阿里云主机折扣码

本站会员必须 邮箱验证成功后 才能发帖。马上注册查阅更多教程,下载海量资源,让你轻松玩做站

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
曾造成美国东部大断网的 Mirai 僵尸网络开了个坏头,之后被安全研究员们监测到的大型僵尸网络都比 Mirai 的“僵尸军队”要大得多。
360 网络安全研究院安全研究员李丰沛曾和团队发布了关于 Mirai 的多项深度监测报告,为后来 Mirai 背后元凶落网贡献了一份力量,最近引起他们极大关注的是一个名叫“Satori”的僵尸网络。
Satori 已经在短短 12小时内感染了超过 28 万个 IP 地址,利用最新发现的零日漏洞控制了数十万台家庭路由器,速度比 Mirai 快了不止一点点——如果把 Mirai 的威力比做一把枪,那么Satori 就是大炮。只是,这台“大炮”目前像定时炸弹一样,还没有发威。Satori 比“Mirai”更可怕
Satori 刚开始是以 Mirai Okiru 的名义被追踪的,在 11 月 23 日左右现出踪迹。多家安全公司称,Satori 的绝大多数“肉鸡”位于阿根廷。此后,该僵尸网络朝埃及、土耳其、乌克兰、委内瑞拉和秘鲁开始肆虐。
360网络安全研究院、Fortinet 和 Check Point 分别在12月5日、12月12日和12月21日在各自的博客上发布了关于 Satori 的研究发现(注:360网络安全研究院还在11月24日发布了一篇与此相关的安全预警《安全威胁早期预警:新的mirai僵尸网络变种正在端口23和2323上积极传播》)。
在12月5日这篇《安全威胁预警:Mirai 变种 Satori 正在端口 37215 和 52869 上类似蠕虫式传播》博文中,360网络安全研究院称:“在我们之前的 blog 中,我们提及有大约10万个来自阿根廷的独立扫描IP正在扫描端口 2323 和23,并且确定这是一个新的 Mirai变种。在过去的几天中,扫描行为变得愈发严重,更多的国家出现在我们的ScanMon平台上。仔细分析后我们看到了更多的部分,意识到之前2323/23端口上的扫描还只是巨大拼图的一小部分。”
可以这样说,Satori 本质与蠕虫病毒相似,并且源代码源于 Mirai,是 Mirai 的升级变种,但 Satori 比 Mirai 要“毒”多了。
1.Mirai 在感染物联网设备后,会进一步试图通过 telnet 扫描来找出易受攻击的设备,并使用 Mirai 木马程序进行感染,Satori不使用扫描器组件,而是利用两个嵌入式漏洞,来感染连接到端口37215和52869上的远程设备。这意味着,Satori 近似于物联网蠕虫,无需其他组件即可自行传播。
2.Mirai 主要通过扫描 2323 和 23 端口来寻找易受攻击的设备,Satori 是连接到 37215 和 52869 端口上且存在两个已知漏洞中任意一个,但并未进行修复的设备。
很可怕的是,其中一个漏洞后来被认证为 0day(现已有修复建议)。
Satori 是冲着华为路由器来的
李丰沛告诉宅客频道,此前大家关注点在摄像头上,其实,现在路由器已经超过了摄像头,成为了“第一肉鸡”。
Checkpoint 和 Fortinet 则直接点名,称这次的 Satori 是奔着华为路由器来的。而且,上述那个0day 就存在于华为某款路由器上。
宅客频道注意到,华为于11月30日发布了一则安全公告《关于HG532产品存在远程代码执行安全漏洞的声明》(12月22日进行了更新),承认了华为某款安全路由器漏洞的存在,并提出了修复建议。
2017年 11 月 27 日,华为接收到 Check Point 软件技术研究部门的通知,华为 HG532 产品存在远程代码执行的安全漏洞(CVE-2017-17215)。同时 Check Point 发布安全预警 CPAI-2017-1016,但预警中不包含漏洞细节。华为在第一时间启动了分析调查。目前已经确认该漏洞存在。认证后的攻击者可以向设备37215端口发送恶意报文发起攻击,成功利用漏洞可以远程执行任意代码。
客户可以通过如下措施规避或预防该漏洞的攻击,详情请向当地服务提供商或华为TAC咨询:
(1) 配置设备内置防火墙功能
(2) 修改默认口令
(3) 运营商端部署防火墙
客户可以部署华为NGFW(下一代防火墙)或者数据中心防火墙产品,并升级 IPS 特征库至 2017 年 12 月 1 日发布的最新版本(IPS_H20011000_2017120100)以检测和防护来自于网络层面的该漏洞攻击。
华为一直按照行业惯例进行着生命周期管理,并已经建立了生命周期管理体系,明确了产品生命周期策略及产品终止策略。对于非全面停止服务产品华为已经与客户进行沟通,并根据客户意见提供解决版本;对于全面停止服务产品华为建议用户采用规避措施来规避或预防该问题,或者使用较新型号的产品进行替换。
相关的调查工作正在持续进行,华为 PSIRT 会随时更新安全通告,请持续关注针对此漏洞的安全公告。
“中关村在线”的一篇报道则称,这些被 Satori 控制的路由器由两个最大的运营商为客户提供,通过运营商可以快速定位并修复设备的漏洞。
作者露出马脚
Satori 是有过抵抗的。
据 Bleeping Computer 报道,过去一周内,众多 ISP 和网络安全公司对该僵尸网络进行了干预,并拿下了 Satori 僵尸网络所需的 C&C服务器。这些服务器被拿下后,僵尸网络数量瞬间消失了50 万到 70 万台。
但对方没有放弃反抗。在上述服务器被拿下后,52869 和 37215 端口的扫描活动出现了巨大的峰值。最有可能的情况是,Satori 的作者正在想法设法扫描端口,寻找肉鸡。

▲图片来源:Bleepingcomputer,数据来源:360 网络安全研究院
在11月21日 Check Point 的博文中,Check Point 的研究人员透露了 Satori 僵尸网络作者的身份 ——Nexus Zeta。
研究人员表示,他们已经追踪到他,因为该作者注册 Satori 基础架构中使用的域名有一个电子邮件地址,这个邮件地址与最流行的黑客论坛之一 HackForums 的一个帐号高度关联。
Check Point说:“虽然他在这样的论坛上不太活跃,但他露出了马脚。”
在 Satori 活动被发现的前一天,也就是 11 月 22 日,一个论坛帖子显示,Nexus Zeta 在寻求帮助,想建立一个 Mirai 僵尸网络(编者敲黑板:Satori 是 Mirai 的变种)。

但是,据 Bleeping Computer 称,在过去几个星期里,Satori 没有被认定与任何主要的 DDoS 攻击的来源相关。
李丰沛认为,Bleeping Computer 的观点限定在“最近 + 主要攻击”,这与他们监测到的情况是一致的。但是,如果再向前溯源,情况可能就不一样了。
360 网络安全研究院的上述博文曾指出:“我们还怀疑本次攻击与 2017 年 8 月发生在中国的另一次 IoT 物联网相关的攻击有关系,也许后续我们会发布另外一篇 blog 详细阐述。”
更可怕的是,Satori 的故事还远未结束,我们还得忧心其他的僵尸网络与攻击。
李丰沛对宅客频道说,由于Mirai 的源码已经在网上公开,改造 Mirai ,以其变种身份形式出现,构造巨大的僵尸网络早已不是难事。而且,攻击者完全可以一被发现一个域名就更换新的,身份十分隐秘。
当流科技-专业Discuz建站、仿站业务,专注处理discuz!论坛挂马,专注提供论坛托管维护服务! 提供Discuz论坛空间、VPS、云服务器!咨询QQ 569160956 778521512
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

精彩课程推荐

抱歉,当前存在网络问题或服务器繁忙,详细错

主讲:我心枫叶 Discuz!教程

Discuz!论坛网盘附件免跳转下载(手机版网

主讲:当流科技 Discuz插件

discuz论坛搬家教程,如何搬迁到新服务器?

主讲:风雨兼程 Discuz!教程

Discuz!X3.3全新安装和升级后快速回复框丢

主讲:风雨兼程 Discuz!教程

宝塔面板phpmyadmin 数据库502 Bad Gateway

主讲:当流科技 服务器学院

QQ互联无法使用临时解决方法!

主讲:2481469838 Discuz!教程

宝塔面板绑定域名无法访问后台怎么解决?

主讲:风雨兼程 服务器学院

discuz!迪恩理财&企业风格模板免费下载

主讲:我心枫叶 Discuz模板

商务合作

0551-66191059
service#dangliu.net
点击这里给我发消息
dz论坛/Discuz!论坛新手

关注微信公众号

QQ扫码 加 DZ技术群