您正在使用IE低版浏览器,为了您的雷峰网账号安全和更好的产品体验,强烈建议使用更快更安全的浏览器
此为临时链接,仅用于文章预览,将在时失效
政企安全 正文
发私信给天诺
发送

0

再现“黑吃黑”:黑客在数个地下黑客论坛部署后门

本文作者:天诺 编辑:李勤 2017-11-12 09:00
导语:最近,安全专家报告了几起假冒黑客工具隐藏后门的案例,其中就有一个虚假的 Facebook 黑客工具和Cobian RAT。

雷锋网消息,想要成为一名黑客?但你最好小心一些免费的黑客工具,因为其中不少都是骗局。最近,安全专家报告了几起假冒黑客工具隐藏后门的案例,其中就有一个虚假的 Facebook 黑客工具和Cobian RAT。

近日,安全专家 Ankit Anubhav 又发现了新黑客工具,它已经在数个地下黑客论坛上部署了后门程序。这个黑客工具是一个免费的 PHP 脚本,允许用户扫描互联网上一些比较容易受到攻击的 IP 摄像头,这些摄像头程序基本基于 GoAhead 开源嵌入式 Web Server 运行。(注:GoAhead是一个开源、简单、轻巧、功能强大、可以在多个平台运行的嵌入式 Web Server。GoAhead Web Server是为嵌入式实时操作系统量身定制的 Web 服务器。)

Ankit Anubhav 在一篇博文写道:

“针对使用嵌入式 GoAhead 服务器物联网设备的黑客市场似乎非常火热,这是因为大量 IP 摄像头可以被黑客利用 CVE-2017–8225 这样的漏洞轻松入侵,而且这种黑客手段已经被 IoTroop/Reaper僵尸网络成功采用了。”

“2017年10月22日,我们观察到一个经常托管物联网僵尸网络脚本的暗网,他们提供了一段新脚本代码,并标记为 NEW IPCAM EXPLOIT。这个脚本可帮助黑客找到一些容易受到攻击的、使用嵌入式 GoAhead 服务器的物联网设备,让黑客工作更轻松。”

可是,安全专家分析了这个“NEW IPCAM EXPLOIT”代码脚本,发现竟包含了攻击黑客的恶意代码,这意味着,如果这个工具被部署在某个僵尸网络,那么该脚本背后的黑客就能使用工具来接管它。

经过全方位解码后,安全专家们发现,“NEW IPCAM EXPLOIT ”恶意脚本会通过检查所有“GoAhead-Webs”标记,扫描 GoAhead 嵌入式服务器上的全网设备。但在脚本底部有一个后门程序,它会使用一个 shell 脚本连接到一个“恶意服务器”,然后下载一个二级脚本,再执行该脚本。

这个“ NEW IPCAM EXPLOIT ”物联网扫描脚本按照以下四个步骤操作:

1、该黑客脚本会扫描一组 IP 地址,查询到一些比较容易追踪的 GoAhead 服务器,这些服务器通常都可以通过 CVE-2017–8225 这样的漏洞绕过身份验证。利用这些漏洞,“ NEW IPCAM EXPLOIT ”脚本会侵入到Wireless IP Camera (P2P) WIFI CAM 设备中。

2、接下来,“ NEW IPCAM EXPLOIT ”脚本会创建一个用户账号(用户名:VM|密码:Meme123),之后会在网络犯罪者的系统上建立一个秘密后门,然后获得被侵入系统相同的特权。

3、第三步,“NEW IPCAM EXPLOIT”黑客脚本会确定网络犯罪者系统的 IP 地址,以便远程访问受到恶意软件感染的系统。

4、“ NEW IPCAM EXPLOIT ”黑客脚本会在被感染者的系统上运行一个二级负载,而在某些特定情况下,该脚本还会安装 Kaiten 恶意软件。

再现“黑吃黑”:黑客在数个地下黑客论坛部署后门

雷锋网了解到,外媒 BleepingCompuer 的安全专家对该恶意软件又进行了深入研究,发现这款黑客软件的开发者已经将其作为一款黑客工具,发布上传到了互联网上。

据 BleepingComputer 网站的一篇报道称:

“通过深入挖掘这款后门程序开发者曾经使用过的一些 ID,我们发现这不是他第一次发布类似的后门恶意软件,他此前也曾和其他一些黑客交过手,因为 Anubhav 在追踪这名黑客的时候发现了一个文档,其中罗列了不少其他黑客的名字。”

雷锋网翻译自 securityaffairs

雷峰网原创文章,未经授权禁止转载。详情见转载须知

分享:
相关文章
当月热门文章
最新文章
请填写申请人资料
姓名
电话
邮箱
微信号
作品链接
个人简介
为了您的账户安全,请验证邮箱
您的邮箱还未验证,完成可获20积分哟!
请验证您的邮箱
立即验证
完善账号信息
您的账号已经绑定,现在您可以设置密码以方便用邮箱登录
立即设置 以后再说