美东部网站宕机后续：1100万路由器和摄像头仍在公网“裸奔”

本文作者：李勤

2016-10-24 23:41

导语：称作Mirai 的物联网僵尸网络病毒一直在利用雄迈产品中的缺陷，在其中注入恶意代码，并利用它们发动大规模分布式拒绝服务攻击，其中包括上周五的攻击。

10月22日凌晨，美国域名服务器管理服务供应商Dyn称其公司遭遇了DDoS（分布式拒绝服务）攻击，包括Twitter、Tumblr、Netflix、亚马逊、Shopify、Reddit、Airbnb、PayPal和Yelp等诸多网站无一幸免。

10月24日，安全博客 Security Affairs 上发布了一篇日志内容，宣称 RSA 曾在10月初公布了一项新发现：黑客曾在黑市中宣传由其控制的、由庞大数量的 IoT 设备组成的僵尸网络，其大致售价根据所购买的设备数量相关联，其中50000个售价4600美元，100000个售价7500美元。

10月24日，国内电子产品厂商雄迈表示在上周五美国发生的大规模网络攻击中，其产品无意中成为黑客“帮凶”；其产品中与默认密码强度不高有关的安全缺陷，是引发上周五美国大规模互联网攻击的部分原因。

白帽汇的安全研究人员给雷锋网提供的后续研究报告认为，这与安全研究人员的发现相吻合：被称作Mirai 的物联网僵尸网络病毒一直在利用雄迈产品中的缺陷，在其中注入恶意代码，并利用它们发动大规模分布式拒绝服务攻击，其中包括上周五的攻击。除此以外，物联网僵尸网络病毒“Mirai”还曾经制造过多起DDoS 攻击事件，包括在上月参与发起了针对 KrebOnSecurity 安全站点的大规模分布式DDoS攻击，流量达到1T；而 OVH 运营商也曾遭到同样手段的攻击。

以下内容均出自白帽汇的研究报告。

1.Mirai功能介绍

这是一款基于Linux的ELF类型木马，主要针对IoT设备，其中包含但不限于网络摄像头，路由器等。它可以高效扫描物联网系统设备，感染采用出厂密码设置或弱密码加密的脆弱物联网设备。被病毒感染后，该设备成为僵尸网络机器人并可在黑客命令下发动高强度僵尸网络攻击。

Mirai主要由loader、cnc控制器、bot服务端构成。loader主要用于创建服务端程序和状态监控；服务端程序包含了连接控制端、DDOS攻击、下载并运行文件功能。并且，服务端实现了反调试，近程隐藏，杀死系统进程，并建立相应端口的功能。DDoS攻击支持udp、vse（Valve source engine specific flood）、dns、syn、ack、stomp、GRE ip flood、GRE Ethernet flood、http等洪水攻击方式。传播方式主要依靠爆破SSH和telnet弱口令。其中，包含了60余组用户名和密码的字典，扫描端口主要为23和2323。