欢迎来到安联智库seczk.com--做最好网安新媒体!!
快捷搜索:  热点  资讯  事件  漏洞  技术  攻防  

大规模物联网病毒来袭,智能家居与视频监控设备成为主要攻击目标

 

今年1月,新华社曝出:智能摄像头的破解教程和软件在网上被公开贩卖,同时,有不法分子利用一些智能摄像头存在的安全漏洞,偷窥他人家庭隐私生活…… 2018年,VPNFilter 木马爆发,它会盗取文件,信息,并且调查通过被感染设备的网络通信,全球超过50万台路由器被控制。


    从2018年开始,安恒信息持续监测到一批新型物联网病毒变种活跃频繁。根据捕获的大量样本分析,发现这批样本的攻击行为主要涉及口令爆破和漏洞利用,其内置了大量物联网设备默认密码作为爆破口令;漏洞利用方面至少利用20余种攻击载荷,针对多种智能物联网设备漏洞及ThinkPHP、Apache Struts2等高危漏洞,攻击目标主要指向智能家居设备、路由器、网络摄像头等,具有恶意传播和感染目的。


样本分析

    经过长时间对物联网病毒特征和传播活动进行跟踪,我们发现针对物联网设备的攻击源本身也是受害者,即被攻陷后进一步对外产生攻击行为,其传播和攻击行为路线图如下所示:

    当受害者存在相应的漏洞且成功执行漏洞利用代码,会利用wget命令从恶意挂马地址链接上下载病毒文件,并在本地执行,造成受害主机感染病毒:

    在部分病毒样本中,代码里直接标记了物联网设备的厂商品牌。

捕获的样本中部分漏洞利用情况如下:

1)ThinkPHP CMS漏洞

    病毒文件利用流行的ThinkPHP框架远程代码执行漏洞,ThinkPHP官方在2018年12月9日发布了该漏洞的安全更新。但截至目前,仍有未进行修复的网站存在感染病毒的风险。

2)Realtek芯片SDK漏洞

    miniigd守护进程漏洞存在于公司的SDK软件中,病毒样本集成了对该漏洞的利用代码,直接导致了大量使用瑞昱芯片的物联网设备存在被入侵风险。

3)Linksys E系列路由器漏洞

    Linksys E系列属于无线路由器,该系列设备存在未授权远程命令执行漏洞,病毒程序无需登录路由器便能够操作路由器的WEB接口执行任意命令。

4)Gpon家用路由器漏洞

    2018年VPN Mentor披露了Gpon路由器身份验证绕过漏洞(CVE-2018-10561)和命令执行漏洞(CVE-2018-10562),随后Gpon路由器漏洞被多个僵尸网络病毒积极使用,本次的变种中仍然存在对该漏洞的利用代码。

5)视频监控存储DVR设备漏洞

    包括Ademco、ATS、Avio等超过70个厂商的DVR设备被曝存在高危远程命令执行漏洞,这批厂商所生产的视频监控DVR设备一直饱受物联网病毒的肆虐。


攻击手段分析

    根据对大量物联网病毒的跟踪分析,其与传统病毒存在较多不同特性,通常感染传播面广、复制速度快,病毒构造简单成本低,往往主要针对物联网系统和设备进行攻击:


1)物联网终端大多趋向智能化,采用linux、android等操作系统,面临与传统操作系统类似的风险,且其系统层面无安全防护能力,容易存在漏洞,被病毒攻击感染。

2)物联网设备数量庞大,资源较少,维护难度大,一般无法直接操作其内部系统,无法及时有效更新安全补丁。

3)物联网设备的指纹通常较为明显,且大多暴露在互联网,容易被识别类型及弱点。

4)针对物联网的病毒一般会先进行大规模扫描,识别端口指纹等终端特征,再进一步复制传播,之后再利用感染节点传播。


挂马地址

从样本中提取到的部分物联网病毒挂马地址如下:


hxxp://104.168[.]143.19/OwO/Tsunami.x86

hxxp://104.168[.]149.180/vb/Amakano.mpsl

hxxp://104.248[.]173.253/bins/Cakle.x86

hxxp://104.248[.]187.115/bins/Tsunami.x86

hxxp://128.199[.]251.119/t.php

hxxp://142.93[.]4.80/bin

hxxp://142.93[.]82.179/bins/apep.x86

hxxp://146.71[.]79.220/d

hxxp://149.248[.]56.218/OwO/Tsunami.x86

hxxp://157.230[.]167.113/bins/Tsunami.x86

hxxp://157.230[.]29.251/bins/Solar.mips

hxxp://176.31[.]78.52/cayo1

hxxp://185.101[.]105.161/bins/lessie.x86

hxxp://185.101[.]105.168/OwO/Tsunami.x86

hxxp://185.101[.]105.208/OwO/Tsunami.x86

hxxp://185.172[.]164.41/e

hxxp://185.222[.]202.118/d

hxxp://185.244[.]25.114/OwO/Tsunami.x86

hxxp://185.244[.]25.120/d

hxxp://185.244[.]25.139/OwO/Tsunami.x86

hxxp://185.244[.]25.145/bins/Yowai.x86

hxxp://185.244[.]25.145/x85143/Yowai.x86

hxxp://185.244[.]25.168/x86

hxxp://185.244[.]25.199/brother/mpsl.bot

hxxp://185.244[.]25.221/bins/Yowai.x86

hxxp://185.244[.]25.237/bins/Tsunami.x86

hxxp://185.244[.]25.241/bins/cock.x86

hxxp://185.244[.]25.241/bins/sefa.x86

hxxp://185.244[.]25.241/x86

hxxp://185.244[.]25.248/bins/Tsunami.x86

hxxp://185.255[.]25.104/bins/Tsunami.x86

hxxp://185.255[.]25.168/OwO/Tsunami.x86

hxxp://185.255[.]25.202/bins/Tsunami.x86

hxxp://185.255[.]25.248/OwO/Tsunami.x86

hxxp://185.255[.]25.98/OwO/Tsunami.x86

hxxp://198.98[.]54.147/f

hxxp://199.38[.]245.221/OwO/Tsunami.x86

hxxp://209.141[.]50.26/b

hxxp://213.183[.]45.190/binary/thinkphp.sh

hxxp://217.61[.]5.226/bins/Solar.mips

hxxp://217.61[.]5.226/bins/Solstice.mips

hxxp://46.101[.]187.233/bins/Cakle.x86

hxxp://80.211[.]203.234/bin

hxxp://89.46[.]223.195/d

hxxp://damienondek[.]ga/bins/Damien.x86


    随着技术的不断发展,物联网的进程也在不断加快。但近年来,存在不法分子利用物联网设备的漏洞,散播病毒,谋取不正当利益的情况发生。物联网病毒通常具有传播速度快、攻击目标分散、影响范围广等特征。从视频监控设备到智能家居,越来越多的物联网设备遭到黑客的攻击,面临极其严重的安全风险。安恒信息特有的云+端结合物联网安全解决方案,可以有效解决物联网终端面临的各种安全问题,建立物联网安全免疫机制,实现从前端防护、安全审计、数据加密和可信管控整体化的物联网安全防护体系。


暂无

您可能还会对下面的文章感兴趣: