物联网和互联网区别 2017全球僵尸网络DDoS攻击威胁态势报告(3)

1. 弱口令爆破。通过常见远程服务端口（例如22、2222、23、2323、1433、3306、3389端口）的自动化弱口令爆破，执行远程命令植入木马。通过安天捕风蜜网捕获的爆破数据统计，上述端口每天的爆破量在300万到500万之间，且每次新一波物联网僵尸网络爆发时，爆破数据都会呈几何式上升，特别是在国外相关的物联网类型僵尸网络上比较常见。

表格 1 扫描端口可疑IP

2. 漏洞扫描。通过自动化漏洞利用，执行远程命令拓展“肉鸡”已经是新趋势，这一点在Mirai家族的僵尸网络上已经展示得淋漓尽致。下表为Mirai变种利用的部分漏洞信息及受影响设备情况。

表格 2 Mirai利用的部分漏洞列表

对于导致德国断网的SOAP漏洞，黑客尝试通过对网络时间协议、NTP服务器名称字段执行注入式攻击，在易受攻击的设备中远程执行恶意命令。最终，NTP服务器名称会解析为引发RCE漏洞的命令。恶意代码可以通过TR-069协议插入到NTP服务器名称字段。互联网服务提供商（ISP）可以利用此协议远程管理网络中的设备。遭受攻击的设备可以接收来自互联网的TR-064命令，进而改变NTP设置。TR-064基于HTTP和SOAP，其默认端口为TCP 7547。

Embedthis公司的Web服务器 GoAhead爆出远程代码执行漏洞CVE-2017-8225[3]。当与glibc动态链接器结合使用时，可以利用特殊参数名称，如LD_PRELOAD，就可以实施远程代码执行。攻击者可以在请求的正文中POST其共享对象的有效Payload, 并使用/proc/self/fd/0引用它。GoAhead是一个开源（商业许可）、简单、轻巧、功能强大、可以在多个平台运行的嵌入式Web Server。GoAhead Web Server是为嵌入式实时操作系统（RTOS）量身定制的Web服务器，支持多种操作系统，包括eCos、Linux、LynxOS、QNX、VxWorks、WinCE、pSOS等。

磊科后门利用是2014年爆出的后门利用方法，目前在捕获的攻击数据中依旧有出现。

据CheckPoint披露，IoTroop恶意利用多种漏洞进行入侵，包括Zyxel（路由器）、Dlink（路由器）、Netgear（路由器）、Linksys（路由器）、Goahead（）、JAWS（）、AVTECH（）、Vacron（NVR）设备的漏洞。

3. 捆绑下载暗藏后门。可通过激活工具捆绑木马，魔釉DDoS木马[1]就是利用小马激活工具捆绑来进行传播。在很多非正规的应用网站中，很多“绿色”小应用程序中被黑客绑定了木马，木马会随着小应用程序的扩散使用而不断感染设备拓展“肉鸡”。捆绑传播方式，因为“绿马甲”的身份可以有效地避免杀毒软件的查杀，所以通过这种传播方式形成的僵尸网络，经过时间的积累往往会形成一个庞大的“肉鸡”群。

4. 交叉感染。物联网和互联网区别通过已有的僵尸网络传播新木马，实现不同僵尸网络的交叉传播。由于这种方式可以实现快速部署成型的僵尸网络，所以在常见的DDoS僵尸网络中出现得特别频繁。

4.2.2 全球各DDoS家族僵尸网络威胁情报

对2017年捕获的样本进行统计分析得出，捕获到的Gafgyt僵尸网络家族的样本最多，为26083个；其次是Nitol，捕获样本为10667个。如下图所示：

图15 全球各DDoS家族僵尸网络捕获的样本数统计

对全球的DDoS攻击以及黑客控制的僵尸网络家族进行统计分析可知，黑客最为惯用的僵尸网络家族为Xor_Ex家族，其利用Xor_Ex家族发起的DDoS攻击达6500多万次，占使用的所有家族的34.92%；其次是BillGates家族，黑客利用该家族发起的DDoS攻击达3400多万次，占使用的所有家族的21.87%；排名第三的家族是Mayday家族，占使用的所有家族的19.44%。

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-59502-3.html