巨大僵尸网络 satori 冲着华为hg532路由器而来
satori僵尸网络是mirai的变种,负责发动数十万次试图攻击最近揭露的一个华为hg532家用路由器弱点。 mirai僵尸网络最近再度上了头条,一种新的变种被称为satori,负责发动数十万次的攻击,尝试攻击最近揭露的一个华为hg532家用路由器的弱点。 这个satori僵尸网络的活动近一个月被check point信息安全公司的研究人员观察到。 check point信息安全公司的报告中指出: 华为家用路由器hg532中的一个零时差弱点(cve-2017-)被check point的研究员揭露,然后有数十万次的尝试攻击在野外被发现。 被派送的payload被辨识为okirusatori,是mirai一种新的变种。 在这波攻击背后可疑的威胁实体从他的昵称来看,被识别为『nex s zeta』。 satori是一种更新的恶名昭彰的mirai僵尸网络变种,最初由malwarem stdie的恶意软件研究员在2016年8月被揭露。这份恶意代码用来针对iot设备,satori版本针对华为hg532设备上的通信端口。 这个针对华为hg532设备的攻击在多个国家被观察到,包括美国、意大利、德国和埃及。 专家观察到,这波企图利用华为家用路由器cve-2017-零时差弱点的攻击,其原因是因为tr-064技术报告标准,被用来设计本地网络设置,透过通信端口(upnp-通用随插即用)连到广域网络。 分析内容: 『在这种情况下,华为设备因为tr-064实作透过通信端口(upnp)而曝露于广域网络。 从查看upnp设备的描述,可以看到它支持名为deviceupgrade的服务类型。 这个服务应该是透过向"ctrltdeviceupgrade_1"(称为controlurl)发送一个请求来运行一个固件升级的动作,并利用两个名为"newstat surl"和"newdownloadurl"的元素运行。』 『该漏洞允许远程管理员透过在newstat surl和newdownloadurl中注入shell的特殊字符"$"来运行任意命令。』 分析内容: 『在这种情况下,华为设备因为tr-064实作透过通信端口(upnp)而曝露于广域网络。 从查看upnp设备的描述,可以看到它支持名为deviceupgrade的服务类型。 这个服务应该是透过向"ctrltdeviceupgrade_1"(称为controlurl)发送一个请求来运行一个固件升级的动作,并利用两个名为"newstat surl"和"newdownloadurl"的元素运行。』 『该漏洞允许远程管理员透过在newstat surl和newdownloadurl中注入shell的特殊字符"$"来运行任意命令。』 成功利用此漏洞可能允许攻击者下载并运行satori僵尸网络。 这个漏洞是在11月27日向华为回报的,几天之后,公司发布了一个安全公告,向用户通报漏洞,并提出防止漏洞利用的建议。 客户可以采取以下措施避免或防止利用此漏洞。有关详细信息,请咨询当地服务供应商或华为技术支持。 设置内置的防火墙功能 更改缺省密码 供应商方面布建防火墙 华为公司的安全公告:『客户可以部署华为ngfw(次世代防火墙)或数据中心防火墙,并将ips特征数据库升级到2017年12月1日发布的最新版本ips_h_,以检测和防御这种从互联网发起的漏洞攻击。』 每个satori僵尸都利用自行创建的udp或tcp封包来阻塞目标,他们首先透过dns请求解析写死在恶意程序中的域名,尝试解析中继站服务器ip地址,然后从dns回应取得地址之后尝试与写死在恶意程序中的通信端口(7645)创建tcp连接。 中继站反过来提供用于洪水操作的封包,以及相对应的参数,并且还可以将单一ip发送给攻击或子网段。 这个僵尸网络使用自制的协定来与中继站通信,包括两个写死的请求来回应服务器ddos的攻击参数。 调查这个事件的研究人员认为satori僵尸网络的背后的威胁实体可能正在使用nex s zeta的在线操作。 nex szeta在twitter和gith b等社交网站上非常活跃,并以caleb wilson(caleb.wilson37caleb wilson 37)的名义拥有skype和so ndclo d帐号。 威胁实体把自己形容为新手("一个有着很大动力的业余爱好者,寻找人们的智能"),半不清楚他是如何发现这个零时差漏洞的。