标签: Mirai

新型 Mirai 木马变种利用 27 个漏洞 瞄准企业设备

据外媒ZDNet报道,安全研究人员发现了一种新型的Mirai IoT恶意软件变种,针对2种设备——智能信号电视和无线演示系统。 Palo Alto Networks 的安全研究人员在今年早些时候发现了一种新的 IoT 僵尸网络,正使用这种新型 Mirai 木马变种。该僵尸网络的制造者似乎已投入大量时间来利用新漏洞升级旧版本的 Mirai,新型变种共使用了 27 个漏洞,其中 11 个是 Mirai 的新型攻击,指向智能 IoT 设备和网络设备。 此外,该僵尸网络背后的黑客还扩展了 Mirai 内置的默认证书列表,以利用该列表来破解使用默认密码的设备,Mirai 默认证书的列表中已增加了 4 种新的用户名和密码的组合。新型变种的目标和作案手法与之前的僵尸网络相同,受感染的设备会在互联网上扫描具有公开 Telnet 端口的其他 IoT 设备,并使用来自其内部列表的默认证书来中断并接管这些新设备。受感染的设备还会扫描互联网上特定的设备类型,然后尝试使用27个漏洞中的一个来接管未打补丁的系统。 通常 Mirai 僵尸网络针对的是路由器、调制解调器、安全摄像头和DVR / NVR,极少数情况下会针对智能电视、手机和一些企业Linux和Apache Struts服务器。然而根据 Palo Alto Networks 研究人员的报告,他们今年发现的新 Mirai 僵尸网络是故意针对两种使用特制技术的新设备类型,即LG Supersign 电视和WePresent WiPG-1000无线演示系统。他们所使用的漏洞在网络上已经暴露过数月,但这是首次被利用于攻击。 新增的漏洞利用: 漏洞 受影响的设备 CVE-2018-17173 LG Supersign电视 WePresent WiPG-1000命令注入 WePresent WiPG-1000无线演示系统 DLink DCS-930L远程命令执行 DLink DCS-930L网络视频摄像机 DLink diagnostic.php命令执行 DLink DIR-645,DIR-815路由器 Zyxel P660HN远程命令执行 Zyxel P660HN-T路由器 CVE-2016至1555年 Netgear WG102,WG103,WN604,WNDAP350,WNDAP360,WNAP320,WNAP210,WNDAP660,WNDAP620器件 CVE-2017-6077,CVE-2017-6334 Netgear DGN2200 N300无线ADSL2 +调制解调器路由器 Netgear Prosafe远程命令执行 Netgear Prosafe WC9500,WC7600,WC7520无线控制器     消息来源:ZDNet,编译:吴烦恼; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

新型僵尸网络 HNS 不断增长,已感染逾 2 万物联网设备

外媒 1 月 25 日消息,一个名为 Hide’N Seek( HNS )的新僵尸网络正在世界各地不断增长,对物联网设备造成重大影响(截至目前为止,受感染的物联网设备数量已达 2 万)。据研究人员介绍,HNS 僵尸网络使用定制的点对点通信来诱捕新的物联网设备并构建其基础设施,目前 HNS 主要是针对不安全的物联网设备,尤其是 IP 摄像机。 Bitdefender 的安全研究人员发现 HNS 僵尸网络于 2018 年 1 月 10 日首次出现,和其他与 Mirai 有关的物联网(IoT)僵尸网络并不相同。因为 HNS 有着不同的起源,且不共享其源代码。事实上,Bitdefender 高级电子威胁分析师 Bogdan Botezatu 认为 HNS 与 Hajime 僵尸网络更为相似。 Bitdefender 的研究人员在 1 月 24 日发表的博客文章中写道: “ HNS 僵尸网络以复杂并且分散的方式进行通信,使用多种防篡改技术来防止第三方劫持。” 其僵尸程序可以通过与 Reaper 相同的漏洞( CVE-2016-10401 和其他针对网络设备的漏洞),对一系列设备进行 Web 开发。 除此之外,HNS 还可以执行多个命令,包括数据泄露、代码执行和对设备操作的干扰。其僵尸程序具有类似蠕虫的特性,可以随机生成一个 IP 地址列表来获得潜在的目标,随后向列出的每个目标设备发起一个原始的套接字 SYN 连接。 一旦连接成功,僵尸程序将查找设备提供的 “ buildroot login ” 横幅,并尝试使用一组预定义凭据进行登录。如果失败,它会试图通过使用硬编码列表的字典攻击来破解设备的密码。 其次,若用户设备与僵尸程序具有相同的局域网,那么僵尸程序将会设置 TFTP 服务器,以便受害者能够下载样本。但如果是位于互联网上,僵尸程序将尝试一种特定的远程有效载荷传递方法,让用户设备下载并运行恶意软件样本。 一旦设备被感染,僵尸网络背后的黑客就可以使用命令来控制它。目前僵尸网络已经从最初的 12 个受损设备增加到 2 万多个。 但幸运的是,像大多数物联网僵尸网络一样,HNS 僵尸网络不能在受感染的设备上建立持久性。只要通过简单的设备重新启动, 受感染的设备中就可以自动删除恶意软件。 目前 Bitdefender 的研究人员尚未发现 HNS 僵尸网络具有 DDoS 功能,这意味着 HNS 将被部署为一个代理网络。另外,研究人员透露 HNS 僵尸网络仍然不断变化中,可能会被应用于多种攻击场景。 消息来源:IBTimes,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

Mirai Okiru:首个旨在感染 ARC CPU 的新型 Linux ELF 恶意软件

外媒 1 月 14 日信息,MalwareMustDie 团队首次发现了一种用于感染 ARC CPU 的 Linux ELF 恶意软件—— Mirai Okiru,旨在针对基于 ARC 的系统。据悉,Mirai Okiru 在被发现之前几乎没有任何的反病毒引擎可以检测到,再加上目前 Linux 物联网的威胁形势迅速变化,因此研究人员认为攻击者将会利用 Mirai Okiru 瞄准基于 ARC CPU 的物联网设备,从而导致毁灭性的影响。 ARC (Argonaut RISC Core)嵌入式处理器是一系列由 ARC International 设计的32 位 CPU,其广泛用于存储、家用、移动、汽车和物联网应用的 SoC 器件。 2016 年 8 月,MalwareMustDie 团队的研究员 unixfreaxjp 首先发现了 Mirai 僵尸网络 ,时隔不到两年, unixfreaxjp 又注意到恶意软件社区出现了新的攻击形式——Mirai Okiru,其影响程度极为深远,因为 ARC 嵌入式处理器已经被 200 多个组织授权,并且每年出货量达到 15 亿,这意味着可能暴露的设备数量是非常巨大的。此外,除了攻击 ARC,其他恶意目的也可能存在。 为了更加深入了解 Mirai Okiru ,MalwareDustdie 团队分析了 Okiru 与 Satori 变体(另一种僵尸网络)的不同之处: 1、配置不同,Okiru 变体的配置是以两部分 w/ telnet 攻击密码加密,而 Satori 并不分割这两个部分,也不加密默认密码。并且 Okiru 的远程攻击登录信息稍长一点(最多可以达到 114 个凭证),而 Satori 则拥有不同和更短的数据库。 2、Satori 似乎可以利用 “ TSource Engine Query ”进行分布式反射拒绝服务(DRDoS)功能(通过随机 UDP),而 Okiru 则没有这个功能。 3、在 Okiru 和 Satori 的配置中,感染跟进的命令有点不同,也就说他们没有共享相同的 herding 环境。 4、四种类型的路由器漏洞利用代码只被发现在 Okiru 变体中硬编码,Satori 完全不使用这些漏洞 。 5、Satori (见反编码的 VT 注释部分)是使用小型嵌入式 ELF 木马下载器来下载其他的架构二进制文件,与 Okiru 相比其编码方面存在不同 (请参阅反转代码在 VT 注释中)。 消息来源:Security Affairs,编译:榆榆,校审:FOX; 本文由 HackerNews.cc 编译整理,封面来源于网络; 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。

2017 上半年 DDoS 攻击数量倍增,罪魁祸首竟然是它?

网络安全公司 Corero 于近期发布一份报告,宣称 2017 上半年的 DDoS 攻击数量增加一倍,起因竟是各企业及用户所使用的不安全物联网(IoT)设备。据称,只要用户设备在线联网,其拒绝服务(DDoS)攻击就将存在。倘若企业依赖互联网销售产品或协作,那么 DDoS 攻击不仅仅是一个麻烦,更将影响企业后续发展。 在过去数年内,DDoS 攻击的数量在 “猫捉老鼠” 的演变过程中呈缓慢趋势增长,即犯罪分子一旦加强攻击,其网络供应商就会进行弹性防御。然而,此类攻击一般都来自被感染的计算机和服务器组成的僵尸网络。不过,由于在僵尸网络中获取和维护这些系统的成本相对较高,因此在攻击发展的速度方面存在经济限制。 但是,僵尸网络 Mirai 的开发人员就很 “聪明”, 并未针对安全团队或安全设施开展攻击,而是把重点瞄准数百万家用物联网设备,例如利用网络摄像头与互联网路由器构建僵尸网络开展 DDoS 攻击。由于 Mirai 无需任何安全措施检测,因此它能在肆意感染的同时发起比以往更大的攻击活动。 根据 Arbor Networks 2016 年年底的报告显示,物联网设备已然成为 DDoS 攻击来源。到目前为止,这些大规模的攻击还未利用反射/放大技术展开。相关数据显示,DDoS 攻击的数量在 2015 年显著上升,其攻击的平均规模和时间也在不断增加。由卡巴斯基 2016 年第四季度 DDoS 情报报告得知,DDoS 攻击持续时间最长为 292 小时(或 12.2 天),明显长于上一季度( 184 小时或 7.7 天),创下 2016 年的纪录。 研究人员表示,目标企业现平均每天遭受 8 次 DDoS 攻击,均由不安全物联网设备和 DDoS 出租服务导致。虽然大规模的 DDoS 攻击正得到媒体关注,但这只是攻击的一小部分。然而,最令人感兴趣的是,2017 年第二季度发生的第五次 DDoS 攻击使用了多种媒介进行,旨在规避安全软件检测。目前,只需要每小时 20 美元,任何黑客都可采用僵尸网络针对目标企业发动攻击。此外,网络犯罪分子已经将 DDoS 攻击作为一项有利可图的开发项目,这就意味着拒绝服务攻击的活动仍将继续。 关联阅读: ○ 卡巴斯基实验室 《黑色星期五威胁报告》(英文) ○ 卡巴斯基实验室《2017 年第三季度的 DDoS 攻击报告》(英文) ○ 卡巴斯基实验室《2018 年威胁预测》(英文)   消息来源:securityaffairs.co ,译者:青楚 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接。

新木马以 Windows 为跳板传播恶意软件 Mirai

安全公司 Dr.Web 发现一种 Windows 木马 Trojan.Mirai.1 。黑客正在使用它传播恶意软件 Mirai 、感染物联网设备进行大规模 DDoS 攻击。 Windows 木马传播恶意软件 Mirai 该 Windows 木马被称为 Trojan.Mirai.1 ,其最重要的功能就是帮助 Mirai 感染更多的设备。木马使用 C ++ 语言编写,用于扫描指定范围 IP 地址的 TCP 端口,以便执行命令、传播恶意软件。木马启动后将连接命令和控制服务器下载配置文件( wpd.dat )、提取 IP 地址列表,并对设备多个端口进行扫描。如果感染设备运行 Linux 操作系统,它将执行一系列命令将其纳入 Mirai 僵尸网络,如果感染设备运行 Windows 系统,它将潜伏下来并继续传播寻找新目标。 Mirai Windows 版本针对更多端口 22 – Telnet 23 – SSH 135 – DCE/RPC 445 – Active Directory 1433 – MSSQL 3306 – MySQL 3389 – RDP 值得注意的是,木马虽然扫描 3389 端口但不通过 RDP 协议连接设备执行指令,而是通过 Telnet 、SSH 等端口连接到 Linux 设备,执行相关操作。 此外,木马还执行其他恶意操作。如果被攻击的计算机含有数据库管理系统 Microsoft SQL Server ,它将创建登录名:Mssqla 密码:Bus3456#qwein ,以管理员权限执行窃取数据等恶意操作。 以下是 Trojan.Mirai.1 的 SHA1 9575d5edb955e8e57d5886e1cf93f54f52912238 f97e8145e1e818f17779a8b136370c24da67a6a5 42c9686dade9a7f346efa8fdbe5dbf6fa1a7028e 938715263e1e24f3e3d82d72b4e1d2b60ab187b8 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接,违者必究。

研究人员找到“疑似” Mirai 僵尸网络作者

安全研究人员Brian Krebs 的个人博客 KrebsOnSecurity 去年 9 月遭到僵尸网络 Mirai 发动的大规模 DDoS 攻击,在攻击发生大约一周之后,被怀疑是攻击发起者的人使用用户名 Anna Senpai 开源了 Mirai 的代码,随后互联网上出现了一大波使用僵尸网络的模仿攻击。那么,Anna Senpai 究竟是谁? Krebs 展开了漫长的搜寻并在近日发表了长篇调查报告,认为 Senpai(aka OG_Richard_Stallman,exfocus,ogexfocus 和 dreadiscool)是罗格斯大学学生、是提供了 DDoS 防御服务的 Protraf Solutions 总裁 Paras Jha。Senpai 使用过化名 OG_Richard_Stallman 、也用过邮件 ogmemes123123@gmail.com 在 Facebook 上注册 同名账号,账号简介称他从 2015 年起开始就读罗格斯大学的计算机工程。不过 Paras Jha 对研究人员的指控予以否认,声称没有开发 Mirai 和参与 DDoS 攻击。 稿源:cnBeta.com,封面:百度搜索    

80 款索尼摄像头存后门账户,可被劫持执行恶意操作

据外媒报道,索尼已经关闭了 80 款“ IPELA ENGINE ”品牌网络监控摄像头的调试后门,索尼摄像头采用硬编码登录,可被恶意软件劫持成为像“ Mirai ”一样的僵尸网络。 后门是由美国证券交易委员会的 Stefan Viehböck 在 10 月发现,专家向索尼报告了问题,之后,索尼公司迅速发布固件更新,至于为什么要留后门以及到底用来干什么,索尼拒绝回复。 专家在固件中发现了两个硬编码,是一种内置的基于 Web 的管理控制台永久启用帐户: 用户名: debug,密码:popeyeConnection 用户名: primana,密码:primana 这允许黑客使用这些账户通过 Telnet / SSH 服务远程登录联网设备并获得管理员权限。 例如:通过发送以下网址到目标设备可获得 Telnet 访问权限。 http://primana:primana@HOST/command/prima-factory.cgi?foo=bar&Telnet=zKw2hEr9 http://primana:primana@HOST/command/prima-factory.cgi?foo=bar&Telnet=cPoq2fi4cFk 一旦 telnet 或 SSH 服务已启用,攻击者就可以 root 权限登录,并获得操作系统命令行级别的访问。下面是操作系统级后门用户的密码哈希值 $1$$mhF8LHkOmSgbD88/WrM790 (gen-5 models) iMaxAEXStYyd6 (gen-6 models) 稿源:本站翻译整理,封面来源:百度搜索

Mirai 竞争对手出现,新僵尸网络针对美国西海岸发动大规模 DDoS 攻击

据 cloudflare 消息,安全研究人员近日发现了一种新的 DDoS 攻击僵尸网络,已针对美国西海岸等地区进行网络攻击长达 10 日之久。 这个尚未被命名的僵尸网络攻击于感恩节前夕(11月23日)被研究人员发现,在 8.5 个小时内不间断对目标进行 DDoS。 安全公司 Cloudflare 表示,这些僵尸网络攻击十分有规律。 “黑客从黑色星期五开始夜复一夜进行 DDoS 攻击,流量基本维持在 320 gbps,峰值可达 480 gbps”。然而从本周二( 11 月 29 日)起,事情变得有趣了,攻击者在休息一天之后开始了 24 小时不间断的工作。 最引起研究人员好奇的是,这些攻击并非来自近日非常流行的 Mirai 僵尸网络,他们使用不同软件并且是针对 TCP(L3/L4) 协议发起的攻击,受攻击地区也主要集中于美国西海岸。 物联网僵尸网络引起了越来越多的关注。由于 Mirai  源代码的公开发布,网络犯罪分子也早已采取措施积累属于自己的僵尸网络大军、频繁发动攻击测试影响力。研究发现黑客们或使用 DDoS 攻击作为掩饰,暗中进行其他类型的网络犯罪,如窃取敏感数据等,令人担忧的是,2017 年 DDoS 攻击或借助各大僵尸网络进一步崛起。 稿源:本站翻译整理, 封面: 百度搜索