ORB 网络利用被攻陷的物联网设备与 SOHO 路由器掩盖网络攻击
HackerNews 编译，转载请注明出处： 操作中继盒（ORB）网络已成为威胁行为者用于躲避全球安全团队追踪、掩盖网络攻击的最高级工具之一。 这类隐蔽的网状网络由被攻陷的物联网设备、SOHO（小型办公 / 家庭办公）路由器与虚拟专用服务器组成，协同运作以掩盖恶意活动的真实来源。 ORB 网络通过多个中继节点转发攻击流量，使防护方极难追溯恶意活动源头，给网络安全专业人员带来重大挑战。 2026 年 2 月新加坡网络安全局披露，国家级背景组织 UNC3886 针对该国四大电信运营商 M1、SIMBA Telecom、Singtel、StarHub 发起定向攻击，该威胁由此引发高度关注。 攻击者利用边界防火墙中的零日漏洞，部署高级 rootkit 工具规避检测系统，并维持对关键基础设施的持久访问权限。 Team Cymru 研究人员证实，ORB 网络为攻击者提供了传统手段无法比拟的多项战略优势。 这类网络如同私人住宅代理服务，可让恶意流量与家庭及企业宽带的合法用户流量无缝混杂。 这使得封堵操作风险极高，防护方在试图拦截攻击时，可能会意外中断正常服务。 攻击基础设施与前置部署策略 ORB 网络的抗打击能力源于其分布式架构与动态组成特性。攻击者可通过增减被攻陷设备快速扩容网络，使其极难被彻底关停。 安全团队发现并封堵一个节点后，威胁行为者只需替换为新节点，即可保证攻击活动持续进行，不受重大影响。 ORB 网络的极高危险性在于，攻击者会在实际攻击发起数月前就完成节点前置部署。 攻击者提前搭建这类中继基础设施，可在保障操作安全的前提下，开展侦察与目标边界探测。 攻击者通过地理上靠近目标的节点转发流量，绕过地理围栏管控，使其行为在安全监控系统中更显合法。 安全专家建议机构部署主动威胁狩猎、行为分析与零信任安全模型，抵御这类高级网络攻击。定期更新路由器、监控网络流量、接入高级威胁情报仍是核心防护措施。 消息来源：cybersecuritynews.com； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
DNS 曝高危漏洞，影响数百万物联网设备
近日，Nozomi Networks发出警告，uClibc库的域名系统 (DNS) 组件中存在一个高危漏洞，编号为CVE-2022-05-02，该漏洞将影响所有版本uClibc-ng库的域名系统（DNS），因此，数百万台使用uClibc库的物联网设备都也将受到影响。 资料显示，uClibc库专门为OpenWRT设计的一个分支，OpenWRT 是用于各种关键基础设施部门的路由器的通用操作系统。 通过该漏洞，攻击者可以进行DNS中毒或DNS欺骗攻击，并将受害者重定向到恶意网站而不是合法网站。Nozomi Networks在报告中写到，该漏洞是由库生成的DNS请求中包含的事务ID的可预测性引起，可能允许攻击者对目标设备执行DNS中毒攻击。 目前，uClibc库被广泛应用于各大厂商，包括Linksys、Netgear和Axis，或嵌入式Gentoo等Linux发行版。安全专家尚未透露该漏洞的细节，因为供应商暂时没有解决该问题。 Nozomi的研究人员通过查看物联网设备在其测试环境中执行的DNS请求跟踪发现了这个问题。他们从Wireshark 的输出中确定执行DNS请求的模式，事务ID首先是递增的，然后重置为0x2值，然后再次递增。请求的事务ID是可预测的，这种情况可能允许攻击者在某些情况下发起DNS中毒攻击。 研究人员分析了可执行文件，发现创建DNS请求的问题出现在C标准库uClibc 的0.9.33.2版本。 Nozomi报告中写到，研究人员通过源代码审查发现，uClibc库通过调用位于源文件“/libc/inet/resolv.c”中的内部“__dns_lookup”函数来实现DNS请求。鉴于交易ID的可预测性，攻击者想要利用该漏洞，就需要制作包含正确源端口的DNS响应，并赢得来自DNS服务器的合法DNS响应的竞争。由于该函数不应用任何显式源端口随机化，如果操作系统配置为使用固定或可预测的源端口，则很可能以可靠的方式轻松利用该问题。 如果操作系统使用源端口的随机化，则利用该问题的唯一方法是通过发送多个DNS响应，暴力破解16位源端口值，同时赢得与合法响应的竞争。 最后，Nozomi报告总结道，截止该报告发布时，该漏洞仍未修复。开发者似乎无法修复该漏洞，自2022年1月以来，CERT/CC 向200多家受邀参与VINCE案例的供应商披露了该漏洞，并在公开发布前30天通知他们。 转自 FreeBuf ，原文链接：https://www.freebuf.com/news/332069.html 封面来源于网络，如有侵权请联系删除
新型僵尸网络 HNS 不断增长，已感染逾 2 万物联网设备
外媒 1 月 25 日消息，一个名为 Hide’N Seek（ HNS ）的新僵尸网络正在世界各地不断增长，对物联网设备造成重大影响（截至目前为止，受感染的物联网设备数量已达 2 万）。据研究人员介绍，HNS 僵尸网络使用定制的点对点通信来诱捕新的物联网设备并构建其基础设施，目前 HNS 主要是针对不安全的物联网设备，尤其是 IP 摄像机。 Bitdefender 的安全研究人员发现 HNS 僵尸网络于 2018 年 1 月 10 日首次出现，和其他与 Mirai 有关的物联网（IoT）僵尸网络并不相同。因为 HNS 有着不同的起源，且不共享其源代码。事实上，Bitdefender 高级电子威胁分析师 Bogdan Botezatu 认为 HNS 与 Hajime 僵尸网络更为相似。 Bitdefender 的研究人员在 1 月 24 日发表的博客文章中写道： “ HNS 僵尸网络以复杂并且分散的方式进行通信，使用多种防篡改技术来防止第三方劫持。” 其僵尸程序可以通过与 Reaper 相同的漏洞（ CVE-2016-10401 和其他针对网络设备的漏洞），对一系列设备进行 Web 开发。 除此之外，HNS 还可以执行多个命令，包括数据泄露、代码执行和对设备操作的干扰。其僵尸程序具有类似蠕虫的特性，可以随机生成一个 IP 地址列表来获得潜在的目标，随后向列出的每个目标设备发起一个原始的套接字 SYN 连接。 一旦连接成功，僵尸程序将查找设备提供的 “ buildroot login ” 横幅，并尝试使用一组预定义凭据进行登录。如果失败，它会试图通过使用硬编码列表的字典攻击来破解设备的密码。 其次，若用户设备与僵尸程序具有相同的局域网，那么僵尸程序将会设置 TFTP 服务器，以便受害者能够下载样本。但如果是位于互联网上，僵尸程序将尝试一种特定的远程有效载荷传递方法，让用户设备下载并运行恶意软件样本。 一旦设备被感染，僵尸网络背后的黑客就可以使用命令来控制它。目前僵尸网络已经从最初的 12 个受损设备增加到 2 万多个。 但幸运的是，像大多数物联网僵尸网络一样，HNS 僵尸网络不能在受感染的设备上建立持久性。只要通过简单的设备重新启动， 受感染的设备中就可以自动删除恶意软件。 目前 Bitdefender 的研究人员尚未发现 HNS 僵尸网络具有 DDoS 功能，这意味着 HNS 将被部署为一个代理网络。另外，研究人员透露 HNS 僵尸网络仍然不断变化中，可能会被应用于多种攻击场景。 消息来源：IBTimes，编译：榆榆，校审：FOX; 本文由 HackerNews.cc 编译整理，封面来源于网络； 转载请注明“ 转自 HackerNews.cc ” 并附上原文链接。