【深度分析】不安全的IOT设备是如何导致Twitter、PayPal等网站宕机的？-低调大师

【深度分析】不安全的IOT设备是如何导致Twitter、PayPal等网站宕机的？

2017-08-31 521

日前，一场大规模的互联网瘫痪席卷了美国，2016年10月21日 11:10 UTC（北京时间19:10左右）恶意软件Mirai控制的僵尸网络对美国域名服务器管理服务供应商Dyn发起DDOS攻击，从而导致许多网站在美国东海岸地区宕机。以下是来自青莲云对感染IOT设备的恶意软件Mirai的分析。

本文您将看到：

1、攻击事件回顾

2、恶意软件Mirai是什么

3、Mirai如何感染IOT设备的

4、Mirai如何控制IOT设备发起攻击

5、Mirai的另一种攻击思路

6、如何防止智能设备被恶意利用

附录：《感染IOT设备的恶意软件Mirai源代码分析》

攻击事件回顾

日前，一场大规模的互联网瘫痪席卷了美国，2016年10月21日 11:10 UTC（北京时间19:10左右）恶意软件Mirai控制的僵尸网络对美国域名服务器管理服务供应商Dyn发起DDOS攻击，从而导致许多网站在美国东海岸地区宕机。

你可能没有听说Dyn，但你一定知道这些网站，如GitHub、Twitter、PayPal等。Dyn为这些著名网站提供基础的DNS服务，当其受到攻击时，用户无法通过域名访问这些站点。

恶意软件Mirai是什么

安全研究人员表示，造成此次网络宕机事件的罪魁祸首，可能是大量的物联网设备——包括联网的摄像头和数字录像机，这些设备可能因遭到黑客劫持而被利用。

据悉，控制这些设备的恶意软件名为Mirai。Mirai恶意软件的源代码由匿名人士开发，并于10月公开。Mirai软件能够感染各类存在漏洞的物联网设备，其中包括安保摄像头、DVR以及互联网路由器等。通过恶意感染，这些物联网装置将成为僵尸网络中的肉鸡设备，并被用于实施大规模DDoS攻击。

Mirai如何感染IOT设备的

1、网络扫描存在telnet服务

2、61组用户名密码组合暴力破解存在弱密码和出厂密码的iot设备

3、登陆telnet成功以后，远程执行命令获取iot设备指纹信息

4、远程下载iot设备架构对应的恶意可执行程序并执行

5、恶意程序执行以后，在局域网内扫描存在该漏洞的其他设备

6、感染周边的设备

Mirai如何控制IOT设备发起攻击

Mirai恶意程序有很强的自我保护性，会隐身，有反GDB调试能力，有防止watchdog重启设备能力；同时mirai有很一定的排它能力，能后杀死其他恶意程序或者僵尸网络远程控制。

Mirai一旦感染设备以后，获得设备的绝对控制权，会自动加载DDoS攻击模块，当有新的攻击指令下发的时候，就会发起DDoS攻击。

Mirai的另一种攻击思路

Mirai感染设备后，拥有绝对控制权，除了把设备当成攻击的发起者来进行DDoS攻击以外，还能够对设备本身的系统、业务、数据造成严重危害，比如能够篡改数据、窃取数据、修改系统配置、删除系统文件、杀死业务服务等等。

如何防止智能设备被恶意利用

1、提高安全意识，杜绝使用初始密码以和弱密码，提供密码安全等级

2、关闭多余的系统功能以及命令

3、限制busybox使用权限

4、关闭48101端口

5、添加监控，防止恶意程序的运行

附录：《感染IOT设备的恶意软件Mirai源代码分析》

一、源码结构树

二、源码主要包含了三大块功能

三、loader功能

四、bot模块

五、CnC command and control模块

1 源码结构树

整个源码量不大，一个较小的工程，总共48个定义、实现文件。文件结构如下图

2 源码主要包含了三大块功能

1、loader

攻击程序加载器，用于将实际攻击程序加载到目标IOT设备上。

2、bot

用于实施恶意攻击的程序模块，该模块为被控制端。

3、cnc

控制端模块，用于管理bot以及命令的应答和处理。

3 loader功能

由于线程处理逻辑相对其他来说，比较复杂，这里摘除不容易理解部分分析说明一下。

handle_event函数负责处理server与目标肉鸡telnet连接上交互的数据。

处理主要分为三个大部分，每个大部分又有很多小的步骤来组成。为了区分每个步骤的处理逻辑，handle_event中维护了简单的状态机，定义如下：

TELNET_CLOSED, // 0

……

TELNET_CLEANUP // 19

这部分在查看代码的时候会发现，大量用到ECCHI命令。

主要有两个方面的考虑：

筛选目标telnet肉鸡系统，防止目标是比较完整的linux机器，甚至能够识别出一些蜜罐系统比如cowrie。因为这些无关的系统在执行busybox ECCHI命令后，会提出一些helper信息，而不是简单的”ECCHI: applet not found”

起标签作用，攻击者在很多命令后面都会添加上"/bin/busyboxECCHI"，在返回处理结果的数据中，可以找”ECCHI: applet not found”的位置，来区分获取想要得到的数据。

4 bot模块

bot模块，用于实施攻击的程序，包含自身保护机制、扫描、域名解析、各种DDoS攻击等。

攻击模块加载初始化，添加udp、tcp、dns、vse、syn等多种攻击模块，具体每种攻击实现都可以在attack_xx.c文件中找到。

5 CnC command and control模块

攻击主控端模块，主要创建两个服务，分别监听在23/101端口上。分别提供主要提供bot相关的管理；命令的应答处理。

原文发布时间为：2016年10月26日

本文来自云栖社区合作伙伴至顶网，了解相关信息可以关注至顶网。

微信关注我们

原文链接：https://yq.aliyun.com/articles/210648

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

启明星辰今年两会仨提案建议设立CISO

每年的两会，代表们的提案都很抓眼球，刚刚过去的两会上，安全也是一大热门领域。代表们都尽心尽力尽责的提出了自己的观点和建议，但能否有效实施才是重点。今年的两会，启明星辰信息技术集团股份有限公司董事长、全国政协委员严望佳提出了涵盖企业首席信息安全官（CISO）、移动支付安全和智慧城市安全的议案。用启明星辰首席战略官(CSO ) 潘柱廷的话来说：“对于问题的解决方案是否可行，是我们的提案决定提出的重要标准之一。” 启明星辰首席战略官(CSO ) 潘柱廷专业团队总结一线经验，提案设立首席信息安全官CISO 不知道大家有没有搜索过网上的“搞笑提案”集锦，很多提案一看就没有实施的可能，为了避免这种“一拍脑门就决定”的提案，启明星辰成立了专门的提案调研小组。调研小组的成员都来自启明星辰内部，他们从各自所研究的领域提出相应的议案，再由“智囊团”的成员协作总结议案所提出的目标和可行的方案，彻底杜绝了“拍脑门”提案的产生。左一“智囊团”成员之一以今年严望佳 “关于以首席信息安全官为关键责任人”的提案为例，“智囊团”成员经过多方面的考量，由两会代表严望佳建议中央网络安全和信息化领导小组办公室研究办理“...

2017-09-01

685

2016年4月21---23日，全球顶级技术盛会Qcon全球软件开发大会将在北京国际会议中心正式召开。本届Qcon大会以“升级你的软件开发思维”为的主题，邀请ThoughtWorks、Oracle、腾讯、豆瓣、知道创宇、永信至诚等国内外知名企业的100余位技术专家进行演讲。在今年众多的的专题中，4月23日的黑客专场——“打破规则，我是黑客”成为一大亮点。知道创宇技术副总裁余弦曾说过：“对于黑客来说，证明自己存在最直接的方式就是打破已有规则，在网络空间中进入上帝模式，俯视目标的运行规律，而这一切都是为了更好的创造力，在争议中进化世界。” 而规则就是用来打破的，这次安全专场中来自知道创宇、永信至诚、长亭科技、ZerOne、中新网络、腾讯、Synopsys 公司的七位资深黑客将围绕运维和开发过程中的漏洞、安全人的编程、攻击智能摄像头、漏洞挖掘、无线安全、Mousejack、沙箱逃逸七大方向全方位展示黑客眼中的规则和世界。各种软件开发的模式、流程、框架，为软件开发工作提供着各个方面的支撑；功能和性能，也一直是软件开发者最直接关注的产品指标和重点；而安全意识、安全编程等软件开发过程中的“...

2017-09-01

623

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。