首页 文章 精选 留言 我的

精选列表

搜索[驱动分发],共10004篇文章
优秀的个人博客,低调大师

恶意软件托管域分发多种Mirai变体,影响Tenda、华为等公司

AT&T Alien Labs 观察到名为Moobot的Mirai僵尸网络变种,用于扫描 Tenda 路由器中已知但隐蔽的漏洞,引起了内部遥测相当大的峰值,进一步调查发现了恶意软件托管域Cyberium,并在其中发现了数个Mirai变种,如 Moobot 和 Satori。 分析 3 月底,AT&T Alien Labs 观察到 Tenda 远程代码执行 (RCE) 漏洞 CVE-2020-10987 的利用尝试激增。该漏洞不常被网络扫描器使用,在过去六个月中几乎没有检测到。这个漏洞可以通过请求的 URL 来识别,其中包括“setUsbUnload”和分配给易受攻击参数“deviceName”的有效负载。此有效负载包含将执行路径更改为临时位置、从恶意软件托管页面获取文件、提供执行权限并执行它的指令。 图 1. BinaryEdge Sensor 检测漏洞扫描 当时攻击者对 Tenda 路由器的漏洞扫描只持续了一天,但对其余设备的扫描活动却持续了数周时间,涉及到的设备漏洞如下: 端口 80 和 8080:Axis SSI RCE。 端口 34567:DVR扫描器尝试默认凭证的Sofia主视频应用程序。 端口 37215:华为家用路由器RCE漏洞 (CVE-2017-17215)。 端口 52869:Realtek SDK Miniigd UPnP SOAP命令执行(CVE-2014-8361)。 所有恶意软件变体都来自相同的恶意软件托管页面dns.cyberium[.]cc,在调查此域时,发现了多个攻击活动,最早的可以追溯到 2020 年 5 月。大多数攻击持续了一周的时间,每个活动使用Cyberium域下的不同子域页面,攻击终止后,相关的子域就无法解析。 图 2. Cyberium[.]cc 的热力图 破坏设备后,恶意代码会连接到Cyberium域来检索用作下载器的bash脚本,这个脚本非常类似于之前看到的Mirai变种的下载器,旨在下载恶意软件的后期阶段,如下图所示,脚本下载文件名列表(与不同的 CPU 架构相关联),执行每个文件名,通过crontab 实现持久化,最后删除自身。 图 3. Tenda 下载程序脚本 在该域可用期间,至少发现了三种不同的 Mirai变种:Moobot、Satori/Fbot 以及与这些僵尸网络无关的其他样本。该域的特点之一是它在 Mirai 变体之间的来回切换,即使在相同的文件名下也是如此,同一 URL 可能在托管 Satori的一周后托管 Moobot。 Moobot Moobot僵尸网络于2020年4月首次被发现,于同年10出现了新变种,该变种主要追逐暴露的和易受攻击的 Dockers API,以将它们纳入DDoS 僵尸网络中。 与其他Mirai变体不同的是,从Moobot获得的样本是加密的,试图逃避基于字符串的检测、对所用漏洞的静态分析,或入侵后的活动。Moobot中列举了要避免的硬编码IP地址列表,如:国防部、IANA IP、通用电气等。 图 4. Moobot 的 IP 扫描限制 恶意软件编写者似乎非常了解他们的目标受害者是谁,因此恶意软件将尝试通过使用 prctl 来隐藏其进程名称。隐藏进程名称是“/var/Sofia”,为目标设备上的视频应用程序的名称。 图 5. Moobot 进程隐藏处 成功感染后,payload 尝试在端口 12028 上查询硬编码的 C2 以获取 C2 列表。当前Cyberium 域处于关闭状态,无法分析这些通信。 Satori/Fbot Satori 僵尸网络,也称为 Fbot,是另一种基于 Mirai 变种的僵尸网络。Moobot 和 Satori 样本之间的相似之处很多,因为它们都来自相同的 Mirai 源代码,比如下载方式、对物联网设备的漏洞扫描、执行后打印的字符串、隐藏在 (/var/Sofia) 后面的进程名称等。在观察到的Satori样本中,代码没有加密,无需任何额外操作就可以读取更多字符串——不像 Moobot 样本被编码以减少纯文本中的字符串数量。 其他样本 这些样本似乎是 Moobot 和 Satori 样本之间的混合,它们的特征是随机组合的,大多数看起来像没有编码的 Moobot 样本或没有硬编码域的 Satori。 推荐措施 保持所有 IoT 设备更新,并特别关注解决提到的设备或 CVE。 监控已知传入漏洞的网络流量。 监控到 Cyberium 或 ripper 域的出口和入口网络流量。 定期执行进程审计和记账,寻找可能隐藏僵尸网络的已知恶意进程名称。 本文翻译自:https://cybersecurity.att.com/blogs/labs-research/malware-hosting-domain-cyberium-fanning-out-mirai-variants如若转载,请注明原文地址。

优秀的个人博客,低调大师

物联网设备的软件加密及授权分发:Virbox Smart License

概述 Virbox Smart License 是深思推出应用于 IoT 领域,面向智能终端设备的授权管理产品,支持市面所有主流开发板,可用于 C/C++ 语言开发的应用程序授权限制,保护 IoT 开发者的的权益不受损失。开发者通过 Virbox 开发者平台,轻松搞定授权的发布、管理、售后跟踪等日常软件销售管理工作。开发者只需按照标准流程进行集成开发,即可完成对应用程序的授权限制,软件只能在被授权的环境中运行。结合深思的应用加固产品 Virbox 加壳工具(专业版),加强应用程序代码安全,保护核心逻辑难以逆向分析。 产品介绍 Virbox Smart License 是纯软件实现的设备端授权管理组件,限制软件的使用时长,提供可扩展的安全存储,保存软件关键数据,为开发者软件授权的运行环境,有效阻止软件在未被授权的情况下使用带来的经济损失。Virbox 开发者平台是授权管理平台,设备端授权需要开发者登录 Virbox 开发者平台签发,安全可控,随时随地签发许可,允许开发者按照业务需要定制不同的销售模板(限时或一次性付费等),授权绑定的设备信息可查、可追溯,任何时候开发者都能查看授权的使用情况。Virbox 加壳工具(ARM 版),拥有业界领先的 ARM 应用保护技术,极大程度提升软件的安全性。 产品特点 支持多种授权方式支持一码多机和一码一机,满足多变的业务需要。支持多种 CPU 架构支持市面主流的开发板,树莓派,三星6818,RK3399等。硬件绑定授权和设备硬件绑定,有效防止文件拷贝盗用授权。虚拟时钟内置虚拟时钟,不受系统时间影响。通过限制软件使用时长,实现分期付款的销售策略。高安全性与 Virbox 加壳工具配合使用,让授权更安全。灵活、易扩展授权结构灵活,内容丰富,支持开发者定制开发,完成复杂的业务场景。随时随地发布授权开发者登录 Virbox 开发者网站,在线签发授权,缩短软件销售环节,提高转化率。销售跟踪开发者通过 Virbox 开发者网站查看授权绑定设备概要信息,跟进客户使用情况。支持多种应用场景支持联网或不联网设备的授权控制。 支持场景 Smart License 可应用于众多的 IoT 领域,适用于所有智能设备行业,支持市面主流的 ARM 处理器开发板(海思、麒麟等),本文从 ARM 软件开发者的角度,从以下三个方面阐述支持的通用业务场景。 算法授权 算法通常是高精尖软件的核心部件,例如人脸识别算法、声音分析算法、模具达标检测算法等,好的算法可以成就一家企业发展壮大,只有少数专业人士才能编写,具有很强的知识产权保护价值,但算法也具有通常软件产品的共性:复制成本低、极易扩散、难以管理。算法逻辑被逆向,算法库被滥用,算法授权被轻易复制,给企业和个人开发者带来巨大的经济损失,算法作为高新技术企业的核心资产,理应受到高度的保护和控制。开发算法的企业或个人开发者,提供的产品是一组算法开发套件(SDK),以及技术支持和售后服务。算法产品的收费模式通常是按照激活的设备数量收费,激活设备越多,对开发者的收益越大,限制算法在某一个设备运行,是算法授权的核心诉求,同时为减少额外的技术支持工作,算法要求授权激活不增加使用者的工作量,因此要求授权激活过程尽量少让客户参与,必须做到联网环境自动激活。算法授权,就是算法库进行授权管理,限制算法只能在被授权的设备中运行,更换设备算法将无法使用。Virbox Smart License 应用软件安全技术,限制授权与当前设备绑定,能够有效阻止授权复制至相同硬件开发板盗用授权问题。同时支持一码多机的授权方式,开发者只需给采购算法的企业发布一条授权,即可限制其实际绑定的设备数量,实现按激活设备收费的销售策略。Virbox Smart License 授权码在线绑定功能,只需开发者在功能代码中调用在线绑定接口并指定授权码,联网环境下调用即可自动完成授权绑定功能。授权码可以通过配置文件读入,或以固定编写在功能代码中。 应用授权 开发者的产品是软件产品,运行硬件通常由别的厂商提供,双方属于合作共赢关系。例如车载系统应用软件,无人售货机,充电桩等。软件类产品通常的销售模式是按照使用的设备数量收费,为了适应多变的市场环境,软件需要一段时间进行升级,售后服务和软件升级也是开发者的主要收入来源。因此限制软件运行的设备数量,限制软件的使用时间,是应用授权要解决的核心问题。Virbox Smart License 支持虚拟时钟,授权激活以互联网时间作为基准时间,通过内部机制模拟时钟不可回退,持续增长的特性,虚拟时钟不会随着更改设备的当前系统时间而发生变更,授权只能在授权限制的时间范围内使用,过期将不可用。在联网的环境下,授权码可以在线联网刷新,更新设备端授权状态,开发者只需通过 Virbox 开发者平台变更授权状态,设备端自动同步,轻松完成续费延期、一码多机增加绑定设备、修改授权内容等不同业务需要,极大程度减少重复更新激活的沟通、管理成本。 设备授权 开发者的产品是软硬件结合的产品,例如人脸识别闸机、智能摄像头、电梯广告机等,但受限于内部管理等原因,硬件生产和软件开发通常是相互隔离,部分企业授权硬件设备生产企业在设备生产阶段完成软件授权和激活工作,因此控制激活设备数量,和控制用户使用设备的时间长度,联网环境下自动激活,就成为企业内部管理和产品销售的必要功能。 支持范围 支持系统 支持常规的 ARM Linux 操作系统及Android,腾讯的 TencentOS tiny 和 LiteOS 尚未经过测试验证。 支持板卡 支持市面上以 ARM 系列(ARMv7,ARMv8)为主的 SoC 芯片组开发板,海思芯片属于支持范围。

资源下载

更多资源
Mario

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长,特征是大鼻子、头戴帽子、身穿背带裤,还留着胡子。与他的双胞胎兄弟路易基一起,长年担任任天堂的招牌角色。

Nacos

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称,一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集,帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux

Rocky Linux(中文名:洛基)是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版,作为CentOS稳定版停止维护后与RHEL(Red Hat Enterprise Linux)完全兼容的开源替代方案,由社区拥有并管理,支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性,采用模块化包装和SELinux安全架构,默认包含GNOME桌面环境及XFS文件系统,支持十年生命周期更新。

WebStorm

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源,继承了IntelliJ IDEA强大的JS部分的功能。

用户登录
用户注册