Mirai物联网僵尸网络之后的三个新秀 Leet僵尸网络、Amnesia僵尸网络、Brickerbot僵尸网络

现今，Mirai已成为最流行的物联网僵尸程序，出现在多个大型攻击中，但它并不是唯一一种。安全公司已检测到许多针对物联网设备的其他恶意软件，这些软件同样危险，已被用于实际攻击，如Leet和Amnesia僵尸网络。物联网僵尸网络可能是威胁领域最令人恐惧的危险之一，而缺乏合理配置、有安全漏洞的物联网设备则最受黑客青睐。

2016年8月，安全研究团队MalwareMustDie分析了一种新型的ELF木马后门样本， 这种木马被称为ELF Linux/Mirai，专门针对物联网设备。

这篇博文介绍了近期发现的用于实际攻击的主要物联网僵尸网络，并分析了相关攻击场景。

Leet僵尸网络

去年圣诞节前，12月21日晨，来自Imperva公司的专家检测到了一次针对公司的大型攻击。这次大型DDoS攻击由Leet僵尸网络发起，峰值流量达到650 Gbps。该僵尸网络的目标是Imperva Incapsula网络中的几个任意广播IP地址。

专家在对攻击进行调查后发现，僵尸网络由数千台受控物联网设备构成。攻击并未针对公司的某个特定客户，很可能因为Incapsula防护代理隐藏了受害者的IP地址，使黑客无法解析。 ” Imperva公布的分析中说

“ 攻击为什么没有针对特定客户 ， 这很难下结论。最可能的原因是攻击者无法解析实际受害者的 IP 地址，因为这些 地址 被 Incapsula 代理隐藏了，

Incapsula发现了两次明显的DDoS攻击，第一次持续了20分钟，峰值流量达到400 Gbps；第二次持续了大约17分钟，最高流量达650 Gbps。

“ 第一次 DDoS 攻击持续了大约 20 分钟 ， 峰值流量达 400 Gbps 。这次攻击没有取得任何实际效果，于是，攻击者卷土重来，发动了第二次攻击。这次，僵尸网络开足马力，发起了 650 Gbps 的 DDoS 流量，每秒钟报文数（ Mpps ）达 1.5 亿。 ” 同一份分析中说。

两次攻击均无果，但是因为黑客使用了欺骗性IP地址，研究人员无法追踪到真实的攻击源。

分析了恶意流量报文内容后，发现攻击借由Leet僵尸网络发起，该恶意程序由报文内的“签名”而得名。Imperva分析道，

“ 我们首先注意到攻击者在一些正常大小的 SYN 报文中留下了各种 ‘ 签名 ’ 。这些报文的 TCP 头部选项中，所有的值被精心安排，拼成了 ‘1337’ 。顺便说明一下， 1337 是网络用语，指 ‘leet’ 或 ‘elite’ 。 ”

专家还注意到，特大SYN报文（799到936字节）内含看似随机的字符串，有些还包含IP地址列表片段。

“ 这意味着我们所 面对 的这款恶意软件是用于访问本地文件 （ 如日志和 iptable 列表 ）的， 所生成的报文内容经由拼凑而成。 ”

物联网僵尸网络Amnesia的攻击目标为未打补丁的DVR

Amnesia僵尸网络利用了未修补的远程代码利用漏洞，这个漏洞一年多之前由安全研究员Rotem Kerner发现。Amnesia僵尸网络目标是嵌入式系统，尤其是中国的同为数码科技有限公司生产的DVR（数字视频录像机），目前，该公司名下有70多个品牌的产品销往世界各地。

2016年3月，Kerner将其发现的漏洞上报了DVR厂商，但是未得到任何回应，一年后，他决定公布漏洞细节。

根据Palo Alto Networks（PAN）研究人员的相关分析，Amnesia是Tsunami僵尸网络的变种，Tsunami作为一种下载程序/IRC僵尸程序后门，被网络犯罪分子用来发动DDoS攻击。

根据PAN的网络扫描结果，上述漏洞仍未修补，全球大约有22.7万DVR设备受此漏洞影响。

“ 根据我们的扫描数据 （ 如下图所示 ）， 这个漏洞影响了全球约 22.7 万台设备 ， 台湾、美国、以色列、土耳其和印度是重灾区 ， ” PAN公布的分析中说。

Amnesia僵尸网络利用的是远程代码执行漏洞，攻击者可利用该漏洞完全控制设备。

使用Censys搜索引擎进行分析，获得了70多万条IP地址。

“ 此外 ， 使用 ‘Cross Web Server’ 特征 ， 我们发现互联网中有 22.7 万多台设备可能来自同为数码科技有限公司。我们还在 Shodan.io 和 Censys.io 上搜索了这个关键字，两个网站分别返回了约 5 万条和 70.5 万条 IP地址， ”PAN 公司表示。

专家认为，由于采用逃避技术，Amnesia僵尸网络极为复杂。恶意软件研究人员认为Amnesia僵尸网络是第一款采用虚拟机逃避技术来逃避恶意软件分析沙箱的Linux物联网恶意软件。

“虚拟机逃避技术在微软Windows和谷歌Android恶意软件中更为常见。同样地，Amnesia尝试检测是否运行在基于VirtualBox、VMware和QEMU的虚拟机上。如果检测到这些环境，Amnesia会通过删除文件系统中的所有文件，从而清除虚拟化Linux系统。”

分析中称，“这不仅影响到Linux恶意软件分析沙箱，还会影响VPS或公共云上的一些基于QEMU的Linux服务器。”

PAN专家推测称，Amnesia僵尸网络有望成为威胁领域的主要僵尸网络之一，并且可用于大规模攻击。

Brickerbot永久性破坏物联网设备

数周前的3月20日，Radware研究人员发现了一种新的僵尸网络。这种僵尸网络和Mirai僵尸网络有诸多相似之处，被命名为Brickerbot。Mirai僵尸网络和Brickerbot的主要区别在于，后者的恶意软件可对配置不当的物联网设备造成永久性破坏。

Brickerbot对Radware公司为进行恶意软件分析而部署的蜜罐发起攻击，因此被发现。通过部署有针对性的蜜罐服务器发现检测到来自全球各地1895个IP的BrickerBot攻击尝试，而且还有333次通过Tor网络攻击的尝试被发现。

“ 四天内， Radware 的蜜罐记录了来自全球的 1895 次 PDoS 攻击。其唯一的目的是入侵物联网设备并破坏其内存。 ” Radware分析报告称， “ 两条路径（ Internet/TOR ， BrickerBot.1/BrickerBot.2 ），相差一个小时左右。 BrickerBot.2 执行 PDoS ，更彻底，位置隐藏在 Tor 出口节点中。 ”

Brickerbot僵尸网络通过Telnet暴力攻击物联网设备。Mirai僵尸网络还曾采用此技术。

Bricker很难分析，因为它并不下载二进制，这意味着Radware专家无法检索恶意软件暴力使用的完整凭据清单。恶意软件研究人员只能观察到第一次登陆的用户名/密码是root/vizxv。

“ Bricker 不下载二进制，因此 Radware 获取不到完整的暴力攻击凭证清单，只能记录到 第一次登陆的用户名 /密码是 root/vizxv 。 ” 咨询顾问补充说道。

专家解释说，恶意软件针对的是运行在BusyBox上、基于Linux的物联网设备。这些设备Telnet端口都是开放的，并且暴露在互联网上。

PDoS攻击源于有限数量的IP地址。被攻击设备都是端口为22和运行老版本Dropbear SSH服务的设备。大部分被僵尸网络攻击的设备被Shodan识别为Ubiquiti。

恶意代码首先获得对设备的访问，然后通过rm –rf /*命令擦除设备内存，并禁用TCP时间戳， 并将内核线程的最大数量限制为一个。

Brickerbot恶意软刷新所有iptables防火墙和NAT规则，并添加一条规则来删除所有传出的数据包。Brickerbot试图擦除受影响物联网设备上的所有代码，使其不可用。

关于如何防护物联网设备，Radware专家提出了以下建议：

• 修改设备的出厂默认凭据。
• 禁用Telnet访问设备。
• 网络行为分析可检测流量异常，结合自动签名生成进行防护。
• 使用用户/企业行为分析（UEBA）在早期发现细粒度的流量异常。
• 入侵防护系统应阻断Telnet默认凭据或重置Telnet连接。使用签名检测已提供的命令序列。

结论

不幸的是，物联网僵尸网络的数量将会不断增加。这些强大的基础设施非常灵活，不法分子可用之实现很多犯罪目的。在互联网上暴露的大多数物联网设备安全性不足，这是当今IT行业最大的问题之一。IT厂商必须确保其物联网设备的安全，请参考 物联网安全白皮书

参考

• http://resources.infosecinstitute.com/the-mirai-botnet-a-milestone-in-the-threat-landscape/
• http://securityaffairs.co/wordpress/57839/malware/brickerbot-botnet-iot.html
• http://securityaffairs.co/wordpress/57803/malware/iot-amnesia-botnet.html
• http://securityaffairs.co/wordpress/54825/uncategorized/leet-botnet.html
• https://www.incapsula.com/blog/650gbps-ddos-attack-leet-botnet.html
• http://securityaffairs.co/wordpress/50929/malware/linux-mirai-elf.html
• http://securityaffairs.co/wordpress/52544/breaking-news/dyn-dns-service-ddos.html
• http://securityaffairs.co/wordpress/52558/iot/dyn-dns-service-ddos-2.html
• http://securityaffairs.co/wordpress/52821/hacking/mirai-botnet-2.html
• http://securityaffairs.co/wordpress/53054/malware/shadows-kill-liberia-outage.html
• http://securityaffairs.co/wordpress/52015/hacking/mirai-botnet.html
• http://securityaffairs.co/wordpress/52313/cyber-crime/sierra-wireless-mirai.html
• http://securityaffairs.co/wordpress/51669/hacking/internet-takedown.html