AG公司云
狼烟再起 | 物联网僵尸家族入侵模式再更新，阻击需提前
2021-01-27
全文共1975字，阅读约莫需要3分钟。
Linux/IoT平台作为弱口令和种种误差的重灾区，清静事务频发，一连饰演着僵尸网络家族孵化器的角色。只管Linux/IoT平台仍然被Mirai和Gafgyt这类的家族所主导，但近两年来一批新家族爆发，进一步加剧了Linux/IoT僵尸网络的内斗态势。
日前，AG公司科技宣布了《2020 BOTNET趋势报告》。其中，报告中先容了2019至2020年年尾泛起的4个新兴Linux/IoT家族，包括Pink、Mozi、Bigviktor及Gobrut。这些家族在影响规模、通讯模式、生长偏向和目的需求上，相较古板着名的Mirai和Gafgyt等家族而言更为新颖。
报告通过叙述它们的特点及现状，展现了僵尸网络家族的未来生长趋势：
1、使用小众装备的误差安排恶意软件，在局部战场获取收益。
2、使用去中心化的P2P协议举行通讯，并构建专属DHT网络，增强C&C隐匿性和跟踪的难度。
3、使用DGA隐藏真实C&C，延伸存活周期，为木马后续更新争取时间。同时接纳加密+验证的方法�；ち髁�，以瘫痪网络层的特征检测。
4、生长模式逐渐由完善功效再投递，转变为先投递再完善功效。
5、C&C漫衍式地向肉鸡下发使命，高效地举行暴破运动。
6、C&C后台挖掘和网络海量域名作为日后攻击资产，可自用或出售。
01小众装备的“战场”
Linux/IoT装备林林总总，种类繁多，因此有攻击者打起了小众装备的主意。而家庭网关作为用户接入互联网的主要通道和流量入口，便成为了攻击者使用的一环。特殊是在流量为王的今天，刷广告已经成为黑产界散播木马的主要动力之一。
2020年疫情时代，有攻击者使用某品牌家用网关的0day误差实验了入侵行为，并安排了恶意软件Pink，可举行广告挟制、网络署理、后门替换和DDoS攻击等功效。
此次事务中，攻击者很是相识家用网关。这反应出在IoT平台误差层出的今天，黑产组织为了翻开局部市场以攫取更多利益，不吝睁开针对一些小众装备的研究，自动挖掘或购置误差举行使用，同时也侧面反应了当今IoT装备面临的一系列清静逆境。小众装备的“战场”，对清静应急及后续视察研究提出了一定挑战，并对相关清静从业职员的知识宽度也提出了新的要求。
02Hello, P2P
C&C通讯的隐匿性是决议僵尸网络存活周期的主要因素之一。当今，绝大部分僵尸网络家族均接纳Client-Server的TCP通讯模式，因此相对容易被追踪和研究，而与此相对的则是少数家族接纳的去中心化通讯模式。
2019年年底泛起的以DDoS为主要目的的Mozi恶意家族，代表了物联网僵尸网络在P2P偏向的延伸。Mozi不但使用P2P通讯中已有的DHT协议作为整体网络结构，还在DHT网络内部构建了该家族专属的DHT僵尸网络。这使得一个Mozi节点从加入DHT网络到执行DDoS攻击不可一蹴而就，而是会涉及到多种通讯协议，包括DHT、Mozi-DHT、HTTP和UDP协议。
两层DHT通讯使得Mozi的网络结构较为重大，且节点漫衍离散度较高，有别于古板的僵尸网络。伏影实验室剖析发明，Mozi使用常见的撒播方法，现已入侵东亚、欧洲和北美等多个地区。据AG公司科技伏影实验室视察，其规模仍在一直扩大中，或于未来演变为重大威胁的可能性已显露。
由于P2P的网络结构较为无邪，在一定水平上隐藏了真实C&C，使得Mozi家族比古板僵尸网络更难治理。
03流量武装与生长模式之变
各僵尸网络家族的木马在占领肉鸡后，陪同而来的是其长期性问题。同时C&C通讯的保密性，亦是决议僵尸网络存活周期是非的主要因素之一。攻击者以隐藏真实C&C提高存活率，并通过加密流量来隐藏通讯内容，从而对抗特征检测。
2020年6月，AG公司科技伏影实验室威胁捕获团队，凭证CNCERT物联网威胁情报平台及AG公司威胁识别系统监测数据，通过误差检测发明了一款全新的DDoS僵尸网络家族Bigviktor。与古板的Mirai、Gafgyt、Dofloo和XorDDoS等DDoS家族差别，该家族使用DGA算法天生C&C，每个月可以爆发大宗域名，并接纳非对称加密+署名验证的方法�；ねㄑ读髁�，遵照零信托的原则。
别的，Bigviktor在刚被发明时，其功效尚不完整，体现了与古板僵尸网络差别的生长模式，即先实现入侵撒播，在站稳脚跟后再通事后期逐步更新来完善功效。该模式需要维持C&C在一段时间不被封杀，与该家族接纳的C&C和流量�；げ椒ネ耆鹾�，同时也袒露了黑产内部强烈的竞争态势。
04漫衍式挖掘海量目的
现在，众多的Web治理和服务系统无时无刻不遭受种种渗透攻击，其中弱口令则是一种最简朴的方法。怎样尽快网络这些袒露在公网上的目的并实验高效的渗透，成为了攻击者行动的另一个偏向。
2019年年头泛起的Gobrut家族饰演的即是这样的角色。该家族版本一直迭代，至今依然活跃。由于该家族只用于暴力破解，因此体现出与古板僵尸网络家族差别的需求。Gobrut的C&C会天生目的和弱口令列表，由肉鸡下载后提倡对目的的扫描或登录实验，若乐成则提交效果，由此形成一个漫衍式暴力破解僵尸网络。
通过漫衍式的作业模式，C&C能以较快速率获得目的类型的扫描效果，并指定肉鸡将主要精神放在暴力破解上。同时C&C后台还肩负了子域名挖掘事情，由此获得大宗域名供Gobrut肉鸡举行扫描，由此形成了【子域名挖掘->分发->扫描->反响->再分发->暴破->再反响】的模式。
通过这种模式，Gobrut不但网络了海量子域名作为攻击资产，并且缩短了弱口令暴破时间，甚至可在黑市兜售被攻破目的信息以赚钱，可谓一箭三雕。
前往【研究报告】栏目，阅读《2020 BOTNET趋势报告》完整版，相识“各家族”详细解读及相关统计数据。
