當前位置:
首頁 > 新聞 > Masuta:Satori開發者的第二個殭屍網路,利用新的路由器漏洞實現武器化

Masuta:Satori開發者的第二個殭屍網路,利用新的路由器漏洞實現武器化

簡介

自Mirai代碼泄漏以來,物聯網領域出現了許多殭屍網路。雖然其中一些只是Mirai的拷貝,但也有人增加了新的攻擊手段,大多是利用路由器漏洞來開展攻擊。我們分析了一個名為Masuta的物聯網殭屍網路的兩個變種,在其中我們注意到一個很有名氣的物聯網攻擊者參與此事件,並發現一個路由器漏洞在殭屍網路中首次武器化。

Masuta代碼泄露及緣由

我們只能在地下論壇上獲取到Masuta(日語,master)殭屍網路的源代碼。分析配置文件之後,我們看到Masuta使用0xdedeffba而不是Mirai的0xdeadbeef作為密鑰的種子,因此配置文件中的字元串都被異或0x45=((DE ^ DE)^ FF)^ BA。

現在用0x45來異或配置文件,我們得到nexusiotsolutions.net,這是一個已知的C2網址,涉及最近的Satori攻擊,其使用了華為路由器一個0 day。

WHOIS上查詢此URL信息,聯繫方式為nexuszeta1337 @ gmail.com,表明Nexus Zeta不僅是Satori的創造者,而且還參與了Masuta殭屍網路的創建。

標準的Masuta變體使用幾個已知的/弱/默認的憑據來訪問它所攻擊的物聯網設備。

從9月份以來Masuta攻擊一直在上升, 蜜罐在過去三個月中觀察到2400個涉及殭屍網路的IP地址。上升趨勢如下圖所示:

參與Masuta攻擊的主要C2伺服器之一是n.cf0.pw或93.174.93.63。

PureMasuta變種及利用

IP地址93.17.93.63為我們提供了另一個Masuta殭屍網路的演變版本。雖然我們在Blackhat論壇上沒有獲得這個變體的源代碼,但在分析編譯的ARM二進位文件時,很明顯這不僅僅是一個常見的Masuta樣本。

Masuta變體(稱為PureMasuta)包含最典型的Mirai風格代碼,具有弱口令列表(PMMV = 「root」, TKXZT = 「vizxv」, CFOKL = 「admin」)。

如下圖所示,口令被單個位元組XOR 0x22隱藏,Mirai泄漏的另一個靈感。

然而,真正使PureMasuta從Mirai / Masuta脫穎而出的是EDB 38722 D-Link漏洞的使用。

EDB 38722 D-Link HNAP Bug

PureMasuta殭屍網路中引入的武器化bug在HNAP(家庭網路管理協議)中,該協議本身基於SOAP協議。使用hxxp://purenetworks.com/HNAP1/GetDeviceSettings來製作一個可以繞過驗證的SOAP查詢。 另外,由於不正確的字元串處理,可以運行系統命令(導致任意代碼執行)。當兩個問題結合在一起時,可以形成一個首先繞過驗證的SOAP請求,然後導致任意代碼執行。 例如,下面的字元串將導致重新啟動。

SOAPAction:「hxxp://purenetworks.com/HNAP1/GetDeviceSettings/`reboot`」

關於這個bug的詳細文章請到原文觀看。簡單地說,GetDeviceSettings之後的任何代碼都將被執行。替換reboot,PureMasuta殭屍網路從C2伺服器(通過wget)下載shell腳本並運行。下圖顯示了殭屍網路中的腳本:

我們注意到,C2伺服器(93.174.93.63)與原始Masuta變體中的相同,因此表明PureMasuta系Masuta威脅攻擊者創建。利用 poc已在exploit-db和pastebin等地方公開。 因此,我們認為攻擊者實施攻擊並不是很困難。

對Brian Krebs的痴迷

許多物聯網殭屍網路都提到了布賴恩·克雷布斯(Brian Krebs),一位知名的記者,他對Mirai進行了深入調查。Masuta也不例外,因為我們在源代碼中看到以下消息:

與此相同的信息被一個未經驗證的Nexus Zeta的twitter帳戶推出,將他與Masuta殭屍網路聯繫在一起。

結論

當涉及到與SOAP相關的攻擊時,Nexus Zeta並不陌生。在Satori殭屍網路中,已經觀察到攻擊者在實施其他兩個已知的SOAP攻擊,CVE-2014-8361和CVE-2017-17215。之前在物聯網殭屍網路中也發現了第三個SOAP漏洞TR-069。這使得EDB 38722成為物聯網殭屍網路中發現的第四個與SOAP相關的漏洞。

協議攻擊對於威脅行為者來說更為理想,因為它們通常具有更廣的範圍。一個協議可以由不同的供應商/模型來實現,並且協議本身中的一個錯誤可以被運用到更廣泛的設備上。 NewSky Security IoT Halo可以檢測到本文中提及的四個SOAP漏洞。


喜歡這篇文章嗎?立刻分享出去讓更多人知道吧!

本站內容充實豐富,博大精深,小編精選每日熱門資訊,隨時更新,點擊「搶先收到最新資訊」瀏覽吧!


請您繼續閱讀更多來自 嘶吼RoarTalk 的精彩文章:

雲安全風險(一):Azure CSV注入漏洞

TAG:嘶吼RoarTalk |