黑吃黑：物聯網殭屍網路作者在中興路由器後門上添加了自己的後門

很多腳本小子正在使用武器化的物聯網漏洞利用腳本，利用供應商後門帳戶攻擊中興路由器。具有諷刺意味的是，這不是腳本中唯一的後門。Scarface，代碼的傳播者也部署了自定義後門來黑那些使用該腳本的腳本小子。

由於IOT（Paras/Nexus/Wicked）中頂級開發者的名字不為人所知，Scarface/Faraday就是腳本小子購買物聯網殭屍網路代碼以及武器化利用的開發者的總稱。雖然Scarface大多具有良好的可信度，但我們觀察到他發布了一個帶有後門的武器化中興ZXV10 H108L路由器漏洞利用，它在運行時會感染腳本小子的系統。

該漏洞是已知漏洞，在中興路由器中使用後門帳戶進行登錄，然後在manager_dev_ping_t.gch中執行命令注入。Scarface的代碼針對另一個不同埠8083上的設備（這就解釋了我們的NewSky蜜罐在埠8083而不是標準80/8080埠上看到此漏洞使用量激增）。然而，這不是唯一的區別。

在泄漏的代碼片段中，我們看到login_payload用於後門使用，而command_payload用於命令注入。但是，還有一個變數auth_payload，其中包含base64編碼的Scarface後門。

這個後門代碼是通過exec偷偷執行的，與實際漏洞的三個步驟（使用供應商後門、命令注入和註銷）分開執行，如下圖所示：

解碼後的後門代碼連接到另一個網站，該網站的代碼連接到URL paste(.)eee並執行後續代碼：

我們可以看到其添加了一組後門用戶憑據，然後通過清除日誌和歷史記錄來刪除痕迹。通過wget連接到另一個URL ，因為它承載了一個meme視頻（這可能是Scarface擁有你設備的一個指示）。

黑掉IoT殭屍網路運營商可以有很多用途。例如，控制腳本小子系統後，大魚Scarface也可以控制他們構建的較小的殭屍網路，或者可以簡單的訪問競爭對手的物聯網殭屍網路操作人員系統來進行個人競爭。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！