新一代“智能”僵尸网络已经入侵上千台华硕、D-Link路由器
作者:星期五, 四月 10, 20200

安全研究人员透露,在过去的三个月中,一个新的僵尸网络已经破坏了上千台ASUS、D-Link和Dasan Zhone路由器,以及诸如录像机和热像仪之类的物联网(IoT)设备。

该僵尸网络称为Dark_nexus,其技术和战术类似于以前的危险IoT威胁,例如Qbot银行恶意软件和Mirai僵尸网络。但是,Dark_nexus还配备了一个创新模块,用于实现持久性和检测逃避,研究人员说“该技术使其他[僵尸网络]感到羞耻”。

Bitdefender的研究人员在周三的分析中说:

虽然[Dark_nexus]可能与以前已知的IoT僵尸网络共享某些功能,但是其某些创新模块使其具有更强大的功能。例如,有效载荷针对12种不同的CPU架构进行了编译,并根据受害人的配置动态传送。

Dark_nexus还借用了Qbot和臭名昭著的Mirai僵尸网络以前使用的代码和进程,后者2016年发起了“搞瘫半个美国”的Dyn DDos攻击。例如,Dark_nexus的启动代码行为与Qbot相似,会阻止多个信号并将其与终端分离。并且,与Mirai相似,Dark_nexus绑定到固定端口(7630),从而确保该机器人的单个实例可以在该设备上运行。

与其他僵尸网络(TheMoon、Gwmndy和Omg僵尸网络)的另一个相似之处是,研究人员在Dark_nexus的某些版本中发现了socks5代理,它们有可能用于租用足迹。

除了借鉴其他僵尸网络的功能外,Dark_nexus还有自己的“独门绝技”——逃避检测和持久化策略。在发动DDoS攻击时,Dark_nexus会将流量隐藏为无害的浏览器生成的流量来绕过检测。此外,一旦感染了设备,Dark_nexus还试图通过伪装成BusyBox(以/bin/busybox命名)来伪装自己,这是一种流行的软件套件,在单个可执行文件中提供多个Unix实用程序。

Dark_nexus能识别并杀死任何威胁其“持久性”和“统治力”的进程,包括停止cron服务并删除任何可用于重新启动设备的可执行文件的权限。Dark_nexus还使用一种独特的技术来确保其在受感染设备中的“至高权力”,使用基于权重和阈值的评分系统来评估哪些进程可能构成风险,并杀死所有超过可疑阈值的其他进程。

自从12月首次发现该僵尸网络以来,研究人员(基于蜜罐证据)估计该僵尸网络已经危害了全球至少1,372台设备。这些设备主要位于韩国以及中国、泰国和巴西。相比之下,Mirai在2016年11月达到顶峰时已感染了超过600,000台IoT设备。

参考资料

Dark_nexus僵尸网络分析报告:

https://www.bitdefender.com/files/News/CaseStudies/study/319/Bitdefender-PR-Whitepaper-DarkNexus-creat4349-en-EN-interactive.pdf

相关阅读

僵尸网络在美国国防部网络中“挖矿”

IoT安全风险:我们的日常生活就是攻击面

 

 

申明:本文系厂商投稿收录,所涉观点不代表安全牛立场!


相关文章