ADB.Miner：惡意代碼正在利用開放了ADB 介面的安卓設備挖礦
最新
02-07
大約24小時前，從 2018-02-03 15:00 開始，一組惡意代碼開始蠕蟲式快速傳播，我們分析了這個安全威脅，一些快速的結果如下：
傳播時間：最早的感染時間可以回溯到 1月31日附近。當前這波蠕蟲式感染從 2018-02-03 下午 15：00 附近開始被我們的系統檢測到，目前仍在持續增長。
感染埠：5555，是安卓設備上 adb 調試介面的工作埠，這個埠正常應該被關閉，但未知原因導致部分設備錯誤的打開了該埠
蠕蟲式感染：惡意代碼在完成植入後，會繼續掃描 5555 adb 埠，完成自身的傳播
感染設備型號：目前能夠確認的設備型號見後，大部分是智能手機，以及智能電視機頂盒
感染設備數量：2.75 ~ 5k，主要分布在中國（~40%）和韓國（~30%）
另外，惡意代碼復用了 mirai 在掃描階段的代碼，這是我們首次看到 mirai 代碼被安卓蠕蟲復用
總體而言，我們認為有基於 android 系統 adb 調試介面的惡意代碼目前正在蠕蟲式積極傳播，24小時內已經感染了超過5千台設備。
埠 5555 上的感染趨勢
從 2018-02-03 晚間開始，我們檢測到埠 5555 上的掃描流量正在快速增長，如下：
如上圖所見，5555 埠上的掃描流量從下午15：00附近，開始達到日常背景數據的3倍，24：00附近到達10倍。到目前未知，發起掃描的IP數量和總掃描流量，都仍然在持續增長中。
如下圖所示，當前 5555 埠掃描流量已經排入所有埠的前十。上一次我們看到一個全新埠排入前十，是2016年9月期間，mirai殭屍網路開始組建其殭屍網路。
5555 埠上掃描來源的獨立IP地址，按照不同口徑統計，有2.75 ~ 5.5k，這個數字正在快速增長中，兩個來源的情況見後：
TAG:全球大搜羅 |