新一波Mirai攻擊利用開源項目跨平台感染IoT設備

最新 08-27

「用指尖改變世界」

過去幾年於物聯網（loT）威脅領域一直是多事之秋，新一波分散式拒絕服務（DDoS）bot（「肉雞」）層出不窮。自首次被報道的2016年Mirai殭屍網路（Linux.Mirai）事件之後，惡意軟體的源代碼隨後被泄露，此系列的變種數量一直在穩步增長，它們的成功進化得益於物聯網大環境的疏於管理。事實上，物聯網市場非常分散，大多數設備都沒有收到已知漏洞的軟體補丁。更糟糕的是，惡意軟體作者繼續發展這些變種，使惡意軟體在不同平台和體系結構中發展得更強大，移動得更加便捷。

跨平台的IoT殭屍網路的主要痛點之一是可移植性。惡意軟體必須能夠獨立地運行在不同的架構和平台上，不允許任何運行時的意外或錯誤配置出現。如果缺乏經驗的威脅者只是複製/粘貼和重用現有的惡意代碼庫編寫腳本，那他們也極其容易在這裡栽跟頭。

在7月底，賽門鐵克研究者見到了一個實時遠程伺服器，它承載著多個惡意軟體變體，每個變體都適用於特定的平台。和許多Mirai感染一樣，它首先在脆弱的設備上啟動一個shell腳本。該shell腳本依次嘗試下載和執行各個可執行文件，直到找到符合當前體系結構的二進位文件為止。

圖1. shell腳本逐個下載可執行文件，直到找到適用於當前體系結構的可執行文件

成功執行的可執行文件負責實際的Mirai有效負載，例如通過創建隨機地址列表並掃描具有默認憑據或漏洞的設備來枚舉IP地址列表。

雖然這與我們迄今為止看到的Mirai變體的行為類似，但有趣的是編譯後的二進位文件。這些變體是通過利用一個名為Aboriginal Linux的開源項目創建的，該項目使交叉編譯過程變得簡單，有效並且基本可以防止故障。值得注意的是，這個開源項目本身沒有任何惡意或錯誤，惡意軟體作者再次利用合法工具來補充他們的創作，這次是通過有效的交叉編譯解決方案。

鑒於現有的代碼庫與優雅的交叉編譯框架相結合，由此的惡意軟體變體更加強大，並與多種架構和設備兼容，使其可在各種設備上執行，包括路由器，IP攝像機，連接設備，甚至是Android設備。例如，圖2顯示了在運行Android 4.4的Android設備上運行的ARM7惡意軟體變體，圖3顯示了在Debian ARM上運行的示例。