“红遍全球”的恶意软件 Mirai 换了个新马甲，这次瞄上我国2亿多台IoT设备

在一年前的今天（2016.10.21），美国发生了一起规模极大的互联 瘫痪事故，多个城市的主要 站被攻击，人们发现连经常登录的推特、亚马逊、Paypal 等在内的大量 站连续数小时无法正常访问。

事后查明，一种名为“Mirai”的恶意程序，通过扫描智能摄像头，尝试默认通用密码（比如懒人经常设置的123456、admin……）进行登录操作，一旦成功即将这台物联 设备作为“肉鸡”纳入到僵尸 络里，进而操控其攻击其他 络设备，当控制的设备达到一定数量级后，进行 DDoS 攻击。

换个马甲，我们依然认识你

不同于以往的是，在这起事件中，“肉鸡”不再是 PC 电脑，而是已经大规模普及的物联 设备—“智能摄像头”。而这之后，Mirai 不断在全世界留下新的“犯案”记录，连续发动了针对新加坡、利比里亚、德国等的DDoS攻击。

对于这次 络大瘫痪，雷锋 也曾撰文分析《僵尸 络新世界：摄像头的背叛和战争》，其中就曾提到 Mirai 的攻击源码被发布后可能造成的严重后果。

这个病毒专门用于控制众多品牌的摄像头。在 Mirai 的攻击源码被发布到 络之后，各大安全厂商迅速查杀，但是这个病毒的代码也迅速被各路黑客改写，成为变种继续在 络中生存。

这像极了现实世界中我们和病毒的对抗。每当一种新药研制成功，就可以杀死大部分的病毒，但是总有以下部分存活下来，适应了新的药物，从而成为变种，更难被杀死。

就在最近，“Mirai”的新变种就被发现，只不过，这次的攻击载体由摄像头变为了电视机顶盒，而且攻击目标在中国，数量多达2亿多台。虽然入侵方式同样是破解设备弱口令，但采用加壳措施进行自我保护，并采用一定的算法隐藏C&C控制服务器地址，绑定端口1992，绿盟科技将其命名为“Rowdy”。

Mirai 和其变种 Rowdy 的样本对比

经过对比发现，Rowdy 其bot上线方式与 Mirai 相同，ddos攻击代码一致，代码结构基本无变化，基于这些特征已经可以确定，Rowdy 样本是Mirai物联 恶意软件的变种。

据绿盟科技安全顾问透露，Rowdy-Bot僵尸 络已经开始向外发起DDoS攻击，目前监控到的国内受控制僵尸主机已达2000多台，其中东南部沿海地区为重灾区。

经过评估发现，Rowdy在短短数月时间已经形成了规模不小的Bot僵尸 络，感染的设备涉及国内5家厂商。据国家统计局2月份发布的《中华人民共和国2016年国民经济和 会发展统计公 》显示，该设备实际用户到达2.23亿户，如此庞大的 络，一旦被Rowdy快速渗透，带来的后果不堪设想。

根据分析，Rowdy僵尸 络的C&C控制服务器，IP地址为185.47.62.133，地理位置位于荷兰。僵尸主机与C&C控制主机通讯端口为8716。据关联分析，C&C控制服务器与僵尸主机通讯协议为TCP协议，通讯包字节基本都在80~90字节之间。

Rowdy僵尸通过自动化扫描方式传播感染，构成整个僵尸 络。首先，会对目标设备进行扫描，利用内置用户名/口令字典，尝试登录Telnet服务。然后，再通过设备的busybox工具下载并执行恶意病毒程序。

目前来看，Rowdy样本支持多个平台，包括x86、ARM、MIPS。僵尸 络能发动多种 DDoS 攻击类型，包括 HTTP Flood、SYN Flood、UDP Flood、DNS Flood、ACK Flood、VSE Flood、GRE IP Flood。组成僵尸 络的设备均为上 出口设备，因此该僵尸 络具备发起大规模、大流量 DDoS 攻击的能力。

为啥黑客频频盯上物联 设备，连洗碗机都不放过！

无论是去年的“Mirai”还是最近的“Rowdy”，越来越多的物联 设备成为了黑客攻击的目标。

在今年初，外媒 TheRegister 就曾 道过德国的一个百年家电品牌 Miele 的一款洗碗机存在漏洞，该设备其实主要作为医疗设备使用，用于实验室和手术器械消毒。

很多人好奇，为何这样一款设备要连接 络？Miele 的产品页上有提到，这台设备连接局域 是为了生成文本 告。

这台设备的 web 服务器漏洞编 为 CVE-2017-7240，此漏洞可导致未经授权的入侵者访问web服务器的任意目录，攻击者可以从中窃取敏感信息，甚至植入自己的恶意代码、让web服务器执行这些代码。

美国去年在互联 “大瘫痪”后曾紧急出台过一个《保障物联 安全战略原则》，其中提出，物联 制造商必须在产品设计阶段构建安全，否则可能会被起诉！以此来强制厂商提高对安全问题的重视。

从技术角度来讲，真实的物联 设备都采用了真实的 IP，作为安全厂商来讲，我们很难把设备IP和真实的用户区分开，所以检测时会花费更多的时间。

与此同时，物联 设备基本上是长期在线的，它不像我们的PC还会有关机和开机的时候，所以随时都可以攻击，为黑客提供了便利。

还有就是捕获手段非常简单，可以在短时间内大量组织起来发动 DDoS 攻击的设备。只要设备搭载了相关的操作系统，并且能够联 ，那么黑客就可以入侵操作系统，让这台设备去干些什么。

那为什么物联 设备的捕获手段会比较简单呢？

应当如何防范？

虽然由于及时发现，Rowdy僵尸 络被有效遏制了，但类似的物联 僵尸 络一定会再次出现。物联 设备，包括摄像头、路由器、智能电视、机顶盒、智能家居和可穿戴设备，只要接入互联 ，搭载了相关操作系统，就有可能成为攻击者的潜在目标。攻击者利用存在漏洞的物联 设备，尤其是缺省弱口令的设备，组成庞大的僵尸 络，为其发动大规模DDoS攻击做准备，威胁互联 安全。

其实利用缺省口令进行攻击并不是一种高难度的攻击，绿盟科技安全顾问建议，

对于厂商来说，需要在生产的过程当中，就对固件进行保护，以路由器的内置密码为例，厂商一定要注意不要使用类似123456这样的弱口令，而是要用数字、字母、特殊符 等更复杂的口令。而且密码不能以明文的形式，要做一些加密处理。发现了相关的漏洞，及时跟安全厂商联系，快速的更新，替换。

对于购买了 IOT设备的普通的用户，及时的去查看官 ，更新固件。此外，需要遵守设备安装手册，按照要求修改默认密码。以防IOT设备变成 络僵尸。

针对DDoS攻击防护建议

受Rowdy感染的僵尸 络具备发起多种复杂DDoS攻击的能力。当遭受此类攻击时，可以通过部署本地或者云端的抗拒绝服务系统进行流量清洗。