建站
咨詢
售后
建站咨詢
新聞中心
ESET的安全研究員發(fā)表了一篇技術(shù)報(bào)告，報(bào)告中詳細(xì)分析了一個(gè)新的蠕蟲Linux/Moose。它的攻擊對(duì)象主要是調(diào)制解調(diào)器、家用路由器和其他嵌入式計(jì)算機(jī)，可將這些設(shè)備變成一個(gè)代理網(wǎng)絡(luò)，然后創(chuàng)建偽造的社交賬號(hào)實(shí)施欺詐行為。
網(wǎng)站建設(shè)哪家好，找創(chuàng)新互聯(lián)！專注于網(wǎng)頁(yè)設(shè)計(jì)、網(wǎng)站建設(shè)、微信開(kāi)發(fā)、小程序設(shè)計(jì)、集團(tuán)企業(yè)網(wǎng)站建設(shè)等服務(wù)項(xiàng)目。為回饋新老客戶創(chuàng)新互聯(lián)還提供了黃山區(qū)免費(fèi)建站歡迎大家使用！
該惡意程序是由Olivier Bilodeau和Thomas Dupuy發(fā)現(xiàn)的，它會(huì)感染基于Linux的路由器和其他基于Linux系統(tǒng)的設(shè)備。如果它發(fā)現(xiàn)有其他的惡意程序和它爭(zhēng)奪路由器的有限資源，會(huì)將其清除，然后繼續(xù)尋找下一個(gè)感染目標(biāo)。
Moose蠕蟲不會(huì)利用路由器上存在的任何漏洞，它只會(huì)攻擊那些配置較低并且還使用弱密碼登錄憑證的設(shè)備。這也意味著不僅僅是路由器會(huì)感染這種蠕蟲，其他的設(shè)備也可能會(huì)感染，甚至是醫(yī)療設(shè)備。
當(dāng)然最受影響設(shè)備還是路由器，涉及的路由器品牌有：Actiontec、Hik Vision、Netgear、Synology、TP-Link、ZyXEL和Zhone。
Moose蠕蟲分析
下圖標(biāo)中列出了Moose的功能：
在對(duì)僵尸網(wǎng)絡(luò)的監(jiān)控中，我們發(fā)現(xiàn)這種惡意軟件可以從熱門的社交網(wǎng)站中竊取未經(jīng)過(guò)加密的HTTP Cookies，并且還可執(zhí)行各種欺詐活動(dòng)……例如“關(guān)注”等。
#p#
下面就是我們從惡意程序所在的代理服務(wù)器上抓取的HTTP請(qǐng)求：
值得我們研究的是服務(wù)器更新機(jī)制是怎樣和HTTPS進(jìn)行連接的。但是它幾乎所有的流量都是通過(guò)HTTPS進(jìn)行加密，所以我們沒(méi)辦法看到攻擊者執(zhí)行的具體操作。
通過(guò)使用HTTPS通信中TLS握手的證書主題字段，我們可以確定目標(biāo)社交網(wǎng)站的域名。
下圖繪制出了某路由器每天向某社交網(wǎng)站發(fā)送的請(qǐng)求：
通過(guò)對(duì)一個(gè)被感染主機(jī)長(zhǎng)達(dá)一個(gè)月的監(jiān)視，我們發(fā)現(xiàn)它的流量主要會(huì)流向下面的社交網(wǎng)站：
Fotki (Yandex)
Instagram (Facebook)
Live (Microsoft)
Soundcloud
Vine
Yahoo
Youtube (Google)
從下圖中可以看出最易成為目標(biāo)的社交網(wǎng)站是twitter、instagram、soundcloud。
在分析時(shí)，我們經(jīng)常問(wèn)自己：難道他們付出了那么大的努力就是為了連接到社交網(wǎng)絡(luò)?當(dāng)然不排除說(shuō)，關(guān)注、點(diǎn)贊、閱讀量等還是有一定的市場(chǎng)的。所以攻擊者也可能是為了賺錢更多的閱讀量或者關(guān)注度而開(kāi)發(fā)的這個(gè)病毒。
Moose蠕蟲還能劫持路由器的DNS，將DNS請(qǐng)求路由到一個(gè)惡意服務(wù)器，竊取未加密的社交媒體cookies，然后再用cookies去關(guān)注虛假賬戶。
研究者們已經(jīng)將該惡意程序的研究代碼全部公開(kāi)了。
防御措施
如果受害者發(fā)現(xiàn)其設(shè)備感染了這一病毒，應(yīng)重啟受害者設(shè)備，然后盡快的更改密碼。然而需要注意的是，攻擊者還是可以通過(guò)已知的受害者訪問(wèn)憑證訪問(wèn)受害系統(tǒng)，因?yàn)閻阂獬绦蛞呀?jīng)知道了目標(biāo)系統(tǒng)的IP地址，并且他們還有很多的方法訪問(wèn)受感染系統(tǒng)的交互式控制平臺(tái)。他們很可能會(huì)人為的訪問(wèn)，這也就意味著系統(tǒng)會(huì)被進(jìn)一步的感染，比如說(shuō)永久修改固件。對(duì)此用戶最好將設(shè)備恢復(fù)出廠設(shè)置，固件升級(jí)，重裝系統(tǒng)，修改密碼。
即使你的設(shè)備沒(méi)有聯(lián)網(wǎng)，也要更改默認(rèn)密碼。如果可以的話，禁用telnet登錄，使用SSH。確保你的路由器不能通過(guò)22(SSH)、23(Telnet)、80(HTTP)、443(HTTPS)網(wǎng)絡(luò)端口進(jìn)行訪問(wèn)。如果你不知道如何測(cè)試你的設(shè)備有沒(méi)有連接這些端口，你可以使用ShieldsUP service from GRC.com的“常用端口”對(duì)系統(tǒng)進(jìn)行掃描，以確保上述的幾個(gè)端口是關(guān)閉的。完整報(bào)告點(diǎn)我!
分享文章：Linux/Moose蠕蟲：操縱路由器“幫你玩”社交網(wǎng)絡(luò)
文章地址：http://m.5511xx.com/article/copieco.html
