九游老哥云
新型IoT机顶盒恶意软件Rowdy网络剖析报告
2017-10-13
执行摘要
2017年8月 ，九游老哥科技DDoS态势感知平台监控到某客户的网络带宽流量保存异常情形 ，经剖析确认是DDoS攻击事务。攻击类型多样 ，包括TCP Flood、HTTP Flood、DNS Flood等。通过对攻击源IP举行溯源 ，发明攻击来自有线电视的终端装备--机顶盒 ，然后提取了相关样本 ，进一步剖析其攻击行为特征。
· 撒播机制
九游老哥科技在8月捕获的这个样本 ，经太过析发明它一旦植入机顶盒 ，就连忙扫描 ，发送大宗的数据包 ，并一直的与C&C控制服务器通讯 ，凭证样本的这个特征 ，九游老哥科技将其命名为Rowdy。在通过对Rowdy样本的剖析中 ，发明其功效及行为特征与物联网恶意软件Mirai极为相似。
2016年10月 ，美国域名剖析服务提供商Dyn公司受到强力DDoS攻击 ，导致美国遭受大面积的网络瘫痪 ，许多着名网站无法上岸。事后确认 ，攻击流量泉源之一是熏染了Mirai僵尸的物联网装备 ，以摄像头装备为主。这是第一次大规模的物联网装备组成的僵尸网络提倡的DDoS攻击。
经由比照发明 ，Rowdy其bot上线方法与Mirai相同 ，ddos攻击代码一致 ，代码结构基本无转变 ，基于这些特征已经可以确定 ，Rowdy样本是Mirai物联网恶意软件的变种 ，虽然入侵方法同样是破解装备弱口令 ，但接纳加壳步伐举行自我�；� ，并接纳一定的算法隐藏C&C控制服务器地点 ，通讯端口1992。
这里需要各人亲近关注的是 ，Mirai恶意软件经由刷新后 ，实现了从摄像头等视频监控系统向机顶盒物联网装备的跨越 ，这无疑大幅度扩展了其撒播规模。九游老哥科技的专家随即对Rowdy物联网恶意软件的撒播举行了跟踪剖析 ，以求评估其影响规模。
· 影响规模
经由评估发明 ，Rowdy在短短数月时间已经形成了规模不小的Bot僵尸网络 ，熏染的装备涉及海内5家厂商。海内的机顶盒使用量有多大 ？据国家统计局2月份宣布的《中华人民共和国2016年国民经济和社会生长统计公报》显示 ，该装备现适用户抵达2.23亿户 ，同时据奥维云网《2017年中OTT运营大数据蓝皮书》显示 ，该装备现适用户抵达2.4亿台。云云重大的网络 ，一旦被Rowdy快速渗透 ，带来的效果不堪设想。
在跟踪视察中发明 ，Rowdy-Bot僵尸网络已经最先向外提倡DDoS攻击 ，我们监控到的海内受控制僵尸主机已达2000多台 ，其中东南部沿海地区为重灾区。详见 下一章《Rowdy僵尸网络剖析》。
Rowdy僵尸网络所控制的机顶盒数目若是抵达一定量级 ，它所发动的DDoS攻击能量将远超Mirai僵尸网络 ，毫无疑问将对互联网服务造成重大破损。幸运的是 ，在九游老哥威胁情报中心NTI、九游老哥DDoS全球态势感知平台ATM以及九游老哥抗拒绝服务系统ADS联动下 ，实时检测并截获到这个最新的物联网僵尸网络 ，并将该情形实时通知客户 ，从而在其萌芽阶段举行了有用处置惩罚。
· 报告内容
为了让各人小心Rowdy-Bot僵尸网络及厥后续可能泛起的DDoS攻击威胁 ，本篇报告详细剖析了Rowdy-Bot僵尸网络及Rowdy物联网恶意软件 ，并对其举行预警。在报告中 ，您可看到Rowdy-Bot僵尸网络的熏染方法和影响规模 ，并可以看到攻击者画像。相关机顶盒及更大规模的物联网装备厂家 ，请务必仔细阅读本报告中手艺性剖析 ，并实时安排清静装备和更新清静规则 ，检测和防护Rowdy-bot僵尸网络 ，对后续可能引起的攻击举行防护。若是您需要快速获取Rowdy物联网恶意软件IoC信息 ，请直接查阅本报告附录部分。
Rowdy僵尸网络威胁情报
Rowdy僵尸通过自动化扫描方法撒播熏染 ，组成整个僵尸网络。首先 ，会对目的装备举行扫描 ，使用内置用户名/口令字典 ，实验登录Telnet服务。然后 ，便通过装备的busybox工具下载并执行恶意病毒程序。
Rowdy样本支持多个平台 ，包括x86、ARM、MIPS。僵尸网络能发动多种DDoS攻击类型 ，包括 HTTP Flood、SYN Flood、UDP Flood、DNS Flood、ACK Flood、VSE Flood、GRE IP Flood。组成僵尸网络的装备均为上网出口装备 ，因此该僵尸网络具备提倡大规模、大流量DDOS攻击的能力。
Rowdy样本植入方法和攻击行为与Mirai极为相似 ，经由代码层面的详细剖析 ，二者照旧保存着差别。相同点和差别点 ，如下表所示。
|
比照项目 |
Mirai样本 |
Rowdy样本 |
|
运行平台 |
全平台 |
全平台 |
|
撒播 |
telnet弱口令破解 |
telnet弱口令破解 |
|
排他性 |
√ |
× |
|
远程下载文件 |
√ |
√ |
|
隐藏历程 |
√ |
× |
|
监听端口 |
48101 |
1992 |
|
C&C控制服务器 |
硬编码存储 |
经由盘算得出 |
|
DDoS攻击能力 |
√ |
√ |
|
自身�；� |
× |
加壳 |
|
植入工具 |
busybox |
busybox |
解决计划建议
· 外地蠕虫网络的检测
为了避免Rowdy样本在网络中一连扩散造成影响 ，以及僵尸网络对外提倡DDoS攻击消耗营业带宽 ，我们建议尽快对外地网络终端的Rowdy僵尸主机举行检测和整理 ，并修改装备口令。
使用网络清静装备检测或者扫描工具自动扫描都可以发明并定位可疑终端。入侵检测装备对网络流量一连检测 ，可以发明受Rowdy蠕虫熏染的网络终端；扫描工具对网络举行端口扫描 ，对开放1992端口的装备扫描定位 ，确认熏染终端后举行整理。
· DDoS防护
从上文对Rowdy物联网恶意软件的剖析中可知 ，受Rowdy熏染的僵尸网络具备提倡多种重大DDoS攻击的能力。当遭受此类攻击时 ，可以通过安排外地或者云端的抗拒绝服务系统举行流量洗濯。九游老哥科技的DDoS防护专家指出有用防护DDoS攻击需要思量以下三部分 ，并凭证现实攻击场景举行组合：
结语
Rowdy僵尸网络处在萌芽阶段就被发明 ，获得实时有用的处置惩罚 ，这得益于有关部分的应急处置惩罚 ，并获得九游老哥威胁情报中心NTI、九游老哥DDoS全球态势感知平台ATM以及九游老哥抗拒绝服务系统ADS联动监控支持。
虽然Rowdy僵尸网络被阻止了 ，可是类似的物联网僵尸网络一定会再次泛起。物联网装备 ，包括摄像头、路由器、智能电视、机顶盒、智能家居和可衣着装备 ，只要接入互联网 ，就有可能成为攻击者的潜在目的。攻击者使用保存误差的物联网装备 ，尤其是缺省弱口令的装备 ，组成重大的僵尸网络 ，为其发动大规模DDoS攻击做准备 ，威胁互联网清静。
Rowdy僵尸网络的发明 ，是对清静厂商和物联网装备提供商的又一次预警。
