九游老哥云
超大规模的物联网僵尸网络：Pink
2021-10-21
内容摘要
以下为正文
一、概述
2019年12月，凭证清静社区提供的线索，我们发明了一起大规模的物联网清静事务。多方团结的剖析与定位效果显示，此次事务中，黑客通过入侵某网络运营商的家庭用户装备并植入恶意程序，一连地使这些装备酿成新的僵尸节点，进而构建起了一个超大规模的僵尸网络。凭证所涉运营商和装备厂商的起源评估，被黑客入侵并控制的装备数目凌驾百万，其中96%以上的受害者漫衍在中国境内。这次攻击事务中受控的装备数目特殊重大，是历史上已果真领域内的规模最大的物联网僵尸网络。
运营商的家庭用户装备在设计、研发、制造等阶段，需要采购第三方组件，以完成产品功效。由于程序设计不严谨、清静测试不充分等缘故原由，有些组件含有软件或硬件缺陷。这些缺陷在没有袒露之前，叫做0-day误差或零日误差（没有袒露——0-day，袒露1日——1-day，袒露多日——N-day）。此次事务中，黑客就是使用了装备生产供应链中的某些组件的0-day误差，入侵了多个品牌的家庭网关类装备，并在装备上植入了恶意程序。由于在该恶意程序的二进制逆向效果中，多次泛起“pink”字符，以是我们将其命名为Pink。
Pink恶意程序从功效上可以划分为3个�？椋褐踩搿⒆ち簟⒖刂�。当Pink恶意程序被植入装备并运行后，它会自动封堵装备的自动升级通道，大大增添了应急处置惩罚和在线修复的难度，危害水平极高。通过对该事务的深入剖析，我们以为，此次攻击事务已经凌驾了僵尸网络的领域，是一次高级定向攻击事务：
1、高级性：在一样平常的僵尸网络攻击中，黑客会使用许多通用型的误差，以期最普遍地笼罩差别类型、差别品牌、差别固件的在线装备。可是在此次事务中，黑客挖掘了运营商的特定装备、特定固件的0-day误差（挖掘特定装备的误差，通常比挖掘通用型的误差难堪多），仅使用0-day误差入侵这些特殊装备，并且没有增添其他误差用于更普遍的扩散熏染；
2、定向性：此次事务中泛起的0-day攻击是针对特定品牌的宽带装备设计的，这些装备主要被提供到华北、东北地区，其中北京地区装机量最大。这些装备作为未来家用物联网控制焦点，主要性不言而喻。因此我们判断，Pink背后的黑手是有目的性地选择攻击目的，这是高级定向攻击的主要判断依据；
3、定制性：在一样平常的僵尸网络攻击中，黑客会制作适配X86、ARM、MIPS等多种处置惩罚器架构的恶意程序，以确保能够最普遍地熏染差别的装备。可是在此次事务中，Pink恶意程序仅能适配MIPS架构，而它正是被入侵控制的装备所接纳的处置惩罚器架构；
4、长期性：在一样平常的僵尸网络攻击中，攻击者通常在误差使用阶段修改crontab准时使命，以实现恶意程序的长期化。可是在此次事务中，Pink恶意程序自己通过修改固件，完成Rootkit来包管自身恒久保存于装备中，这是极为有数的、难度很高的驻留方法，这也是Pink属于高级定向攻击的主要判断依据；
5、潜在性：在我们的一连监测历程中，并未发明Pink有任何外部扫描攻击行为，因此其攻击运动是以特定目的举行的，而通例僵尸网络运动则带有大规模的扫描和探测能力，追求短时间内控制大宗装备； Pink恶意程序中，也没有泛起任何已知的恶意软件的代码复用行为，在厂商治理后，Pink不再举行更新，这也批注晰攻击者更愿意隐匿自身，这与僵尸网络开发者被宣布后有意炫耀并一连活跃有实质的区别。
二、影响规模
凭证NetFlow监测、自动探测等多个维度的数据测算，Pink僵尸网络一经毗连的IP地点数目凌驾五百万。通过对这些IP地点的定位数据举行统计发明，这些IP主要是某运营商的家庭用户地点。然而家庭用户的IP地点是动态分派的，IP背后已熏染装备的真实规模无法被准确预计。2020年头的监测数据显示：在不到1分钟的时间内，向控制服务器C2提倡毗连的熏染端IP数凌驾百万。另据所涉运营商和装备厂商的起源评估，被黑客入侵并控制的装备数目在数百万级。综上，依据多方自力的丈量效果，我们认定Pink僵尸网络控制的节点数目在其峰值期凌驾百万。
凭证熏染IP地点的定位数据，被熏染装备主要位于北京（18.8%）、山东（16.4%）、山西（12.6%）、浙江（12.3%）等，境内漫衍如图1所示。
图1 Pink僵尸网络境内熏染IP漫衍
三、手艺剖析
经由恒久的跟踪研究，我们发明Pink是一个融合了多种对抗手艺的僵尸网络。装备被植入恶意程序Pink后，攻击者通过点对点（P2P）和下令控制（CNC）两种方法对Pink举行控制和治理。
Ø 对时效性要求不高的设置治理指令，通过P2P的方法分发；
Ø 对时效性要求较高的攻击控制指令，通过CNC方法集中分发。
3.1 设置治理
关于每一个被控的僵尸节点（Bot）来说，最主要的一步是找到治理员并吸收指令，而治理员的信息就包括在“设置”之中。下面是最新截获的设置信息：
图2 Pink僵尸网络设置信息表
其中，
（1）verify 字段为指令宣布的时间戳，Bot会凭证这个时间戳筛选出最新的有用指令；
（2）cncip 和 cncport 字段指明晰僵尸网络的最新CNC地点，攻击者会凭证自身需求随时切换这个控制地点；
（3）dlc/dl和 dlc1/dl1 字段组为最新的Pink样本更新地点，其中dlc和dlc1为对应内容的Hash校验字段；
（4）sd0/sdp0字段为清静DNS地点，关于每一个Bot来说，当需要盘问DNS剖析纪录时，将通过这里指定的DNS服务来盘问，且方法为DNS-Over-HTTPS；
（5）srvk字段为服务端的公钥内容（base64编码）。关于每一个bot来说，它和CNC的通讯都是加密的。以是现实通讯前要先经由椭圆曲线迪菲-赫尔曼（ECDH）密钥交流获得一个唯一的私钥。在这里指定了CNC端的公钥后，还可以顺带完成了Bot对CNC身份的验签。这是对原有 ECDH 密钥交流的扩展使用；
（6）pxy字段，推测是一个署理上线的选项，现在没有看到使用迹象。
设置信息是这个僵尸网络的焦点，它包管了攻击者对僵尸网络的绝对控制能力。为了避免其他人发明设置信息，转达的设置信息都是异或加密过的密文。为了避免他人伪造，攻击者还用椭圆曲线数字署名算法（ECDSA）对设置信息举行了署名。
除了包管设置信息的神秘性和完整性外，攻击者还使用了多种手段来分发设置信息，以确保其可用性：
（1）通过集中的方法分发设置信息。将设置信息加密后，通过Github、百度贴吧等果真网站注册用户，以及内置的域名cnc.pinklander.com来分发设置信息；
（2）通过 P2P 方法分发设置信息： Pink运行后会在被入侵的装备外地开启端口监听，相互举行广播和分发设置信息。
3.2 攻击控制
上节设置信息中的 cncip1 和 cncport1 即是攻击者现实使用的主控节点。Pink 毗连到 CNC服务器后，将通过密钥交流的方法加密通讯，传输控制指令。通过恒久的跟踪和监测，我们发明Pink 指令具有富厚的控制能力，详细包括：
3.3 驻留手法图3 Pink的控制能力
Pink在侵入目的装备后，第一时间修改系统固件，在init.d剧本中添加启动项，启动Loader�？�，该�？槿险嬖谧氨钙舳蟾律柚梦募�，下载最新的Bot程序。Loader�？橥ü訲r69c程序文件的删除和对应历程的操作，阻止运营商通过该程序升级系统固件、下发治理工具。这里诠释一下，Tr69c程序文件是运营商为了在治理侧自动下发指令，从而治理装备的详细实现程序，是具有高权限和未果真的程序。通过研究Pink的驻留手法，我们能够体会到，攻击者对运营商运行机制及目的装备特征有相当水平的相识。
3.4 流量挟制和改动
Bot程序在内核态实现了流量的转发和挟制改动。其通过使用mangle表，将装备中经由80端口的流量转发到由netfliter框架实现的数据包处置惩罚逻辑中，该框架是内核操作级别的流量处置惩罚框架，攻击者通过它提供的回调例程修改http流量。Bot也可以通过该框架实现中心人能力，挟制通讯双方的会话，强制用户会见网站或浏览特定信息，并向外隐藏用户侧的异常网络体现，窃取通讯双方交流的主要信息如密钥等。上述能力均可以在通讯双方不知情的情形下完成，危害重大。在此次攻击事务中，攻击者已经展示出该功效的伪装使用要领，在页面指定位置投递广告信息。
3.5 署理能力
Bot程序提供了Socks5署理的功效，通过自界说算法天生用户名密码，并自动开启端口以吸收新的毗连。Socks5的署理实现复用了libev库，简化了shadowsocks-libev的代码。通过将装备署理化，攻击者拥有了数百万的动态IP池。这里诠释一下，由于IP资源紧缺，家庭宽带出口IP是动态转变的，且均属于小我私家用户资源，若是攻击者使用这些IP资源提倡网络战，防御方无法通过封堵步伐完成防御，且短时间内无法恢复。常用的抗DDoS装备也无法施展作用，攻击者可以无限制的使用这些真实IP提倡攻击。
3.6 追踪Pink
在熏染装备上提取到的恶意程序毗连的CNC地点为：cnc.pinklander.com，2019年12月捕获时，其剖析IP为：110.18.61.36，2020年1月剖析IP为：45.77.198.232。
捕获到的恶意文件下载地点及文件hash如下：
四、处置惩罚和建议
鉴于该僵尸网络的规模和影响，我们发明该事务后，已第一时间转达给涉事网络运营商和相关主管部分，并联系装备厂商，协助处置惩罚息争决受影响的装备。黑客在与清静职员的对抗中，展现出了极强的针对性和专业性：首先黑客入侵装备后，会通过刷写固件等方法获得装备的绝对控制权，甚至让装备厂商预留的治理端口也失效，而只能去现场解决；其次，黑客还建设起重大的加密通道来分发设置治理和攻击控制指令，从而逃避监测。经由清静职员与黑客的多轮对抗，阻止2020年7月，绝大部分被入侵的装备已被修复。以后，通过1年多的一连监测，我们发明现在仍保存少量无法远程修复的装备在现网运行，并且攻击者还在一连地探索其他装备厂商的0-day误差。在清静社区的攻击之下，Pink的规模已经从特大型（凌驾百万节点）缩减到大型（约十万节点，漫衍在多个国家、涉及多家装备厂商），且现在仍然活跃。
我们的威胁情报显示，物联网0-day误差正在被黑客用来入侵形形色色的网络装备。随着万物互联时代的到来，物联网装备已经成为黑产组织甚至高级一连性威胁（APT）组织的主要目的。虽然Pink是迄今为止发明的规模最大的僵尸网络，可是它绝对不会是最后一个。以Pink为代表的超大规模僵尸网络是黑客组织实现千般妄想的有力的基础设施，我们在评估僵尸网络带来的危害时，不但要搞清晰黑客已经通过僵尸网络做了什么，更要展望到僵尸网络未来可能被用于做什么，这样才华在威胁来暂时从容应对。我们将亲近关注黑客手艺希望及黑客组织动向，深入研究超大规模僵尸网络的机理特征，一连揭破僵尸网络的潜在危害。
