怎么攻陷百万台路由器

拽不可一世

作为信息安全行业圣元的领跑者，卡巴斯基实圣元验室一直对各种新兴的圣元威胁保持高度地关注和圣元常见的病毒、木马、蠕[url=http://www.sybaby.com.cn/]圣元[/url见的病毒、木马、蠕虫、间谍软件等，还包括各种黑客使用的用于发动网络攻击的恶意工具。其中，有一种名为“黑色能量”的僵尸程序最为流行，经常被黑客用来发送针对服务器的大规模Ddos攻击。截止到目前，卡巴斯基实验室已经检测到超过4,000种“黑色能量”僵尸程序的变种。2008年中期，恶意软件编写者对此恶意程序的原始版本进行了重要升级，编写出了危害性更强的“黑色能量2代”僵尸程序(卡巴斯基实验室的产品提示为Backdoor.Win32.Blakken)。

　　经过对此恶意程序的不断追踪和研究，卡巴斯基实验室发现“黑色能量2代”僵尸程序之所以颇受黑客的青睐，是由于此恶意程序不仅功能强大，试用性广，而且非常易于部署和管理。“黑色能量2代”僵尸程序支持可升级的插件(附加模块)，使得黑客更容易修改和扩展其功能。黑客可以通过远程控制中心发布命令，实现插件的快速安装和升级。

　　此僵尸程序几个显著的特点：首先，它能够隐藏其恶意代码，避免被反病毒软件检测到。其次，它能够感染系统进程。最后，此恶意程序能够接收僵尸网络命令控制中心(C&C)的指令，在受感染计算机上灵活地进行一系列恶意行为。上述的每种功能都通过此恶意程序的不同模块实现。如下图所示：

　　“黑色能量2代”工作原理图

　　目前，针对该僵尸程序最为常见的插件的功能是进行Ddos攻击(即分布式攻击，其攻击行为会造成受攻击系统瘫痪)。在接受到命令控制中心发送的指令后，大量被“黑色能量2代”感染的僵尸计算机会同时向攻击节点发送错误的数据包，或者仅仅是大量的数据包。从而使得被攻击节点超载，无法处理其他正常的数据请求。“黑色能量2代”僵尸程序还支持采用多种协议发送数据包。

　　此外，“黑色能量2代”僵尸程序的插件并不是可执行文件(.exe)。所有插件都是直接被加载到受感染计算机上。这表明，这类恶意插件并不会利用传统的大规模传播手段和技术进行传播，使得反病毒软件厂商在一定时期内可能无法接触到和查杀此类插件。而且，插件所具有的功能正是网络罪犯所需要的。也正是通过插件，此僵尸程序实现了各种恶意功能，感染了更多的计算机。”

　　不仅如此，“黑色能量2代”僵尸程序的功能并不仅仅局限于发动Ddos攻击。目前，恶意软件编写者已经开发出能够窃取银行认证信息以及通过点对点网络传播恶意程序的插件。现在还很难预测这些僵尸网络的运营者未来将如何利用这些僵尸网网络安全顾问Seismic工程师Craig Heffner计划于本周六(7/24)登场的美国黑帽大会上，展示如何透过存在已久的DNS重新绑定(DNS rebinding)技术攻击全球数百万台的路由器，届时也将发表自动攻击工具。

　　Heffner预计演说的主题为“如何入侵数百万台路由器”，发表时程为下周四(7/29)。他认为很多的路由器都能藉由DNS重新绑定漏洞进入内部的管理界面，同时强调相关的攻击与既有的DNS重新绑定技术不同，黑客不需要对路由器有太多的了解，包括制造商、型号、内部IP位址或主机名称等，而且也不用仰赖任何DNS反锁技术来绕过DNS重新绑定的保护机制。

　　一般而言嵌入在特定网页中的程序仅限于在该网页上执行，但所谓的DNS重新绑定则可颠覆此一相同来源策略，让恶意程序可渗透到私有网络。

　　Heffner将在该场会议上发表一攻击工具，该工具可执行自动化攻击，包括攻击家用路由器中的漏洞，或以预设的凭证登入，允许外部的黑客即时浏览被黑路由器的网络界面，就像黑客直接位于被黑电脑网络上一样，届时他将现场展示如何自远端取得Verizon FIOS路由器的root shell权限。

　　目前确定被Heffner所采行的方法与工具所影响的路由器品牌包括Linksys、Belkin、ActionTec、Thompson、Asus及Dell等，以及其他采用第三方韧体的产品，诸如OpenWRT、DD-WRT与PFSense等。络。但是，对于恶意软件编写者来说，编写一个插件，然后将其下载到受感染计算机中并不困难。所以，如果他们想要利用这些僵尸网络从事恶意行为，非常容易实现。

　　所以，当前对此恶意程序的插件的发展动向进行监测非常必要。卡巴斯基实验室将密切关注“黑色能量2代“僵尸程序的最新插件，追踪该恶意程序的发展，并且及时将最新研究结果发布。