【安全资讯】Pink:超大规模的物联网僵尸网络

安恒威胁情报中心 2021-10-23 14:23:44 329人浏览

引言

2019年12月,研究人员发现了一起大规模的物联网安全事件。黑客通过入侵某网络运营商的家庭用户设备并植入恶意程序,持续地使这些设备变成新的僵尸节点,进而构建起了一个超大规模的僵尸网络。在逆向该恶意程序的过程中多次出现“pink”字符,所以将其命名为Pink僵尸网络。这次攻击事件中受控的设备数量特别巨大,是历史上已公开领域内的规模最大的物联网僵尸网络。

 

简况

运营商的家庭用户设备在设计、研发、制造等阶段,需要采购第三方组件,以完成产品功能。由于程序设计不严谨、安全测试不充分等原因,有些组件含有软件或硬件缺陷。这些缺陷在没有暴露之前,叫做0-day漏洞或零日漏洞(没有暴露——0-day,暴露1日——1-day,暴露多日——N-day)。此次事件中,黑客就是利用了设备生产供应链中的某些组件的0-day漏洞,入侵了多个品牌的家庭网关类设备,并在设备上植入了恶意程序。因为在该恶意程序的二进制逆向结果中,多次出现“pink”字符,所以将其命名为Pink。

PinkBot是一个同时融合了“P2P”和“CNC”的混合结构僵尸网络。一般情况下,它将时效性要求不高的指令(如管理配置信息)通过P2P的方式传递,将时效性要求较高的指令通过CNC模式集中分发。


Pink恶意程序从功能上可以划分为3个模块:植入、驻留、控制。当Pink恶意程序被植入设备并运行后,它会主动封堵设备的自动升级通道,大大增加了应急处置和在线修复的难度,危害程度极高。通过对该事件的深入分析,研究人员认为此次攻击事件已经超出了僵尸网络的范畴,是一次高级定向攻击事件。

 

除了保证配置信息的机密性和完整性外,攻击者还使用了多种手段来分发配置信息,以确保其可用性:

  1. 通过第三方服务分发配置信息:通过 BTC+GITHUB 分发配置信息、通过某中文社区分发配置信息;
  2. 通过 P2P 方式分发配置信息:P2P-Over-UDP123 分发配置信息、通过 P2P-Over-TCP 分发配置信息;
  3. 通过 CNC 分发配置信息。

 

PinkBot 指令具有丰富的控制能力,包括:

  • 文件下载
  • 系统命令执行
  • DDoS攻击(HTTP攻击和 UDP 攻击)
  • 扫描功能(扫描的具体内容可以通过指令设置)
  • 汇报设备信息(CPU/系统类型/内存信息/系统版本/硬件信息)
  • 自身更新(将新版本保存到 /tmp/client 后运行)
  • P2P节点列表同步(直接推送一组P2P节点到Bot)
  • http报文注入广告(在受害设备上,嗅探交互报文,遇到http网页时,插入广告js脚本)
  • 启动sock5代理服务(在Bot端架设 Socks5 代理服务,账号密码通过指令设置)
  • 下载文件并执行
  • 停止攻击
  • 重置watchdog

 

影响范围

根据NetFlow监测、主动探测等多个维度的数据测算,Pink僵尸网络曾经连接的IP地址数量超过五百万。通过对这些IP地址的定位数据进行统计发现,这些IP主要是某运营商的家庭用户地址。然而家庭用户的IP地址是动态分配的,IP背后已感染设备的真实规模无法被精确估计。

 

2020年初的监测数据显示:在不到1分钟的时间内,向控制服务器C2发起连接的感染端IP数超过百万。另据所涉运营商和设备厂商的初步评估,被黑客入侵并控制的设备数量在数百万级。综上,依据多方独立的测量结果,研究人员认定Pink僵尸网络控制的节点数量在其峰值期超过百万。

 

根据所涉运营商和设备厂商的初步评估,被黑客入侵并控制的设备数量超过百万,其中96%以上的受害者分布在中国境内。根据感染IP地址的定位数据,被感染设备主要位于北京(18.8%)、山东(16.4%)、山西(12.6%)、浙江(12.3%)等

 

总结

物联网0-day漏洞正在被黑客用来入侵形形色色的网络设备。随着万物互联时代的到来,物联网设备已经成为黑产组织甚至高级持续性威胁(APT)组织的重要目标。虽然Pink是迄今为止发现的规模最大的僵尸网络,但是它绝对不会是最后一个。

Pink 僵尸网络Botnet 物联网IOT
    0条评论
    0
    0
    分享
    安恒威胁情报中心专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。