Gafgyt新变体威胁超3万台路由器，某国内大厂遭殃

vmVdiwns

IOT设备的集体“叛变”，或许会置人于尴尬处境。比如，电影《终结者:黑暗命运》里就描述了这样的场景：

一个名为军团的人工智能防御系统被制造出来，它拥有极强的学习能力，并且控制着全球70%以上的核武和人形兵器。
很快，它通过自我进化得出一个结论——消灭人类才是终止战争的唯一办法。于是，这些究极IOT产品彻底发狂，末日之战拉开序幕。
+ Z0 t- k* S% i4 r3 N5 Y

▲《终结者：黑暗命运》中REV-9机器人正入侵军事网络

1 n, }: ]' P; N+ i尽管不知道未来是否会有军团这样的东西存在，但现在已经有不少类似的僵尸网络，它们会进化、会想方设法操控每一台主机，打造自己的“反叛军团”。
1 i7 P" W1 d' D1 v0 O2 `10月31日，研究人员发布报告称，已经检测到一种最新的Gafgyt僵尸网络变体。该变体针对的是Zyxel、华为和Realtek在内的32000个小型办公室和家庭无线路由器中的缺陷，可以降低此类产品网络连接通畅性，并大幅削弱登录服务时的安全性。
+ \9 n+ |8 V" J

$ O; f- B( S0 ~7 [! k0 XGafgyt僵尸网络“进化史”
: I9 Y/ [0 |) n! H7 }Gafgyt于2014年首次被发现。从那时起，它就以大规模的分布式拒绝服务攻击而闻名，它的许多变体已经开始针对跨行业企业的一系列产品。
! |, Z& Y6 K! }8 e从2016年开始，网络安全公司Zingbox的研究人员就注意到，无线路由器是所有组织中最常见的IoT设备之一，并且是IoT僵尸网络的主要目标。
2 q& a' R  U9 Q7 d, w) G& R6 ~  `这期间，Gafgyt僵尸网络已经完成了多轮“进化”：
4 D+ V8 y( C* N) U% R

2014年8月，索尼PSN遭受来自Gafgyt家族的DDoS攻击，以至完全瘫痪，黑客组织LizardSquad声称对此次事件负责。
同年12月，LizardSquad再次利用该家族对微软Xbox Live发动DDOS攻击，致使数百万游戏玩家无法连接到游戏服务器。
9 n5 [; F1 u- M( e2015年1月，Gafgyt家族的源代码被公开，其源码仅由一个.c文件构成，共计1600+行代码（含telnet扫描模块及弱口令字典）。
此后，各黑产从业者开始以该家族为基础开发大量变种（如Bashlite、Qbot、Tsunami等），使原本只属于LizardSquad的攻击痕迹得到隐藏。
6 [2 e% W2 u: J/ {, J. n

僵尸网络攻击时，可能会降低网络和IP地址的可信度。僵尸网络利用漏洞而不是尝试通过不安全的服务登录来访问连接的设备。因此，即使企业管理员禁用了不安全的服务并使用了强大的登录凭据，僵尸网络也可以更轻松地在IoT设备中传播。


进击的Gafgyt家族新变体
: [3 b5 x: a" l( d9 A最新检测到的Gafgyt变体是JenX僵尸网络的竞争对手。JenX利用远程代码执行漏洞来访问和招募僵尸网络来攻击游戏服务器（尤其是那些运行Valve Source引擎的服务器）并发起拒绝服务（DDoS）攻击。
7 E, @0 @: g, A* z; O; E5 ~$ IGafgyt使用三个“扫描程序”来尝试利用上述路由器中的已知远程代码执行攻击。这些扫描程序替代了其他物联网僵尸网络所采用的典型“字典式”攻击，这些攻击通常旨在通过不安全的服务来破坏连接的设备。
% L, x5 U. i- F$ E! r, P该漏洞被设计为用作二进制删除程序，根据要感染的设备类型从恶意服务器中提取相应的二进制文件。Zingbox研究人员在一篇博客文章中写到，新的Gafgyt变体可根据从口令和控制服务器收到的命令，同时执行不同类型的DDoS攻击。

5 L5 B) E* d( n  E- N4 X  `+ K: C这种新的Gafgyt变体针对三种无线路由器中的漏洞，其中两种与JenX相同——两者共享CVE-2017-17215（在华为HG532中）和CVE-2014-8361（在Realtek的RTL81XX芯片组中），CVE-2017-18368（在Zyxel P660HN-T1A中）则是Gafgyt的新增功能。
Zingbox威胁情报副总监Jen Miller-Osborn称，Gafgyt是根据JenX僵尸网络代码开发的，这也突出显示黑客在该范围内构建僵尸网络的兴趣。
“Gafgyt的这种演变表明，有一群人正在努力更新这些僵尸网络，他们会将最新的漏洞同步到僵尸网络之中，并以此强大其阵容。”他说道。


游戏服务器躺枪
最新的Gafgyt变体可以执行一种名为Vaf的有效载荷DDoS攻击。这可以用于攻击运行Valve Source Engine的游戏服务器，使得游戏进入宕机状态。
Valve Source Engine是运行《半条命》、《军团要塞2》等游戏的引擎，这些游戏的受众玩家已达到数百万人，一旦服务器宕机，游戏公司将面临大范围的用户投诉。
/ Z- Z- T  J- ]  z' _

▲游戏《半条命2》

9 U- S; l/ s# p+ m2 e8 f当然，最新的Gafgyt变体并非只和Valve Source Engine的游戏服务器过不去。通过其他的DDoS攻击方法，黑客还可以将目标锁定到诸如托管《Fortnite》之类流行游戏的其他服务器上。
Zingbox研究人员米勒-奥斯本（Miller-Osborn）称，利用Gafgyt僵尸网络，黑客可以轻易阻断游戏服务器的正常运行，但这并不能让其获得巨大的收入。因此，会做这件事的人，有可能仅是为了追求干坏事的快感而已。
“尽管游戏服务器已成为受害对象，但针对这些攻击的物联网设备的种类却在增加。从单纯攻击路由器到影响中小企业甚至某个家庭的游戏玩家，这也是此次Gafgyt变体的可怕之处。”她补充道。
参考来源：
darkreading
https://www.darkreading.com/iot/32000+-wifi-routers-potentially-exposed-to-new-gafgyt-variant/d/d-id/1336238
[tr][/tr][tr][/tr][tr][/tr][tr][/tr]

戳蓝字查看更多精彩内容 ; c/ `/ Z  ], z( @ * H! N5 V/ N, |$ G) Z5 S9 x" h 1 v. `2 V8 t  G4 `8 d5 P: d探索篇 # H, p1 Q. g( u  b▼ & ^: O& \- N  O3 j! P  暗网【上】|  暗网【下】 ( p% u' n2 b, ?& P/ H, c/ U) v薅羊毛 | 黑客武器库| 威胁猎人 " x, s& a9 e/ b剁手赚钱 | 0Day攻击 | 暗黑女主播 踩雷 |嗑药坐牢重归正途 | 内鬼 ( d. v6 z& ~) a6 D- F9 F+ h脑内植入 / t# v/ M4 \) v: g4 l9 r 6 O3 i5 G3 d- d0 @7 z" V7 ~( D% r真相篇 ( q6 i# A$ t7 ^/ K* H+ G, F- x▼ & V- \7 P$ R7 _/ Y- {拼多多将追回“薅羊毛”订单，包括已充话费和Q币订单 ' @' t* w! O" @* Y75条笑死人的知乎神回复，用60行代码就爬完了 ' O5 I+ P  j/ Z: j2 s4 C. W( D( b) ]+ v, [0 i 不剁手也吃土？可能是挖矿木马掏空你的钱包 ! t+ S$ @9 g; p' n# N' w* O 游戏黑产：我还在空中跳伞，就被人用拳头远程打死 & J  u6 S/ Z. y$ y+ u + j9 X3 m0 [& y& E4 [5 k3 Y都8012年了，英国卫生部门居然还在为“擦屁股” 0 p. g3 x( w, h3 k与病毒名称相似，“捏脸”游戏ZEPETO涉嫌窃听？ 扎心！Tumblr推AI鉴黄计划夺老司机“珍爱” 8 l9 o$ c, i9 v! v! n" b6 G2 G: n我报了个税，隐私就被扒光了？ 黑客骗局：Ins网红落难记 7 y; s1 E5 p2 k7 d! | % P, g4 l5 n( w7 t人物篇 . P, o+ }7 ]; a▼ 专访：“蹲坑神器”与它背后男人们不得不说的故事 磨刀人王伟：我前期砸了两个亿做这套方案 " N: a! l( j- J白帽汇的赵武摘掉了他的“帽子”｜专访 数字联盟刘晶晶：四年只做一个产品 : Q; B2 b0 y6 d4 H6 d6 I# c) X长亭科技陈宇森：我打破的四个质疑 + ]2 N& C1 ~( X; g薛锋：我眼中的威胁情报三年之变 2 m8 |+ ?8 ]2 f. m/ U- r“无锁不开”女黑客——skye 知道创宇赵伟：怼死“空气币” 李均：我眼中的黑客精神 ( _  u7 S( T" L1 e' l7 G风宁：自由追风者 : U5 |8 f" k. o+ F; ^6 p0 S6 u 1 u: f3 v( M5 T( a( c% i! M) w更多精彩正在整理中…… 4 Y: d/ L9 [. h* Y# h% N- q. R9 M

---

“喜欢就赶紧关注我们”

* I! ]8 j; k# H6 k9 f& U/ W

宅客『Letshome』

雷锋网旗下业界报道公众号。

7 |. f0 M, O+ a0 B  t

专注先锋科技领域，讲述黑客背后的故事。

长按下图二维码并识别关注

" P/ Z" ^( y4 H5 g. p1 N' L

5 F, L% Y, [, d2 h$ y来源：http://mp.weixin.qq.com/s?src=11&timestamp=1572669004&ver=1949&signature=197NoGpncT3RnJRls0vYa9xwcHAhrFvrLT4YWak-H-mAL*huoq3Oho-WWxRtnhPX90qTt2jbujl78HSMDKhxv6stKrFQUx*IEpKbuo0EqtdH8VA5*mRgwd37834FT3A3&new=1
免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！