據研究機構預測，到2030年物聯網設備數量將超過294.2億，按照聯合國(guo)預測2030年全球(qiu)人(ren)口(kou)85億計算的話，屆(jie)時平均每(mei)個(ge)人(ren)就對應3臺物聯網設備。
這么(me)大的(de)規模，自然被黑客們盯上。
從(cong)2008年起(qi)，針對(dui)物聯網設(she)(she)(she)備(bei)的(de)(de)攻擊(ji)(ji)數(shu)量(liang)就逐年遞增，物聯網設(she)(she)(she)備(bei)可以(yi)被用于發動DDoS攻擊(ji)(ji)、偽(wei)裝流量(liang)，或通過內(nei)置(zhi)網絡攝像頭進行惡(e)意窺探等。此外，網絡附屬存儲(chu)(NAS)盒子(zi)會被攻擊(ji)(ji)者進行惡(e)意勒(le)索，路由器會受(shou)到那(nei)些針對(dui)連接到其(qi)上(shang)的(de)(de)設(she)(she)(she)備(bei)(如(ru)公共Wi-Fi網絡上(shang)的(de)(de)智能手(shou)機或受(shou)害者局(ju)域網中的(de)(de)其(qi)他設(she)(she)(she)備(bei))的(de)(de)惡(e)意行為者的(de)(de)攻擊(ji)(ji)。
日前，卡(ka)巴斯基(ji)發(fa)布了《2023年(nian)物(wu)(wu)聯(lian)網(wang)威脅(xie)概(gai)述》，介紹(shao)了針對(dui)物(wu)(wu)聯(lian)網(wang)的(de)威脅(xie)形勢以及暗網(wang)上提供的(de)相關攻擊服務。我們基(ji)于此篇概(gai)述，結合相關案例進行(xing)分析，期望能夠將物(wu)(wu)聯(lian)網(wang)威脅(xie)的(de)格局呈現一二(er)。
1.攻擊向量
用大白話(hua)說就是攻擊方式(shi)。針對(dui)物聯網(wang)的攻擊方式(shi)主要(yao)有暴(bao)力破解密碼以(yi)及利用網(wang)絡服務中的漏洞。
暴力破解密碼主要針(zhen)對兩個協議(yi)：Telnet(一(yi)種(zhong)流(liu)行(xing)的未加密的物聯(lian)網文本協議(yi))和(he)SSH(一(yi)種(zhong)更高級的流(liu)量加密協議(yi))，通過(guo)進(jin)行(xing)暴力破解，可以在設備上執行(xing)任意命令并注(zhu)入惡意軟件(jian)。
由于Telnet未(wei)加密且在線(xian)訪(fang)問(wen)數(shu)量多，成為了(le)主(zhu)要的(de)(de)(de)攻擊目標。2023年上半年，卡(ka)巴斯基蜜(mi)罐系(xi)統(tong)記(ji)錄(lu)到的(de)(de)(de)密碼暴力破解嘗試中，針對Telnet和SSH的(de)(de)(de)攻擊比例是98:2。
此(ci)外，用(yong)戶(hu)往往直接(jie)保留物聯網設(she)備的Telnet和SSH使(shi)用(yong)的默認密碼，雪上(shang)加霜的是，許多(duo)物聯網設(she)備還有不可更改的主密碼。
另(ling)一種方式——利用網(wang)絡(luo)服務中的漏洞就是(shi)將惡意代碼注入發送到(dao)Web界面(mian)的請求中。
這些(xie)攻擊(ji)的(de)(de)(de)(de)(de)后果非常嚴重，例如TR-064協議(yi)(yi)當中的(de)(de)(de)(de)(de)漏(lou)洞(dong)給ISP(網絡(luo)業務提供商)造成(cheng)了(le)災難性的(de)(de)(de)(de)(de)影響，該漏(lou)洞(dong)使未經身份(fen)驗證(zheng)的(de)(de)(de)(de)(de)TR-064協議(yi)(yi)包傳輸，導(dao)致Mirai惡(e)意軟(ruan)件的(de)(de)(de)(de)(de)傳播，該惡(e)意軟(ruan)件可以利用(yong)IoT設備中的(de)(de)(de)(de)(de)安全漏(lou)洞(dong)，感染數百(bai)萬IoT設備，形成(cheng)僵尸網絡(luo)來發動攻擊(ji)。
接(jie)下來我們了(le)解一下針對物聯(lian)網惡意攻擊的目標和類型。
2.針對物聯(lian)網的惡意軟件種類(lei)與攻擊目(mu)標
攻(gong)(gong)擊(ji)物聯網(wang)設(she)備(bei)的(de)惡意行(xing)為者可能追(zhui)求(qiu)各種不同的(de)目標。他們可能利(li)用(yong)被感染的(de)硬(ying)件(jian)作(zuo)為發動網(wang)絡攻(gong)(gong)擊(ji)的(de)工具，偽裝(zhuang)惡意流量，利(li)用(yong)設(she)備(bei)資源進(jin)行(xing)加密貨幣挖(wa)礦(kuang)，或要求(qiu)贖金以(yi)恢復(fu)對(dui)設(she)備(bei)的(de)訪問權限。有些(xie)攻(gong)(gong)擊(ji)者可能針對(dui)任何物聯網(wang)設(she)備(bei)進(jin)行(xing)無差別(bie)攻(gong)(gong)擊(ji)，也有人只攻(gong)(gong)擊(ji)具有特定條件(jian)的(de)目標。
以下是(shi)對特定目(mu)標的物(wu)聯網惡(e)意軟件類型的概述。
DDoS僵尸網絡
DDoS(分(fen)布(bu)式拒絕(jue)服務(wu)，DDoS:Distributed Denial of Service)攻(gong)擊(ji)是常見(jian)的(de)IoT惡意攻(gong)擊(ji)類型。好(hao)比你有一個飯店(dian)能容(rong)納80個人(ren)，我找來(lai)1000人(ren)過來(lai)，還不(bu)吃飯，就會堵塞了正常的(de)運營渠(qu)道。
攻(gong)擊者對物(wu)聯網設備不(bu)挑，只要(yao)能(neng)通過Web發送(song)請求，都能(neng)用(yong)來進行DDoS攻(gong)擊。
關于DDoS網絡(luo)僵尸典型案例就是——轟動全球的針對Dyn公司的攻(gong)擊(ji)，包括Airbnb、Amazon、Github、華爾街日(ri)報、twitter、星巴克在(zai)內的多(duo)家知名公司網站崩潰。網絡(luo)安全員(yuan)表示(shi)，這(zhe)場攻(gong)擊(ji)涉及到眾(zhong)多(duo)物聯網設備組成的僵尸網絡(luo)，攻(gong)擊(ji)流量(liang)估計有1.2Tbps，被(bei)當時被(bei)專家稱為“歷史上最大的此(ci)類型攻(gong)擊(ji)”。
無獨有偶，同年11月，Mirai被用于攻擊德(de)國電信旗下90萬(wan)臺路(lu)由器(qi)，造(zao)成125萬(wan)消費者(zhe)受(shou)影響(xiang)，超(chao)過100萬(wan)英鎊的損失，最可怕的是，攻擊者(zhe)甚至表示德(de)國電信不是他(ta)的主(zhu)要攻擊目標。
目前，多(duo)數DDoS僵尸網絡來(lai)自(zi)Mirai(針(zhen)對物聯網設(she)備的(de)惡(e)意軟件)源(yuan)碼(ma)(ma)(ma)的(de)衍生產品(pin)，后來(lai)出(chu)現的(de)IoTrooper 和 Reaper，能(neng)(neng)(neng)以更(geng)快的(de)速度(du)入侵(qin) IoT 設(she)備，而RapperBot(針(zhen)對物聯網的(de)進(jin)化版僵尸網絡)主要由原創代碼(ma)(ma)(ma)組成(cheng)，少量代碼(ma)(ma)(ma)為Mirai源(yuan)碼(ma)(ma)(ma)。它的(de)功能(neng)(neng)(neng)包括通過分析從Telnet服務接收(shou)到的(de)初(chu)始身份驗證數據請(qing)求(qiu)，進(jin)行智能(neng)(neng)(neng)暴力破(po)解。惡(e)意軟件可以利用該(gai)請(qing)求(qiu)來(lai)識別設(she)備類(lei)型(xing)，并(bing)繼續僅(jin)針(zhen)對該(gai)類(lei)型(xing)的(de)密碼(ma)(ma)(ma)進(jin)行暴力破(po)解，從而提(ti)高其自(zi)我傳播性(xing)能(neng)(neng)(neng)。
人(ren)們對于DDoS和僵尸(shi)網絡的防范意識的不斷提升，最直觀的表現就是用錢投票——今年6月IDC發布的報告數據顯示(shi)，2022年，中國抗DDoS硬件安全產品市場規(gui)模約(yue)為9,500萬(wan)美元(約(yue)6.3億元人(ren)民幣(bi))，規(gui)模同(tong)比增(zeng)長(chang)6%。
勒索軟件
與DDoS惡(e)意(yi)程(cheng)序不同，勒索(suo)軟件(jian)主要攻擊包(bao)含用戶(hu)數據的物聯網設(she)備，如(ru)NAS盒。
2022年(nian)，DeadBolt勒(le)索(suo)軟件(jian)影響(xiang)了(le)數千臺(tai)威(wei)博通科技(ji)(QNAP)的(de)NAS設備(bei)，攻(gong)擊利用了(le)CVE-2022-27593漏洞(dong)，漏洞(dong)允許惡意行為者修改盒子上的(de)系統文件(jian)，然后勒(le)索(suo)受(shou)害者支付大概(gai)0.03單位的(de)比(bi)特幣來恢復(fu)數據。盡(jin)管制造商發布(bu)了(le)解(jie)決漏洞(dong)的(de)更新，類似的(de)攻(gong)擊仍然是一個(ge)問題。
根據360《2022 年勒索(suo)軟(ruan)件(jian)(jian)流行態勢(shi)報告》統(tong)(tong)計，雖(sui)然 NAS 設(she)備僅占到了所有(you)系統(tong)(tong)類型中的 0.7%左右。但越來越多(duo)的勒索(suo)軟(ruan)件(jian)(jian)家(jia)族(zu)開始將其(qi)攻(gong)擊對象(xiang)瞄準 NAS 設(she)備，例如：ech0Raix、QLocker、DeadBolt、AgeLocker、CheckMate 等勒索(suo)家(jia)族(zu)。
挖礦程序
盡管(guan)物聯網設備(bei)的(de)處理(li)能力較(jiao)低，依然有攻擊(ji)者在Mirai攻擊(ji)中(zhong)曾試圖利用(yong)它們(men)進行比特幣挖(wa)礦(kuang)。不過，由于相對低效(xiao)，這(zhe)種做法并(bing)未普及。
DNS修改器
惡意(yi)攻擊者可以利用物聯網設備來針對連(lian)接到它們的用戶。
2022年的(de)Roaming Mantis(又(you)名Shaoye，是一(yi)個針對亞(ya)洲國家的(de)知名攻擊(ji)組(zu)織)通(tong)過一(yi)款安卓應(ying)用程序傳播(bo)，能(neng)夠通(tong)過管理界面修改Wi-Fi路由(you)器的(de)DNS設置。
使用(yong)默認登錄憑證(如admin:admin)的(de)路(lu)(lu)由器(qi)都可能被感染，然(ran)后配置就會(hui)被更改為使用(yong)運營商的(de)DNS服務(wu)器(qi)。該(gai)服務(wu)器(qi)將(jiang)所有連接到路(lu)(lu)由器(qi)的(de)用(yong)戶重定向到一(yi)個網(wang)站，該(gai)網(wang)站會(hui)上傳惡意(yi)的(de)APK文件(jian)到安(an)卓設備(bei)，并(bing)在(zai)iOS設備(bei)上顯示釣魚(yu)頁(ye)面。
Proxy Bot
與僵尸網絡類似，濫用被感染的物聯網設備的另一種普遍方式是——利用它們作為代理，重定向惡意流量，使其難以追蹤。這些代理服務器主要用于垃圾郵件活動、逃避反欺詐系統和各種網絡攻擊。包括攝像頭、智能家居、路由器等(deng)(deng)等(deng)(deng)都可以(yi)。
通(tong)信公司Lumen的Black Lotus實驗室在一篇博客中(zhong)稱，他(ta)們發現了一項(xiang)持續多(duo)年(nian)的波及全球路由(you)器的惡意活(huo)動(dong) —— 新型僵(jiang)尸(shi)網絡 “AVrecon” 在未(wei)被察覺的情(qing)況下運行(xing)了至少兩年(nian)，感染了全球 7 萬臺路由(you)器。
有意思的(de)是，攻擊(ji)者們(men)為了防止(zhi)同(tong)行競爭，還會(hui)針對設備增加(jia)功能以便防止(zhi)競爭對手繼續感(gan)(gan)染(ran)(ran)。已(yi)感(gan)(gan)染(ran)(ran)設備的(de)A選擇(ze)先(xian)發制人，其(qi)策略(lve)是添加(jia)防火墻規則來阻(zu)止(zhi)入站連接嘗試，還未(wei)感(gan)(gan)染(ran)(ran)設備的(de)軟件(jian)策略(lve)則是對特定進程名稱，掃描端口，并分析設備內存以查找惡(e)意模式，以抑制已(yi)存在于設備上的(de)感(gan)(gan)染(ran)(ran)
這其(qi)實有(you)點(dian)像生(sheng)物學里(li)面的“超寄生(sheng)防(fang)御(yu)”——一些共生(sheng)菌可以(yi)分泌化學物質(zhi)，阻止(zhi)其(qi)他菌種(zhong)或微生(sheng)物寄生(sheng)或感(gan)染宿主。
看來(lai)，盡管市場(chang)很(hen)大，物(wu)聯網黑產(chan)的(de)(de)行情也有點緊(jin)張(zhang)。具體市場(chang)如何(he)，卡巴斯基研究(jiu)人員還(huan)是(shi)替我們逛了一圈(quan)暗(an)網，一起看看黑產(chan)市場(chang)的(de)(de)貨架上都有什(shen)么(me)?
3.卡巴(ba)斯(si)基帶逛暗網
黑商銷(xiao)售DDoS攻擊
DDoS攻(gong)擊(ji)(分(fen)布式拒絕服(fu)務(wu)(wu))就是通過大規模互聯網(wang)流(liu)量淹(yan)沒目(mu)標服(fu)務(wu)(wu)器(qi)或其周邊基礎(chu)設(she)施(shi)，以破壞目(mu)標服(fu)務(wu)(wu)器(qi)、服(fu)務(wu)(wu)或網(wang)絡正(zheng)常流(liu)量的惡意行為(wei)。
黑客還給自己寫了廣告：
我自(zi)認是世(shi)界上最(zui)著(zhu)名的受雇 DDoS 攻擊者。不說廢話——我只是告訴(su)你為什(shen)么你應該選擇我的服務。
我們的優勢：
從(cong)2020年(nian)就開始利用(yong)Medusa的(de)僵尸網絡(luo)進(jin)行攻(gong)擊，手下的(de)受(shou)控設備數量為(wei)10000至(zhi)80000臺(tai)(tai)，每臺(tai)(tai)Windows PC只開啟50個瀏覽器實例，能夠繞(rao)過DDoS防御系統，自(zi)認(ren)為(wei)是2023年(nian)最大的(de)Windows或物聯網僵尸網絡(luo)。
此外，還有(you)直接針對物聯(lian)網的黑客服務(wu)，尋找(zhao)物聯(lian)網設(she)備(bei)當中的官(guan)方未發布(bu)補丁的零日漏洞。
還有一(yi)些黑客提(ti)供“一(yi)條龍(long)”服(fu)(fu)務，打包銷售(shou)基(ji)礎架構(gou)和(he)支持(chi)工(gong)具，例如(ru)一(yi)個“供應商”發帖售(shou)賣一(yi)個自制的DDoS機器(qi)人，配有C2服(fu)(fu)務器(qi)(命令(ling)和(he)控制服(fu)(fu)務器(qi))以及(ji)通過Telnet或SSH上傳惡意代碼的各種軟件和(he)腳本。
更有“貼心”的(de)黑客，直接把(ba)已經預先感染(ran)的(de)設備網絡“喂(wei)到嘴(zui)里”，一個帖子正(zheng)在(zai)售賣位(wei)于阿根廷的(de)200個路(lu)由器(qi)和攝像頭組成的(de)僵尸(shi)網絡，當(dang)然，這種類型(xing)并不(bu)常見。
據統(tong)計，2023年上半年，卡巴斯基(ji)數字足跡情報服務(wu)分析人員在各(ge)種暗網論壇上發現700多(duo)個提供DDoS攻(gong)(gong)(gong)擊(ji)(ji)(ji)服務(wu)的帖子。據統(tong)計，這類攻(gong)(gong)(gong)擊(ji)(ji)(ji)的標價(jia)受多(duo)種因素的影響，例(li)如(ru)DDoS保護、驗證(zheng)碼(ma)和攻(gong)(gong)(gong)擊(ji)(ji)(ji)對(dui)象的JavaScript驗證(zheng)。攻(gong)(gong)(gong)擊(ji)(ji)(ji)總體價(jia)格(ge)大概(gai)在20到(dao)10000美(mei)元(yuan)。廣告發布者收取的平均(jun)價(jia)格(ge)大概(gai)在65.5美(mei)元(yuan)/天(tian)或1350美(mei)元(yuan)/月，大概(gai)一個月不到(dao)一萬人民(min)幣。
4. 其他物聯網設(she)備
攻擊(ji)者對(dui)連接到網絡的(de)視頻攝像頭(tou)表現(xian)出興趣，這可(ke)以從購買和銷售被入侵的(de)物聯(lian)網設(she)備訪問權限(xian)的(de)廣告中得到證明。
如上文所(suo)述，感染(ran)的網(wang)絡攝(she)像(xiang)頭(tou)(tou)(tou)可用于挖礦、DDoS或者(zhe)作為代理，以匿名非法流量。安全(quan)研究人員Paul Marrapese研究了一些消費級攝(she)像(xiang)頭(tou)(tou)(tou)發現，盡管制(zhi)造(zao)商(shang)們(men)可以做(zuo)得更好，他們(men)依然對(dui)用戶(hu)提出的漏(lou)洞視而不見，這類(lei)攝(she)像(xiang)頭(tou)(tou)(tou)的制(zhi)造(zao)商(shang)經常使(shi)用各種點對(dui)點(P2P)協議(yi)，能(neng)夠與其他5000萬多(duo)個設備共享，但是這些協議(yi)要么(me)對(dui)流量的加密(mi)級別很低，很容易(yi)受到中間人(MitM)攻擊。
根據Trend Micro的(de)一項研究，類(lei)似攝像頭主人(ren)的(de)私人(ren)生活(huo)被窺探事件也(ye)不少見，包括市面上(shang)大多數智能(neng)寵物喂(wei)食器都(dou)可以捕捉實時音頻(pin)和視頻(pin)，甚至針對兒童的(de)智能(neng)設備(bei)也(ye)有類(lei)似問題。
卡巴(ba)斯基(ji)曾(ceng)接到(dao)一家智能(neng)(neng)(neng)手表(biao)制造商的(de)評估申(shen)請，為(wei)其(qi)工業(ye)物聯(lian)網安全成熟(shu)度模型進行評估，目睹這(zhe)些(xie)設備缺乏安全性(xing)的(de)情況，智能(neng)(neng)(neng)手表(biao)甚至能(neng)(neng)(neng)夠被(bei)用于監(jian)視(shi)孩子及周(zhou)圍(wei)環(huan)境的(de)設備，結果當然是供應商未(wei)能(neng)(neng)(neng)通(tong)過測(ce)試(shi)，卡巴(ba)斯基(ji)拒絕為(wei)其(qi)頒發證(zheng)書。
家用和工業(ye)物聯網設備的安(an)(an)全(quan)性都(dou)令(ling)人困擾，可怕的是，后者(zhe)可能也存在基本的安(an)(an)全(quan)漏洞(dong)，其供應商推(tui)薦的設置是不(bu)安(an)(an)全(quan)的——最(zui)常見的配(pei)置問題是使用默認(ren)密碼(ma)。
例如，某個用(yong)于連(lian)接電梯設備與控制(zhi)(zhi)室監控系統的(de)媒體轉換器制(zhi)(zhi)造商在(zai)服務文(wen)檔中提供(gong)了(le)極不安全(quan)的(de)連(lian)接和(he)配(pei)置建(jian)議，甚至提供(gong)了(le)默認密碼，這(zhe)么一來(lai)，技術不高的(de)黑(hei)客(ke)也可以(yi)利用(yong)這(zhe)些漏洞(dong)來(lai)完全(quan)控制(zhi)(zhi)轉換器。遺憾的(de)是，這(zhe)家企業僅在(zai)首次(ci)表現出(chu)及(ji)時解決問(wen)題的(de)能(neng)力(li)，對(dui)后期提出(chu)的(de)漏洞(dong)修(xiu)復要求(qiu)視而不見。
5. 寫在最后
物聯網設備安全的維(wei)護，一(yi)方面(mian)來(lai)(lai)自(zi)制(zhi)造(zao)商(shang)，另一(yi)方面(mian)來(lai)(lai)自(zi)用戶，研究最后(hou)希望在物聯網設備設計之初就考慮(lv)安全，放棄默認(ren)密碼并及時(shi)發布補丁。
除了對企業(ye)的期(qi)望，研究方(fang)在早些(xie)時期(qi)也給(gei)出了一些(xie)關(guan)于物聯網設(she)備安(an)全的最佳實踐，列舉(ju)如下：
及時(shi)了解設備和軟件(jian)更新(xin)
更(geng)改IoT設(she)備的默(mo)認(ren)密碼(ma)
為所有設備和Wi-Fi網絡(luo)使(shi)用強密碼
更改路由器名稱，隱(yin)藏品牌
使用(yong)Wi-Fi強加(jia)密(mi)方法(fa)
設置訪客網絡
檢查IoT設備的隱(yin)私設置
跟蹤設備的可用(yong)功能并禁用(yong)未使用(yong)的功能
盡可(ke)能使用多重身份驗證
了(le)解您的(de)家庭(ting)網絡中有(you)哪(na)些物聯(lian)網設備
慎用(yong)公共(gong) Wi-Fi
隨著人(ren)們對(dui)物(wu)聯(lian)網安(an)全重視程度的提升，未來的物(wu)聯(lian)網安(an)全應該會走上一個新(xin)的臺(tai)階。
