據研究機構預測，到2030年物聯網設(she)備數(shu)量將超過294.2億(yi)，按照聯合國(guo)預測2030年全球(qiu)人口85億(yi)計(ji)算的話，屆時平均(jun)每個人就對應3臺物(wu)聯網設(she)備。
這么大的規(gui)模，自然被黑客們盯上(shang)。
從2008年起，針(zhen)對(dui)物聯網(wang)設備(bei)的(de)攻擊數量就(jiu)逐年遞增，物聯網(wang)設備(bei)可以(yi)被用于發動DDoS攻擊、偽(wei)裝流量，或(huo)通過內置(zhi)網(wang)絡(luo)(luo)攝像頭進行惡(e)意窺(kui)探等。此(ci)外，網(wang)絡(luo)(luo)附(fu)屬存儲(NAS)盒(he)子(zi)會被攻擊者進行惡(e)意勒(le)索，路由器會受到(dao)那些針(zhen)對(dui)連接到(dao)其上的(de)設備(bei)(如公共Wi-Fi網(wang)絡(luo)(luo)上的(de)智能(neng)手機或(huo)受害(hai)者局(ju)域網(wang)中的(de)其他設備(bei))的(de)惡(e)意行為者的(de)攻擊。
日(ri)前，卡巴(ba)斯基發(fa)布了《2023年物聯(lian)網(wang)(wang)威(wei)脅概述》，介紹了針對物聯(lian)網(wang)(wang)的(de)(de)威(wei)脅形(xing)勢(shi)以(yi)及暗網(wang)(wang)上提供的(de)(de)相(xiang)關攻擊服務。我們基于此篇概述，結(jie)合相(xiang)關案例進行分析，期(qi)望能夠(gou)將物聯(lian)網(wang)(wang)威(wei)脅的(de)(de)格局(ju)呈現(xian)一二。
1.攻擊向量
用(yong)大(da)白話(hua)說就是攻擊(ji)方式。針對物聯網(wang)的攻擊(ji)方式主要有暴力破解密碼以及利用(yong)網(wang)絡服務中的漏(lou)洞。
暴力(li)破解密碼主要(yao)針對兩個協議(yi)(yi)：Telnet(一種流(liu)行的(de)(de)未加密的(de)(de)物(wu)聯網(wang)文本協議(yi)(yi))和SSH(一種更高級(ji)的(de)(de)流(liu)量加密協議(yi)(yi))，通過進(jin)行暴力(li)破解，可(ke)以在設備上執行任意命令并注入(ru)惡(e)意軟件。
由于Telnet未加密(mi)且在線(xian)訪問數量多，成為了主要的(de)(de)(de)攻擊目標。2023年上(shang)半年，卡巴斯基蜜罐系統記(ji)錄到的(de)(de)(de)密(mi)碼(ma)暴(bao)力破解嘗試中，針對Telnet和SSH的(de)(de)(de)攻擊比例是98:2。
此外，用戶往往直接保留物聯網(wang)設備的Telnet和(he)SSH使用的默認密(mi)碼，雪上加霜的是(shi)，許多物聯網(wang)設備還有不可更(geng)改的主密(mi)碼。
另一種方式——利(li)用網絡服務中(zhong)(zhong)的漏洞就是將(jiang)惡意(yi)代碼注入(ru)發送到(dao)Web界面的請求(qiu)中(zhong)(zhong)。
這(zhe)些攻(gong)擊的(de)后果(guo)非常嚴重，例如TR-064協議當中(zhong)的(de)漏(lou)(lou)洞給(gei)ISP(網絡(luo)業務提供(gong)商)造成了災難性的(de)影響(xiang)，該漏(lou)(lou)洞使未經身份(fen)驗證的(de)TR-064協議包傳輸，導致Mirai惡意(yi)軟件(jian)的(de)傳播(bo)，該惡意(yi)軟件(jian)可以利用IoT設備中(zhong)的(de)安全(quan)漏(lou)(lou)洞，感染數(shu)百萬IoT設備，形成僵尸網絡(luo)來發動攻(gong)擊。
接下(xia)來我們了解一(yi)下(xia)針對物聯網惡意攻擊的目標和(he)類(lei)型(xing)。
2.針對物聯網的惡(e)意軟件種(zhong)類與攻(gong)擊(ji)目標(biao)
攻擊(ji)物聯網(wang)設備的(de)惡(e)意行為者可(ke)能追求(qiu)各種不同的(de)目標(biao)。他們可(ke)能利用(yong)被感染(ran)的(de)硬(ying)件(jian)作為發(fa)動(dong)網(wang)絡攻擊(ji)的(de)工具，偽裝惡(e)意流(liu)量，利用(yong)設備資源(yuan)進行加(jia)密貨幣挖礦，或要求(qiu)贖金以恢復對設備的(de)訪問權限(xian)。有(you)些攻擊(ji)者可(ke)能針對任(ren)何物聯網(wang)設備進行無差別攻擊(ji)，也有(you)人(ren)只攻擊(ji)具有(you)特(te)定條(tiao)件(jian)的(de)目標(biao)。
以下是對特定目標的(de)物聯網(wang)惡意軟件類型(xing)的(de)概述。
DDoS僵尸網絡
DDoS(分布式拒絕服務(wu)，DDoS:Distributed Denial of Service)攻(gong)擊(ji)是常見的(de)IoT惡(e)意攻(gong)擊(ji)類(lei)型。好比(bi)你有一個飯(fan)店能容納80個人，我(wo)找來1000人過來，還不(bu)吃飯(fan)，就會堵塞了正常的(de)運(yun)營渠道。
攻(gong)(gong)擊(ji)者對(dui)物聯網設備(bei)不挑，只要能(neng)通過Web發送請求，都能(neng)用(yong)來進行(xing)DDoS攻(gong)(gong)擊(ji)。
關于DDoS網(wang)絡僵尸典型案例就是(shi)——轟動全(quan)球的(de)(de)(de)針(zhen)對Dyn公(gong)司的(de)(de)(de)攻(gong)(gong)擊，包括(kuo)Airbnb、Amazon、Github、華爾街(jie)日(ri)報、twitter、星巴(ba)克在內的(de)(de)(de)多(duo)家(jia)知(zhi)名公(gong)司網(wang)站崩潰。網(wang)絡安全(quan)員(yuan)表示(shi)，這場(chang)攻(gong)(gong)擊涉(she)及到眾多(duo)物聯網(wang)設(she)備組成的(de)(de)(de)僵尸網(wang)絡，攻(gong)(gong)擊流量估(gu)計有1.2Tbps，被(bei)當時被(bei)專家(jia)稱為“歷(li)史上最大的(de)(de)(de)此類型攻(gong)(gong)擊”。
無獨有偶(ou)，同年11月，Mirai被用于(yu)攻(gong)擊德(de)國電(dian)信旗下90萬(wan)(wan)臺路由器，造成125萬(wan)(wan)消費者受影響，超過100萬(wan)(wan)英鎊的損失，最(zui)可怕的是(shi)，攻(gong)擊者甚至表(biao)示德(de)國電(dian)信不是(shi)他(ta)的主要攻(gong)擊目標(biao)。
目前，多(duo)數(shu)DDoS僵(jiang)尸(shi)網(wang)(wang)絡(luo)來(lai)自Mirai(針對(dui)物聯網(wang)(wang)設(she)備(bei)的(de)惡意軟件)源碼(ma)的(de)衍生產品，后來(lai)出現的(de)IoTrooper 和 Reaper，能以(yi)更(geng)快(kuai)的(de)速度(du)入(ru)侵 IoT 設(she)備(bei)，而(er)RapperBot(針對(dui)物聯網(wang)(wang)的(de)進(jin)化版僵(jiang)尸(shi)網(wang)(wang)絡(luo))主要(yao)由原創代(dai)碼(ma)組成，少量代(dai)碼(ma)為Mirai源碼(ma)。它(ta)的(de)功能包(bao)括通過(guo)分析從Telnet服(fu)務(wu)接(jie)收到的(de)初(chu)始身(shen)份驗證數(shu)據請(qing)求，進(jin)行智(zhi)能暴力破解。惡意軟件可以(yi)利用(yong)該(gai)(gai)請(qing)求來(lai)識別設(she)備(bei)類(lei)型，并繼續僅(jin)針對(dui)該(gai)(gai)類(lei)型的(de)密碼(ma)進(jin)行暴力破解，從而(er)提高(gao)其(qi)自我傳播性能。
人們對于DDoS和(he)僵尸網絡的(de)防(fang)范意識的(de)不斷提升(sheng)，最直觀的(de)表現(xian)就是用錢(qian)投票(piao)——今年6月IDC發布的(de)報告(gao)數(shu)據顯示(shi)，2022年，中(zhong)國抗DDoS硬件(jian)安全產(chan)品市場規模約(yue)為9,500萬美元(約(yue)6.3億元人民幣)，規模同比(bi)增長(chang)6%。
勒索軟件
與DDoS惡(e)意程序不同，勒(le)索軟件主要攻擊包含用戶數(shu)據(ju)的(de)物聯網(wang)設備，如NAS盒(he)。
2022年，DeadBolt勒索軟件影(ying)響(xiang)了(le)數千臺威博通(tong)科(ke)技(QNAP)的(de)(de)NAS設備，攻擊利用了(le)CVE-2022-27593漏洞，漏洞允許惡意行(xing)為(wei)者修改(gai)盒子上的(de)(de)系統(tong)文件，然(ran)后勒索受害者支付(fu)大概(gai)0.03單位的(de)(de)比特幣來(lai)恢復數據。盡管制造商發布了(le)解決漏洞的(de)(de)更新，類似的(de)(de)攻擊仍然(ran)是一(yi)個問題。
根(gen)據360《2022 年勒索(suo)軟件(jian)流行態勢(shi)報(bao)告》統計，雖然 NAS 設備僅占(zhan)到了所有(you)系統類(lei)型中(zhong)的 0.7%左(zuo)右。但越(yue)來(lai)越(yue)多的勒索(suo)軟件(jian)家(jia)(jia)族開(kai)始將其攻擊對(dui)象瞄準 NAS 設備，例(li)如：ech0Raix、QLocker、DeadBolt、AgeLocker、CheckMate 等勒索(suo)家(jia)(jia)族。
挖礦程序
盡(jin)管(guan)物(wu)聯(lian)網設備的(de)處理能力較(jiao)低，依然(ran)有攻(gong)擊者在Mirai攻(gong)擊中曾(ceng)試圖(tu)利(li)用它們(men)進行比特(te)幣(bi)挖礦。不過，由于相對(dui)低效，這種做法并未普及。
DNS修改器
惡意(yi)攻擊者可(ke)以利用(yong)物聯網設(she)備(bei)來(lai)針(zhen)對(dui)連接到它們的用(yong)戶。
2022年(nian)的Roaming Mantis(又名Shaoye，是一個針(zhen)對(dui)亞(ya)洲(zhou)國家的知名攻擊組織)通過一款安卓應用程序傳播，能夠通過管理界面修改(gai)Wi-Fi路(lu)由(you)器(qi)的DNS設置。
使(shi)用默(mo)認登錄憑證(如admin:admin)的路由器(qi)都(dou)可能被(bei)感染，然后(hou)配置就會被(bei)更改(gai)為使(shi)用運營商的DNS服(fu)務器(qi)。該服(fu)務器(qi)將所(suo)有連接到路由器(qi)的用戶重定向到一個網(wang)站(zhan)，該網(wang)站(zhan)會上(shang)傳惡意的APK文件(jian)到安卓設(she)備，并在iOS設(she)備上(shang)顯示釣(diao)魚(yu)頁面。
Proxy Bot
與僵尸網絡類似，濫用被感染的物聯網設備的另一種普遍方式是——利用它們作為代理，重定向惡意流量，使其難以追蹤。這些代理服務器主要用于垃圾郵件活動、逃避反欺詐系統和各種網絡攻擊。包括攝像頭、智能家居、路由器(qi)等(deng)等(deng)都可以。
通信(xin)公司Lumen的Black Lotus實(shi)驗室在一篇(pian)博(bo)客中稱(cheng)，他(ta)們發(fa)現了(le)一項持(chi)續多(duo)年的波(bo)及全球路由器(qi)的惡意活動(dong) —— 新型僵尸網絡 “AVrecon” 在未(wei)被察覺(jue)的情況下運行了(le)至少兩年，感染了(le)全球 7 萬臺路由器(qi)。
有意思(si)的(de)是(shi)，攻(gong)擊者們為了防止(zhi)同行競(jing)爭(zheng)，還會針對(dui)設備增加功能以便防止(zhi)競(jing)爭(zheng)對(dui)手繼續感染(ran)(ran)。已感染(ran)(ran)設備的(de)A選擇先發制人，其策(ce)略是(shi)添加防火(huo)墻(qiang)規(gui)則來阻止(zhi)入(ru)站(zhan)連接嘗試，還未感染(ran)(ran)設備的(de)軟件(jian)策(ce)略則是(shi)對(dui)特定進程名稱(cheng)，掃描端(duan)口，并分析設備內存(cun)以查找惡意模(mo)式，以抑制已存(cun)在于設備上(shang)的(de)感染(ran)(ran)
這其實有點像(xiang)生(sheng)物(wu)學里面的“超寄生(sheng)防御”——一些共生(sheng)菌可以(yi)分泌化學物(wu)質，阻止其他菌種或微生(sheng)物(wu)寄生(sheng)或感染宿主。
看(kan)來，盡管市(shi)場很大，物聯網黑產的行情也(ye)有(you)(you)點緊張。具(ju)體市(shi)場如(ru)何(he)，卡巴斯基研究人員(yuan)還是(shi)替我(wo)們逛(guang)了(le)一圈(quan)暗(an)網，一起看(kan)看(kan)黑產市(shi)場的貨架上(shang)都有(you)(you)什么?
3.卡(ka)巴斯基帶逛暗網
黑商銷(xiao)售DDoS攻擊
DDoS攻擊(分(fen)布(bu)式拒絕服(fu)(fu)務)就(jiu)是通過大(da)規(gui)模互聯網(wang)流(liu)量淹沒目標服(fu)(fu)務器或其周邊基礎設施(shi)，以(yi)破壞目標服(fu)(fu)務器、服(fu)(fu)務或網(wang)絡正常(chang)流(liu)量的惡意行為。
黑客還給自己(ji)寫了廣告：
我自(zi)認是世(shi)界(jie)上最著名的(de)受雇 DDoS 攻擊者(zhe)。不說廢話(hua)——我只是告訴你為什么你應(ying)該選(xuan)擇我的(de)服務。
我們的優勢：
從(cong)2020年就開(kai)始利用Medusa的僵尸(shi)網(wang)絡進行攻擊，手下的受控設備數量(liang)為10000至80000臺，每臺Windows PC只開(kai)啟50個(ge)瀏覽器實例，能夠繞過DDoS防御系統(tong)，自認(ren)為是(shi)2023年最大的Windows或物聯網(wang)僵尸(shi)網(wang)絡。
此外，還有直接針對物聯(lian)網的黑客(ke)服務，尋找(zhao)物聯(lian)網設備當中(zhong)的官(guan)方(fang)未發(fa)布補丁的零日漏洞。
還有(you)一些黑客(ke)提供“一條龍”服(fu)務(wu)，打包銷(xiao)售基礎架構和支(zhi)持(chi)工(gong)具，例如(ru)一個(ge)“供應商”發(fa)帖售賣一個(ge)自制的DDoS機器人，配有(you)C2服(fu)務(wu)器(命(ming)令和控制服(fu)務(wu)器)以及通過Telnet或SSH上傳惡意代(dai)碼的各種軟(ruan)件(jian)和腳本。
更有“貼心”的黑客(ke)，直接把已經(jing)預(yu)先感染的設(she)備網(wang)絡“喂(wei)到嘴里”，一個帖子正在售(shou)賣位(wei)于阿根(gen)廷(ting)的200個路由(you)器和攝像(xiang)頭組成(cheng)的僵尸網(wang)絡，當然，這種類型并不(bu)常見。
據統計(ji)，2023年上半年，卡巴斯(si)基數字足跡情報(bao)服務分析(xi)人員(yuan)在各種(zhong)暗網論壇上發(fa)現700多個(ge)提供DDoS攻(gong)(gong)(gong)擊(ji)服務的(de)(de)(de)帖子。據統計(ji)，這類(lei)攻(gong)(gong)(gong)擊(ji)的(de)(de)(de)標價受(shou)多種(zhong)因素的(de)(de)(de)影(ying)響，例如DDoS保護、驗(yan)(yan)證碼和攻(gong)(gong)(gong)擊(ji)對象的(de)(de)(de)JavaScript驗(yan)(yan)證。攻(gong)(gong)(gong)擊(ji)總體價格(ge)大(da)概(gai)(gai)在20到(dao)10000美(mei)元(yuan)。廣(guang)告發(fa)布者收取的(de)(de)(de)平均價格(ge)大(da)概(gai)(gai)在65.5美(mei)元(yuan)/天或1350美(mei)元(yuan)/月，大(da)概(gai)(gai)一個(ge)月不到(dao)一萬人民幣。
4. 其(qi)他(ta)物聯網設備
攻(gong)擊者對(dui)連接到(dao)網絡(luo)的視頻攝像頭表現出興趣，這可以從購買和銷售被(bei)入侵的物聯網設備(bei)訪問權限的廣告(gao)中得到(dao)證明。
如(ru)上文所述，感染的(de)網(wang)絡攝(she)像(xiang)頭可(ke)用于挖(wa)礦、DDoS或者作為代理，以匿名非法(fa)流(liu)量(liang)。安全研(yan)(yan)究人員(yuan)Paul Marrapese研(yan)(yan)究了一些消(xiao)費(fei)級(ji)攝(she)像(xiang)頭發現，盡管制造商們可(ke)以做得更好(hao)，他(ta)們依(yi)然對(dui)用戶(hu)提出的(de)漏洞視而不見，這(zhe)類攝(she)像(xiang)頭的(de)制造商經(jing)常使用各種(zhong)點(dian)(dian)對(dui)點(dian)(dian)(P2P)協(xie)議(yi)，能(neng)夠(gou)與(yu)其他(ta)5000萬多(duo)個設備共(gong)享，但是(shi)這(zhe)些協(xie)議(yi)要么對(dui)流(liu)量(liang)的(de)加密級(ji)別很低，很容易受到中(zhong)間人(MitM)攻擊(ji)。
根據Trend Micro的一項(xiang)研究，類似(si)攝像頭主人(ren)的私人(ren)生活被窺探事(shi)件也不少見，包括市面上(shang)大多數智能寵物喂(wei)食器都(dou)可以捕捉實時音(yin)頻(pin)和視(shi)頻(pin)，甚至針對兒童(tong)的智能設備也有類似(si)問題。
卡(ka)巴(ba)斯(si)基曾接(jie)到(dao)一(yi)家(jia)智能(neng)手表制造(zao)商的(de)評估(gu)申請，為其工業物聯(lian)網安全(quan)成(cheng)熟度模型進行評估(gu)，目睹這些設備(bei)缺乏安全(quan)性的(de)情況(kuang)，智能(neng)手表甚至能(neng)夠被用于(yu)監視孩子及周圍(wei)環境(jing)的(de)設備(bei)，結果當然(ran)是供應商未能(neng)通過測試(shi)，卡(ka)巴(ba)斯(si)基拒絕為其頒發證(zheng)書。
家用和工業物聯網設備(bei)的(de)安(an)全性都令人困(kun)擾，可怕的(de)是，后者(zhe)可能也存在基本的(de)安(an)全漏洞(dong)，其供應商推薦的(de)設置(zhi)是不安(an)全的(de)——最常見的(de)配置(zhi)問題是使(shi)用默認密碼。
例如，某個用于連接電梯設備與控(kong)制(zhi)室監控(kong)系(xi)統的媒體轉(zhuan)換器(qi)制(zhi)造商在(zai)服務文檔中提(ti)供(gong)了極不安全(quan)的連接和配置建(jian)議，甚(shen)至提(ti)供(gong)了默認(ren)密碼(ma)，這(zhe)(zhe)么一來，技術不高的黑客也(ye)可以利用這(zhe)(zhe)些漏洞來完全(quan)控(kong)制(zhi)轉(zhuan)換器(qi)。遺憾(han)的是，這(zhe)(zhe)家企業(ye)僅在(zai)首(shou)次表現出及(ji)時解決問題的能力，對(dui)后期(qi)提(ti)出的漏洞修復要求視而不見(jian)。
5. 寫在最后
物(wu)(wu)聯網設(she)備安(an)全(quan)的維護，一方(fang)面來自制(zhi)造商，另一方(fang)面來自用戶，研究(jiu)最后希望在物(wu)(wu)聯網設(she)備設(she)計之初就考慮安(an)全(quan)，放棄默認密碼并(bing)及時發布補丁。
除了對(dui)企業(ye)的期望，研究(jiu)方在(zai)早些時期也給出了一些關于物聯網設備安全的最佳實(shi)踐，列舉如下：
及(ji)時了(le)解設備(bei)和軟件更新(xin)
更改(gai)IoT設備的默認密碼
為所有設(she)備(bei)和Wi-Fi網絡使用強密(mi)碼
更改(gai)路(lu)由(you)器名稱，隱藏品牌
使用Wi-Fi強(qiang)加密方法
設置訪客網絡
檢(jian)查(cha)IoT設備的(de)隱私(si)設置(zhi)
跟蹤設備(bei)的可用(yong)功(gong)能(neng)并禁用(yong)未使(shi)用(yong)的功(gong)能(neng)
盡可能使用多重身份驗證
了解您(nin)的家庭網絡中有哪些物聯網設備
慎用(yong)公共(gong) Wi-Fi
隨(sui)著人們對物(wu)(wu)聯網安全重(zhong)視程(cheng)度的提升(sheng)，未來的物(wu)(wu)聯網安全應(ying)該(gai)會(hui)走上(shang)一個新的臺階(jie)。
