國(guó)外媒體報(bào)道稱(chēng)，最近關(guān)于攻擊思科系統(tǒng)路由器的事件相較過(guò)去又多了很多。據(jù)說(shuō)目前19個(gè)國(guó)家至少79臺(tái)設(shè)備受到安全威脅影響，其中還包括了美國(guó)的一家ISP網(wǎng)絡(luò)服務(wù)提供商，旗下25臺(tái)設(shè)備都存在惡意后門(mén)。
這次的調(diào)查結(jié)果來(lái)自一個(gè)計(jì)算機(jī)科學(xué)家團(tuán)隊(duì)，他們挖掘了整個(gè)IPv4地址空間中受影響的設(shè)備。根據(jù)Ars本周二的報(bào)道，在收到一系列非正常不兼容的網(wǎng)絡(luò)數(shù)據(jù)包，以及硬編碼密碼之后，所謂的SYNful Knock路由器植入就會(huì)激活。通過(guò)僅發(fā)送序列錯(cuò)亂的TCP包，而非密碼至每個(gè)地址，監(jiān)控回應(yīng)，研究人員就能檢測(cè)到設(shè)備是否受到了該后門(mén)的影響。
安全公司FireEye本周二首度報(bào)道了SYNful Knock的爆發(fā)，這種植入程序在尺寸上和正常的思科路由器映像完全相同，在路由器重啟之后每次都會(huì)加載。攻擊者能夠利用它鎖定特定目標(biāo)。FireEye已經(jīng)在印度、墨西哥、菲律賓、烏克蘭的14臺(tái)服務(wù)器上發(fā)現(xiàn)了這種植入程序。這對(duì)整個(gè)安全界來(lái)說(shuō)都是重大事件，這也就意味著這種攻擊處在激活狀態(tài)。最新的研究顯示，其擴(kuò)張范圍已經(jīng)相當(dāng)廣泛，美國(guó)、加拿大、英國(guó)、德國(guó)和中國(guó)均已存在。
研究人員表示：“這種植入攻擊可以追蹤，我們通過(guò)修改ZMap令其發(fā)出特定的TCP SYN包，在無(wú)需利用該漏洞的情況下能夠檢測(cè)受影響的服務(wù)器。我們?cè)?015年9月15日完成了四次公眾IPv4地址空間的掃描，發(fā)現(xiàn)79臺(tái)設(shè)備存在SYNful Knock植入。這些路由器來(lái)自19個(gè)不同的國(guó)家。我們注意到非洲和亞洲的不少路由器，美國(guó)來(lái)自一家東海岸的運(yùn)營(yíng)商的25臺(tái)設(shè)備，以及德國(guó)和黎巴嫩屬于一家衛(wèi)星服務(wù)提供商(提供覆蓋非洲的服務(wù))的部分設(shè)備受到影響。”
上面這張圖給出了大致上存在本次安全威脅的分部情況，F(xiàn)ireEye的研究人員已經(jīng)發(fā)出了，闡述如何檢測(cè)和移除SYNful Knock安全威脅。
目前已經(jīng)很清楚，SYNful Knock是經(jīng)過(guò)專(zhuān)業(yè)開(kāi)發(fā)、完全利用了后門(mén)的設(shè)備，能夠影響諸多核心設(shè)備。安全研究人員正在尋找背后攻擊及其運(yùn)作方式的線索。
FireEye本周二報(bào)道稱(chēng)，沒(méi)有證據(jù)表明SYNful Knock正在利用任何思科設(shè)備的漏洞，F(xiàn)ireEye高層認(rèn)為，背后的攻擊者可能受到了國(guó)家支持，這些攻擊者想要利用已知密碼(有些是出廠默認(rèn)的，有些是通過(guò)一些手段獲取的)的路由器。研究人員表示，如果其他設(shè)備制造商造的網(wǎng)絡(luò)設(shè)備也受到了類(lèi)似后門(mén)的感染，那也算不上奇怪。不過(guò)目前還沒(méi)有發(fā)現(xiàn)其他品牌的設(shè)備受到影響，但研究人員還在進(jìn)行進(jìn)一步的互聯(lián)網(wǎng)檢測(cè)。
轉(zhuǎn)型的最終目的 -提質(zhì)降本增效
分享到微信 ×
打開(kāi)微信，點(diǎn)擊底部的“發(fā)現(xiàn)”，
使用“掃一掃”即可將網(wǎng)頁(yè)分享至朋友圈。