建站
咨詢
售后
建站咨詢
新聞中心
安全公司FireEye前兩天剛剛發(fā)布報告稱在四個國家的14臺思科路由器上發(fā)現(xiàn)SYNful Knock后門程序，現(xiàn)在又發(fā)現(xiàn)79臺路由器存在相同后門。
10年的新華網(wǎng)站建設(shè)經(jīng)驗，針對設(shè)計、前端、開發(fā)、售后、文案、推廣等六對一服務(wù)，響應(yīng)快，48小時及時工作處理。全網(wǎng)營銷推廣的優(yōu)勢是能夠根據(jù)用戶設(shè)備顯示端的尺寸不同，自動調(diào)整新華建站的顯示方式，使網(wǎng)站能夠適用不同顯示終端，在瀏覽器中調(diào)整網(wǎng)站的寬度，無論在任何一種瀏覽器上瀏覽網(wǎng)站，都能展現(xiàn)優(yōu)雅布局與設(shè)計，從而大程度地提升瀏覽體驗。成都創(chuàng)新互聯(lián)從事“新華網(wǎng)站設(shè)計”,“新華網(wǎng)站推廣”以來，每個客戶項目都認真落實執(zhí)行。
SYNful Knock 后門程序
安全研究人員為進一步調(diào)查受感染設(shè)備而對所有IPv4地址進行了掃描，這個被稱為SYNful Knock的后門應(yīng)用程序，在收到一串特別的、不合標準的網(wǎng)絡(luò)數(shù)據(jù)包硬編碼密碼之后，后門被激活。通過向每一個網(wǎng)絡(luò)地址發(fā)送無序TCP數(shù)據(jù)包而非密碼便可監(jiān)視應(yīng)答，因此研究者發(fā)現(xiàn)了那些被感染的后門。
本周二，當FireEye第一次曝出SYNful Knock的活動時，震驚了整個安全世界。植入的后門完全與合法思科路由器映像大小相同，同時在每次路由器重啟時都會加載。它可支持高達100個模塊，攻擊者能夠根據(jù)特定目標加載不同功能的模塊。
在首次披露中，F(xiàn)ireEye發(fā)現(xiàn)它在印度、墨西哥、菲律賓和烏克蘭的服務(wù)器上出現(xiàn)，共計14臺。這一驚人發(fā)現(xiàn)說明了一直以來偏向理論化的攻擊形式正逐步被積極運用。
而最新的研究結(jié)果顯示受害范圍其實遠遠不止四國，還包括美國、加拿大、英國、德國以及中國在內(nèi)的19個國家。
研究人員寫道：
這一后門可通過指紋識別，我們便使用修改過的ZMap掃描工具發(fā)送特制的TCP SYN數(shù)據(jù)包，掃描了所有公共IPv4地址。在9月15日掃描的4個公共IPv4地址空間，發(fā)現(xiàn)了79臺主機存在與SYNful Knock后門相符的行為。這些路由器分布于19個國家的一系列機構(gòu)中。值得注意的是，相比較IP地址的分配，非洲和亞洲植入后門的路由器數(shù)量驚人。而25臺受影響的美國路由器，都屬于同一個東海岸的網(wǎng)絡(luò)服務(wù)器供應(yīng)商。而受影響的德國和黎巴嫩路由器供應(yīng)商，同時也向非洲提供服務(wù)。
如何發(fā)現(xiàn)SYNful Knock后門
上圖便概括了本次研究結(jié)果;FireEye研究人員在博客中詳細解釋了如何檢測SNYful Knock后門。
研究人員使用網(wǎng)絡(luò)掃描工具Zmap進行了四次掃描。配置之后，便開始向每個地址發(fā)送設(shè)置為0xC123D和0的數(shù)據(jù)包，等待哪些響應(yīng)序列號設(shè)置是0，緊急標志并沒有設(shè)置，緊急指針設(shè)置為0×0001。
“我們沒有用一個ACK數(shù)據(jù)包進行響應(yīng)，而是發(fā)送RST。這并非利用漏洞進行登錄或者完成握手。這只是為了讓我們找出受感染的路由器。因為沒有植入后門的路由器并未設(shè)置緊急指針，并且只有1/232的概率選擇0作為序列號。”
目前可以確定的是SYNful Knock是一個經(jīng)過專業(yè)開發(fā)并且功能完備的后門，可以影響的設(shè)備遠超F(xiàn)ireEye此前的聲稱的數(shù)量。盡管受影響的設(shè)備中肯定有用于科學研究的蜜罐，用于幫助研究者尋找真正的幕后黑手以及發(fā)現(xiàn)后門是如何在路由器背后進行運作的。但是79臺設(shè)備都是誘餌的話，則似乎不太可能。目前FireEye沒有對這種可能性做出回應(yīng)。
目前尚沒有證據(jù)顯示SYNful Knock后門利用了思科路由器中任何漏洞，F(xiàn)ireEye高管表示這個后門背后的攻擊者——可能是有政府背景——似乎是利用了廠商設(shè)置的路由器默認密碼或者某種其他已知的攻擊方式。
研究者說，如果其他制造商的網(wǎng)絡(luò)設(shè)備感染了相似后門，一點都不奇怪。盡管截至目前，沒有證據(jù)表明來自其他制造商的設(shè)備可以感染這一后門，但是隨著研究人員掃描工作的持續(xù)進行，獲得支持這一理論的數(shù)據(jù)也只是時間問題。
解決方法
如果確定設(shè)備受到感染，最有效的緩解方法就是使用思科的干凈下載重新映像路由器。確定新映像的哈希值匹配，然后加固設(shè)備防止未來的攻擊。一定要更新設(shè)置、不要采用默認的，在確定路由器沒有受感染之后，也要關(guān)注其他網(wǎng)絡(luò)的安全。如果路由器沒有默認憑證，那么感染便是已經(jīng)發(fā)生了，下一步需要做的便是影響評估。
網(wǎng)站欄目：更多思科路由器發(fā)現(xiàn)后門：中國有4臺
文章源于：http://www.5511xx.com/article/dhcdgep.html
