Mirai 僵尸网络衍生品引发全球 DDoS 攻击浪潮

两个Mirai 僵尸网络衍生品已在全球范围内发起了大规模分布式拒绝服务 (DDoS)攻击，目标是物联网 (IoT) 设备中的漏洞并利用薄弱的凭证。这些攻击凸显了基于 Mirai 的恶意软件所带来的持久威胁，这种恶意软件在臭名昭著的首次亮相近十年后仍然是一种强大的网络武器。

Mirai 的演变：对物联网安全的持续威胁

Mirai 僵尸网络长期以来一直是物联网设备固有漏洞的象征。自 2016 年其源代码泄露以来，Mirai 已激发了无数变种，每种变种都基于原始恶意软件的破坏能力。最近出现了两个不同的活动，利用 Mirai 衍生的恶意软件入侵物联网设备并发起全球 DDoS 攻击。

活动一：Murdoc 僵尸网络

其中一个活跃的活动被称为 Murdoc 僵尸网络，它正在传播 Mirai 恶意软件，以利用 Avtech 摄像头和华为 HG532 路由器等物联网设备中的特定漏洞。据 Qualys 研究人员称，该僵尸网络利用了已知漏洞，包括：

• CVE-2024-7029 ：Avtech 摄像机中存在身份验证绕过漏洞，允许攻击者远程注入命令。
• CVE-2017-17215 ：华为路由器中的远程代码执行 (RCE) 漏洞。

Murdoc 僵尸网络于 2024 年 7 月开始运作，迄今已入侵超过 1,300 个 IP，主要位于马来西亚、泰国、墨西哥和印度尼西亚。研究人员发现与该僵尸网络关联的服务器组超过 100 个，每个服务器组都负责管理受感染的设备并协调进一步的攻击。

该恶意软件通过 ELF 和 shell 脚本文件渗透到设备中，然后用于安装 Mirai 恶意软件变种。这些受感染的设备被用作武器，参与大规模 DDoS 攻击，从而形成一个强大的全球僵尸网络。

活动 2：针对全球组织的混合恶意软件

第二次攻击活动利用了源自 Mirai 和 Bashlite 的恶意软件，针对的是北美、欧洲和亚洲的组织。趋势科技的研究人员发现了大规模 DDoS 攻击，这些攻击最初影响了日本企业和银行，然后蔓延到了全球。

攻击媒介和目标设备

攻击者专注于利用广泛使用的物联网设备中的安全漏洞和弱凭证，例如：

• TP-Link 路由器
• Zyxel 路由器
• 海康威视 IP 摄像机

该恶意软件利用远程代码执行漏洞和弱密码获取访问权限，然后下载脚本来破坏设备。这一全球行动采用了两种主要类型的 DDoS 攻击：

1. 网络过载攻击：用大量数据包淹没网络，从而压垮带宽。
2. 资源耗尽攻击：创建大量会话来耗尽服务器资源。

在某些情况下，攻击者会结合两种方法来最大限度地造成破坏，对受影响地区造成严重破坏。

防御措施：减轻 Mirai 僵尸网络的影响

基于 Mirai 的攻击活动卷土重来，凸显了组织机构需要加强对 DDoS 攻击的防御能力。Qualys 和 Trend Micro 的研究人员提供了应对这些威胁的重要建议。

常规最佳实践

1. 监控可疑活动：定期跟踪流程、事件和网络流量，查找入侵迹象。
2. 避免不受信任的来源：不要执行来自未知来源的 shell 脚本或二进制文件。
3. 强化物联网设备：确保设备更新了最新的固件并具有强大而独特的密码。

缓解网络过载攻击

• 使用防火墙或路由器阻止恶意 IP 地址并限制不必要的流量。
• 与互联网服务提供商合作，过滤网络边缘的 DDoS 流量。
• 升级路由器硬件来处理更大的数据包量。

缓解资源耗尽攻击

• 实施速率限制以限制来自特定 IP 地址的请求数量。
• 使用第三方 DDoS 防护服务来过滤恶意流量。
• 持续实时监控连接并阻止活动过多的 IP。

Mirai 的持久遗产

这些最新的 Mirai 僵尸网络活动清楚地提醒了我们不受保护的物联网设备所带来的风险。随着攻击者不断改进其策略并利用物联网漏洞，组织必须保持警惕、积极主动并做好准备以减轻 DDoS 攻击的风险。通过采取强有力的安全措施并促进网络安全利益相关者之间的合作，我们可以减少这些持续威胁的影响。