天创培训:您身边的信息安全培训专家!
开班计划
2020年4月CISP直播班
主讲老师   张老师、王老师等
开课时间   4月
培训方式   网络课程
授课天次   培训5天+考试半天
上课时间   4月
课程介绍 在线报名
行业动态您当前位置:首页 > 最新动态 > 行业动态

Satori(觉醒)新僵尸网络出现,在过去的12个小时内已经激活超过28万个不同的IP

作者:天创培训  来源:px.tcnet.com.cn  更新时间:2017-12-07  关键词:僵尸网络

Satori(觉醒)新僵尸网络出现,在过去的12个小时内已经激活超过28万个不同的IP

研究人员警示大家一个新的僵尸网络Satori,在过去的12个小时内已经激活超过28万个不同的IP。Satori这个名字来源于日语“觉醒”,这是之前Mirai IoT僵尸网络的变种。

来自360 Netlab实验室的Li Fengpei表示,Satori变种会扫描37215和52869端口。

Satori变种与Mirai截然不同

Mirai的Satori变种与之前所有的Mirai病毒都不同。

之前的Mirai版本感染了物联网设备,然后下载telnet扫描器组件扫描其他的Mirai僵尸主机。

而Satori不会使用扫描器,而是使用两个潜入的exp,尝试从37215和52869端口连接远程设备。

这就把Satori变成了物联网蠕虫,不需要别的组件就能自行传播。

来自华为的exp?

Li表示,Netlab观察到12个小时内263,250个IP扫描了37215端口,19,403个IP扫描了52869端口。半天之内就出现了超过280,000个主机。

Satori(觉醒)新僵尸网络出现,在过去的12个小时内已经激活超过28万个不同的IP

僵尸网络达到这个程度很罕见。Satori的成功很大程度上来源于它能够自我传播的特性,而自我传播的功能可能源于一个0day漏洞。

“37215端口的漏洞还没有完全公开,我们的团队最近几天一直在跟踪这个问题,但我们不会讨论这个问题。”

宽带互联网服务提供商CenturyLink的首席安全策略师Dale Drew今天早些时候在接受ArsTechnica采访时表示,他认为这个僵尸网络使用了华为家庭网关路由器的0day漏洞,这是Check Point在11月底发现的一个远程代码执行漏洞,不过没有公开大量细节。

安全研究人员与Bleeping Computer分享了关于exp的细节,通过Shodan搜索受影响的设备可以获得超过225,000个搜索结果。

Satori(觉醒)新僵尸网络出现,在过去的12个小时内已经激活超过28万个不同的IP

至于52869端口的漏洞则是针对Realtek设备(CVE-2014-8361)中一个已知的旧漏洞,可能在大部分设备上都已经修复,因此这个漏洞的exp不怎么成功。

Satori与Mirai僵尸网络有联系

Li还指出,有线索把Satori与Netlab上个月发现的另一个基于Mirai的僵尸网络联系在一起,这个网络位于阿根廷,主机达到了10万个。

目前还不清楚同一个人是否同时运行这两个僵尸网络,但是Li说目前的Mirai Satori变种和之前基于Mirai的僵尸网络中的文件名和静态特征以及一些C2协议有一些相似性。

一名安全研究人员今天告诉Bleeping Computer,他们也相信两个僵尸网络是相关的,Satori从上个月




推荐阅读

网站首页 |  关于天创 |  课程体系 |  最新动态 |  联系我们 |  网站地图 |  二维码
版权所有:江苏天创科技有限公司 苏ICP备16028135号-2
苏州总部地址:江苏省苏州市十梓街327号 电话:0512-65129087 传真:0512-65157410 邮编:215000
南京分公司地址:南京珠江路88号新世界中心A座 电话:025-84533276 传真:025-84533286 邮编:210000