[摘要]該結(jié)果是由一組計(jì)算機(jī)科學(xué)家發(fā)現(xiàn)的，他們對(duì)整個(gè)IPv4地址空間進(jìn)行了清點(diǎn)。

據(jù)國外媒體報(bào)道，對(duì)思科路由器的秘密攻擊實(shí)際上比之前在媒體上報(bào)道的更為活躍。 19個(gè)國家的至少79臺(tái)路由器已被感染，其中包括美國互聯(lián)網(wǎng)服務(wù)提供商擁有的25臺(tái)路由器。在中國，發(fā)現(xiàn)三臺(tái)路由器被感染。

結(jié)果是由一群計(jì)算機(jī)科學(xué)家發(fā)現(xiàn)的，他們對(duì)整個(gè)IPv4地址空間進(jìn)行了清點(diǎn)，以期識(shí)別所有受感染的設(shè)備。

據(jù)Ars周二稱，在路由器收到硬編碼密碼和一串不尋常的不合規(guī)網(wǎng)絡(luò)數(shù)據(jù)包后，所謂的SNYful Knock路由器植入被激活。科學(xué)家在不發(fā)送密碼的情況下向每個(gè)Internet地址發(fā)送無序TCP數(shù)據(jù)包，然后監(jiān)視另一方反饋的數(shù)據(jù)，以檢測(cè)哪些路由器被后門感染。

安全公司FireEye是第一個(gè)報(bào)告周二爆發(fā)SNYful Knock后門程序的人。植入物的大小與合法的Cisco路由器映像完全相同，并且每次路由器重新啟動(dòng)時(shí)都會(huì)自動(dòng)加載。它支持多達(dá)100個(gè)模塊供攻擊者在針對(duì)特定目標(biāo)發(fā)起攻擊時(shí)使用。 FireEye在印度，墨西哥，菲律賓和烏克蘭的14臺(tái)服務(wù)器中找到了這個(gè)后門。

這是一個(gè)重大發(fā)現(xiàn)，因?yàn)樗砻骼碚摴魧?shí)際上已被主動(dòng)激活。最近的研究表明，這種后門程序正在被更廣泛地使用，研究人員已經(jīng)在許多國家發(fā)現(xiàn)它，包括美國，加拿大，英國，德國和中國。

FireEye研究人員發(fā)表了一篇廣泛的文章，解釋了如何檢測(cè)和刪除SNYful Knock后門。

研究人員周二使用名為ZMap的互聯(lián)網(wǎng)掃描儀進(jìn)行了為期四周的掃描。在向每個(gè)因特網(wǎng)地址發(fā)送0xC123D數(shù)字編碼和確認(rèn)數(shù)字設(shè)置為0的無序數(shù)據(jù)包之后，監(jiān)視反饋信息，發(fā)現(xiàn)序列號(hào)設(shè)置為0，緊急標(biāo)志恢復(fù)，緊急情況指針被設(shè)置為與0x0001的反饋信息對(duì)應(yīng)的地址。

研究人員說：“我們沒有響應(yīng)ACK數(shù)據(jù)包，但發(fā)送了一個(gè)RST數(shù)據(jù)包并關(guān)閉了連接。這不會(huì)觸發(fā)漏洞，嘗試登錄或完成通信握手。但是，這可以讓我們區(qū)分路由器來自沒有后門的路由器的惡意后門托管，因?yàn)闆]有填充后門的路由器不設(shè)置緊急指針，只有兩個(gè)點(diǎn)。其中一個(gè)概率選擇0作為序列號(hào)。”

現(xiàn)在可以肯定的是，SYNful Knock是由專業(yè)人士開發(fā)的功能齊全的后門。感染此惡意程序的路由器幾乎肯定會(huì)主動(dòng)感染更多設(shè)備。幸運(yùn)的是，科學(xué)家監(jiān)測(cè)的許多設(shè)備都是蜜罐誘捕系統(tǒng)。

所謂的蜂蜜陷阱系統(tǒng)是指安全研究人員故意感染的路由器設(shè)備，以便找到攻擊背后的線索以及攻擊的執(zhí)行方式。在FireEye報(bào)告中感染的79個(gè)設(shè)備不太可能是陷阱設(shè)備。

根據(jù)FireEye周二的報(bào)告，目前沒有證據(jù)表明SYNful Knock利用了思科路由器中的漏洞。據(jù)FireEye高管稱，此類植入物背后的匿名攻擊者可能獲得州級(jí)資助。

研究人員表示，如果其他供應(yīng)商的網(wǎng)絡(luò)設(shè)備感染了類似的后門，那就不足為奇了。到目前為止，沒有證據(jù)表明其他制造商的設(shè)備受到感染，但研究人員將繼續(xù)掃描互聯(lián)網(wǎng)，并可能找到證據(jù)證明這一想法的正確性。 （林敬東）

« 華興資本退出饑餓？融資草案是懸念：夸大融資金額？ | 跑步并沒有贏得摩爾定律，許多IT巨頭面臨著寒冷的冬天裁員 »