本文討論我們對 Mirai 和 Bashlite 等殭屍網路幕後操縱 (C&C) 伺服器長期監控所蒐集來的資料,也說明這樣的資料如何用來提升 IoT 裝置防護。
趨勢科技在 2020 上半年資安總評報告中指出,2020 上半年,針對裝置與路由器的對內攻擊較 2019 下半年成長了 70%。這項資料也包含針對物聯網(IoT ,Internet of Thing)裝置的攻擊,這類攻擊目前已普遍到相當令人憂心。

為了保護客戶,趨勢科技一直都在監控 IoT 攻擊的發展趨勢,我們也在這份報告當中分析了 Mirai 和 Bashlite (也就是 Qbot) 這兩個最惡名昭彰的 IoT 殭屍網路。本文摘要說明這兩個殭屍網路 C&C 伺服器、IP 位址與 C&C 指令的一些相關數據。然後再針對 Mirai 探討它最常使用的攻擊手法與其變種的分布情況。
我們一直在對 Mirai 與 Bashlite 的 C&C 伺服器進行長期監控,其中,IP 位址與連接埠的資料是取自於相關惡意程式樣本的分析,這些樣本一方面來自於我們內部的資料庫,另一方面來自公開來源,例如 Twitter 貼文。本文的資料蒐集時間為 2019 年 1 月 1 日至 2020 年 8 月 31 日。如同其他蒐集到的資料一樣,我們會運用這些監控資料來提升我們的防護產品與解決方案。
數以千計的活躍中 C&C 伺服器顯示, IoT 攻擊相當普遍
表 1 顯示我們在前述期間所發現的 C&C 伺服器,我們蒐集到 7,030 個 Mirai 的 C&C 伺服器位址以及 5,010 個 Bashlite 的位址。絕大多數伺服器目前都應該已經「死了」或者不在活躍狀態。換句話說,在我們發現的時候,它們已經不接受任何連線了。不過,剩下的伺服器 (Mirai 有 2,951 個,Bashlite 有 1,746 個) 仍在運作或活躍當中。我們也觀察到,至少有 2,107 個 Mirai 伺服器與 1,715 個 Bashlite 伺服器曾經發送分散式阻斷服務 (DDoS) 攻擊指令給被感染的用戶端。圖 1 顯示有多少 C&C 伺服器在被發現當時還接受連線。
繼續閱讀