路由器 - 資安趨勢部落格

重新啟動你的路由器：VPNFilter感染全球超過50萬台的路由器

2018 年 05 月 31 日2018 年 05 月 30 日趨勢科技 TrendMicro

資安研究人員發表了一份報告,指出駭客利用惡意軟體 VPNFilter 感染至少54個國家，超過50萬台家用和小型企業路由器。這惡意軟體可以操縱受感染路由器進行攻擊、收集資料和進行通訊、竊取重要憑證、監視資料採集與監控系統（SCADA）協定，並且會安裝自殺指令來讓受感染設備無法使用。這些動作可以被單獨觸發或集中觸發。這波攻擊從2016年就已經開始，但在最近幾週突然大量增加，尤其是在烏克蘭。

根據研究人員對VPNFilter的觀察，這是種很複雜的模組化、多階段惡意軟體，會影響到商用路由器和NAS設備，並且分成三個階段進行散播和感染。

第一階段進行散播，目標設備是使用Busybox和Linux韌體的多種CPU架構。接著到Photobucket.com下載圖檔來取得IP地址以找到第二階段的伺服器。它的命令和控制（C&C）還有備用機制，像是如果Photobucket無法連上就會從ToKnowAll.com下載。它還會接收來自攻擊者的指令，從api.ipify.org檢查IP並儲存下來備用。在此階段就算是重新啟動設備，核心惡意程式碼也仍然存在於受感染系統中。

第二階段進行情報收集，如收集檔案、執行命令、管理設備和資料取出。它還部署了自毀能力。它能夠評估受感染設備的網路價值，特別是關於駭客感興趣的系統。駭客接著可以決定是否要利用此網路繼續收集資料，或利用系統的網路連線來進行散播。此階段的自毀功能會覆寫設備的重要部分再進行重啟，一旦攻擊者觸發內建的自殺指令就會破壞韌體，讓設備無法回復。繼續閱讀

上百萬台光纖路由器爆漏洞，變更網址即可避開認證機制

2018 年 05 月 10 日2018 年 05 月 10 日趨勢科技 TrendMicro

資安研究人員在上百萬個 Gigabit 被動光纖網路 (GPON) 家用路由器上發現了一個遠端程式碼執行 (RCE) 漏洞。此漏洞會讓駭客藉由修改瀏覽器網址列上的網址來輕易避開路由器登入頁面的認證機制，等於完全掌控了該路由器。根據 Shodan 全球連網裝置搜尋引擎的搜尋結果顯示，含有此漏洞路由器有一半都位於墨西哥，其餘一半的則分布在哈薩克和越南。

[延伸閱讀：路由器遭到攻擊：最新資安漏洞以及如何修正]

研究人員針對 Dasan Networks 所生產的路由器進行了完整的研究之後發現了可讓駭客避開其認證頁面的 CVE-2018-10561 漏洞，只要在存取該路由器的設定頁面時在網址末端加上「?images/」字串即可。除此之外，研究人員還能利用這項漏洞來注入指令，從遠端透過修改 DNS 設定對裝置及網路執行其他指令。

[延伸閱讀：2017 年最值得注意的家庭網路威脅]

GPON 是一種被動光纖網路，經常用於光纖路由器來提供高速網際網路連線，可讓使用者和所有相連的裝置經由光纖網路上網。其路由器通常由 ISP 提供，因此大多使用預設的帳號密碼。這讓駭客很容易竄改這些路由器的韌體，將路由器收編成殭屍網路的一員，進而被駭客用來從事中間人攻擊，或者竊取各種資訊以用於其他數位勒索或網路間諜活動。繼續閱讀

網路犯罪集團正嘗試利用家用裝置來挖礦

2018 年 03 月 23 日2018 年 03 月 23 日趨勢科技 TrendMicro

不肖的挖礦作業並不只暗藏在瀏覽器, 網路犯罪集團正在嘗試利用家用裝置來挖礦….
路由器是家中所有連網裝置的對外門戶，因此可能招來各種不同的網路威脅，讓使用者的資訊和安全陷入危險。本文將帶您回顧 2017 年當中最值得注意的一些家庭網路活動。

談到家中遭歹徒入侵，人們直覺會聯想到歹徒闖入民宅。然而隨著家庭連網裝置的大量普及，今日已出現了另一種型態的入侵者，那就是家用網路駭客，其目標是家中的連網裝置。光是全球數量龐大的入侵目標就足以吸引歹徒的覬覦，駭客不是利用勒索病毒將裝置鎖死，就是將裝置變成殭屍網路的成員，替歹徒發動分散式阻斷服務 (DDoS) 攻擊。其中最知名的案例就是 Mirai、Persirai 及 Reaper 等殭屍網路，這些案例證明了缺乏防護的連網裝置多麼具有破壞潛力。殭屍網路會收編一些含有漏洞的裝置 (例如：IP 攝影機和路由器)，然後利用這些裝置來癱瘓知名企業機構的網路，嚴重影響其網路服務。近年來，越來越多相關事件浮上檯面，例如：駭客入侵嬰兒監視器和智慧型電視，然後從遠端竊取個人資料或直接操控裝置。

缺乏防護的家用路由器將遭遇什麼威脅?

除了一般使用者會用到的電腦、智慧型手機、平板之外，一些連網的設備也開始快速進入家庭、工作場所，甚至工廠。這股無可阻擋的連網趨勢，使得我們的環境一旦缺乏適當防護，很容易就會遭到網路駭客攻擊，而這一切防護的起點就是路由器。

路由器一旦缺乏防護，將使得整個智慧家庭暴露於危險當中。因此，保護家用路由器，就等於保護家中所有的連網裝置。路由器可說是所有連網裝置的交通樞紐，使用者可透過路由器即時掌握所有家庭網路流量的狀況，並且讓各種裝置獲得防護。然而根據我們 2017 年的觀察，如果路由器連基本的安全設定都沒做好，例如：網路設定錯誤、密碼過於簡單、韌體從未更新等等，那可能將成為引來智慧家庭威脅的禍首。

針對連網設備的對內攻擊，以及利用連網設備的對外攻擊

家用網路相關的攻擊基本上分「對內」和「對外」兩種。所謂對內的攻擊，是指駭客從外部對家用網路內部的裝置發動攻擊，例如：桌上型電腦、平板、智慧型電視、電玩主機等等 (也就是從網際網路攻擊家用網路)。所謂對外的攻擊，是指駭客先利用對內攻擊來入侵某個家用裝置，然後在裝置上執行惡意程式，藉此蒐集資訊、攔截通訊，或者對外部網路上的目標發動攻擊 (也就是從家用網路攻擊網際網路)。

對內的攻擊	活動數量
MS17-010 SMB 漏洞攻擊	2,441,996
暴力破解 RDP 登入密碼	1,464,012
可疑的 HTML Iframe 標籤	926,065
暴力破解 Microsoft SQL 系統管理員密碼	431,630
暴力破解 POP3 登入密碼	373,782
暴力破解 SMTP 登入密碼	289,746
利用指令列腳本 (Shell Script) 執行遠端指令	241,498
CoinHive 挖礦作業	194,665
利用 Apache Struts 動態方法呼叫從遠端執行程式碼	175,019
Netcore 路由器後門漏洞攻擊	142,902

表 1：十大對內攻擊 (2017 年)。

註：根據我們監控資料顯示，在所有家用裝置當中，出現這些攻擊活動的主要是桌上型/筆記型電腦。

就趨勢科技 2017 年觀察到的家用網路流量，對外與對內攻擊的數量比例大約是 3:1，這表示家用裝置被用於攻擊網際網路的情況較多。有趣的一點是，MS17-010 SMB 漏洞攻擊是最常見的攻擊活動 (不論是對內或對外)，其目標是桌上型和筆記型電腦的 Windows Server Message Block (SMB) 檔案分享通訊協定漏洞。這可追溯至 2017 年 5 月爆發的 WannaCry 勒索病毒，該病毒在後續一整年當中仍不斷影響各種產業。由於 WannaCry 具備蠕蟲的自我複製能力，因此它不但能加密資料，還可感染醫院和工廠內的連網裝置和設備。繼續閱讀

Mirai 新變種 OMG 將物聯網設備變成代理伺服器

2018 年 03 月 06 日2018 年 03 月 02 日趨勢科技 TrendMicro

一隻被稱為OMG的新Mirai變種（趨勢科技偵測為ELF_MIRAI.AUSX）被發現會攻擊物聯網 IoT ,Internet of Thing）設備並將其轉變成代理伺服器。一個研究團隊發現了這隻新Mirai變種，它保留了Mirai原本的分散式阻斷服務（DDoS）攻擊功能，不過也修改了原始程式碼內的一些配置。

據這研究團隊所言，OMG能夠做到原始版本的功能：檢查與其他殭屍程式相關的開放端口及程序來終止Telnet、SSH和HTTP相關程序，使用Telnet暴力攻擊散播以及進行阻斷服務攻擊。關鍵性差別是OMG的代理服務功能。網路犯罪分子經常用代理服務來進行駭客攻擊和其他惡意活動。而且也可以販賣代理服務給其他網路犯罪分子來賺錢。研究人員指出這新變種會用兩個新字串來加入防火牆規則以允許兩個隨機端口上的流量通過。

Mirai（被偵測為ELF_MIRAI）是日語的“未來”，因其所能造成的損害而聞名。自從在2016年9月將原始碼發佈在駭客論壇上後成為了一個開放原始碼惡意軟體，它被廣泛地使用，並且修改得更加強大。繼續閱讀

物聯網殭屍網路Satori原始碼,被公開在Pastebin上

2018 年 01 月 09 日2018 年 01 月 08 日趨勢科技 TrendMicro

安全研究人員回報Satori物聯網（IoT ,Internet of Thing）殭屍網路的原始碼已經被放到Pastebin上。去年12月初，Satori在短短12個小時內就影響了28萬個IP地址，讓無數家用路由器成為其殭屍網路的一部分。

Satori（也被稱為Mirai Okiru，趨勢科技偵測為ELF_MIRAI.AUSR），意為日文的“啟蒙”或“覺醒”（“okiru”意為“升起”），被認為是惡名昭彰的Mirai殭屍網路繼承者，同樣地會將路由器殭屍化並攻擊知名網站使其離線。跟Satori一樣，原始的Mirai原始碼也被公開，並且發展出許多新版本。最近在哥倫比亞、厄瓜多、巴拿馬、埃及、突尼西亞和阿根廷都有出現使用Mirai的攻擊。