Shellshock 漏洞 - 資安趨勢部落格

Shellshock漏洞屆滿一年，您的伺服器和裝置是否更安全了呢？

2015 年 09 月 30 日2015 年 09 月 30 日趨勢科技 TrendMicro

當 2014 年爆發 Shellshock 漏洞時，資安研究人員第一時間就跳出來回應。當大多數的 Unix、Linux 及 Mac OSX 作業系統皆普遍使用的 Bash指令列介面程式爆發嚴重漏洞時，研究人員同樣也迅速著手研究網站伺服器可能如何遭到該漏洞的攻擊。Shellshock 漏洞發現當時，全球約有五億台裝置和系統受到威脅。

而研究人員擔心的問題也很快就應驗，網路犯罪集團迅速將 Shellshock 整合至現有的攻擊當中，使得一些使用 Bash 指令列介面程式 (至今已有 25 年歷史) 的裝置和伺服器瞬間陷入危機。就在該漏洞曝光的幾小時後，趨勢科技研究人員就在網路上發現針對此漏洞的攻擊。趨勢科技在一個樣本當中發現了 ELF_BASHLITE.A 惡意程式，它不僅可讓歹徒從遠端存取電腦，還可發動分散式阻斷服務 (DDOS) 攻擊。

當時許多企業也迅速做出回應，這或許是因為有了幾個月前的 OpenSSLHeartbleed心淌血漏洞的經驗。加拿大政府也預防性地將某些含有漏洞的系統下線。此外，美國聯邦金融機構檢查委員會 (FFIEC) 也警告金融機構應小心Shellshock 的危險，而英國國家電腦緊急應變小組 (CERT-UK) 也對該漏洞發出警訊。

有關 Shellshock 可能造成網站安全問題的疑慮甚囂塵上，因為，歹徒只需幾行程式碼就能入侵含有漏洞的伺服器。經過一番測試之後我們發現，並非所有使用 Bash 的系統都有可能遭到遠端攻擊，只有預設使用 Bash 為指令列介面程式的作業系統才會遭到攻擊。

Shellshock 帶來的恐懼仍持續至今

就在漏洞曝光的一星期之後，更多 Bash 相關漏洞和惡意程式相繼出現。Shellshock 曾被用於 DDoS 攻擊，一家知名的雲端服務被用來攻擊其他伺服器，包括某政府機關的伺服器在內。此外，巴西的政府單位和中國一家金融機構也遭到此漏洞攻擊。另一個相關的惡意程式還會下載 KAITEN 惡意程式的原始碼，此程式專門用於 DDoS 攻擊。除了攻擊伺服器和裝置之外，Shellshock 攻擊也可能影響分配用戶端 IP 位址的 DHCP 通訊協定，以及電子郵件的 SMTP 傳輸協定。

事隔一年之後，這份恐懼已經漸漸消退，但威脅卻依然存在。Shellshock 相關的攻擊仍持續肆虐數位世界。從2015年第二季起，趨勢科技已發現超過 70,000 次使用 Shellshock 漏洞的攻擊以及大約 100,000 次使用Heartbleed心淌血漏洞的攻擊。我們刻意架設了一個含有 Shellshock 漏洞的誘捕網路，光在過去 15 天內即遭到 50 次攻擊。

Shellshock 相關的感染已蔓延全球。與一年前的情況相比，今日受害最嚴重的地區仍大致維持不變。當年 Shellshock 曝光後的第一個月，絕大多數受感染的電腦都分布在亞洲 (34%)、歐洲 (34%) 和北美 (11%)。過去一個月，絕大部分受感染的電腦還是分布在亞洲 (46%)、歐洲 (23%) 和北美 (14%)。亞洲地區感染率較高的原因很可能是系統修補作業較未能落實的緣故。

圖 1：2014 年 9 至 10 月受 Shellshock 影響的地區,亞洲居冠。

圖 2：2015 年 8 至 9 月受 Shellshock 影響的地區,亞洲居冠。

儘管目前 Shellshock 漏洞仍未出現重大攻擊，但這仍無法掩蓋它是一項普遍性漏洞的事實，而且歹徒有可能利用它來製造真實的傷害。它可用於取得遠端存取權限、發動 DDoS 攻擊、散布惡意程式、竄改並汙損網站、建立「Botnet傀儡殭屍網路」、竊取資料、散發垃圾郵件和網路釣魚郵件，以及執行其他惡意指令。只要駭客的想像力夠豐富，就有無限的方式可攻擊任何使用 Bash 的應用程式和連網裝置，包括：路由器、IP 攝影機、網路閘道 (如 Citrix 的 NetScaler、F5 的 BIGIP 及 Cisco 的產品)，以及網站 CGI 程式。繼續閱讀

Shellshock /Bash 漏洞有多糟糕？

2014 年 09 月 29 日2014 年 09 月 30 日趨勢科技 TrendMicro

Bash漏洞（又被稱為Shellshock）剛被報導沒多久，趨勢科技就已經看到一些攻擊用它來植入DDoS惡意軟體到Linux系統上。然而，鑒於此漏洞的嚴重性，我們幾乎可以肯定還會看到更大、更嚴重的攻擊出現。我們可能看到的情景有哪些呢？

伺服器

目前網頁服務器遭受漏洞攻擊的風險最高。現在CGI腳本是最可靠也最被詳盡說明的漏洞攻擊方式。如同我們早前文章所提到，趨勢科技已經看到此類攻擊出現在現實世界中。我們預期之後將會看到更多相關攻擊。

網頁伺服器被入侵對於組織的危害有可能會很嚴重。淪陷的伺服器可以變成攻擊者進入組織網路的進入點。攻擊者可以選擇在受影響伺服器上執行任何指令。Shellshock加上一些其他的提權漏洞就可以完全掌控受影響的伺服器。

然而，網頁伺服器並非唯一的高風險應用程式。SSH也可能會受到Shellshock影響。在這時候，任何使用Bash的Unix/Linux伺服器都處在危險之中。這些系統大多數都是預設使用Bash，只有一些例外。比方說FreeBSD的預設shell是tcsh。這Bash的替代品不被認為有此弱點。

端點

Shellshock對最終使用者來說可能不會有什麼危險。Windows系統不會受到Shellshock影響，因此這些系統的使用者不會直接受到此問題危害。

目前的數據顯示約有10%的個人電腦使用某種形式的Linux或Max OS X。這些作業系統可能有Shellshock的漏洞，雖然對此進行漏洞攻擊有些困難。端點系統通常不會運行可以讓攻擊者輕易存取到的網路服務（如HTTP伺服器），所以減低了風險。Mac應用程式並不像Unix/Linux應用程式那樣依賴shell腳本。不過因為SSH看來提供了遠端存取到Bash的可能管道，也讓它成為可能的感染載體。

對於最終使用者來說，最大的隱憂可能是透過運行在受影響路由器或網路熱點上的惡意DHCP伺服器。DHCP客戶端使用bash來配置系統設定；連到惡意DHCP伺服器的客戶端可能會在他們的系統上執行惡意指令。這在惡意的開放無線網路上特別容易做到。我們建議使用者連到無線網路時要多加小心，不過這也是一直以來最佳實作的一部分。（Mac OS X使用自己的DHCP客戶端，所以不受此漏洞影響。）

對於行動裝置來說，Android設備並不使用Bash shell，因此也不受此威脅影響。iOS設備也不會。不過越獄的iOS設備包括了一份Bash副本，這些設備就處在危險之中。同樣地，root過或修改過的設備會執行變種的 *nix系統（因此有用Bash）就可能會受到影響。

嵌入式設備/萬物聯網（IoE ,Internet of Everything）

許多組成物聯網的嵌入式設備都建立在嵌入式版本的Linux上，增加了它們可能會受攻擊的風險。這可能會讓設備上的資料被竊，以及讓設備本身成為「Botnet傀儡殭屍網路」的一部份，用到各種惡意活動上。

不過並非所有此類設備都使用Bash。許多此類設備使用的是BusyBox，其中並不含Bash。這些設備也不會受此漏洞影響。

診斷和修補受 Shellshock 影響的物聯網設備有極大的難度。可以用來檢查系統是否有此漏洞的標準測試也很難在嵌入式設備上執行。同樣地，許多物聯網廠商提供安全修補程式的記錄也不是很理想。這部分可能會對想要消除Shellshock危害的長遠目標造成重大問題。

現在最該擔心的是IT管理員, 趨勢科技提供免費工具給 IT管理員

在眼下，IT管理員對於面對網路提供服務的伺服器進行維護是處理此攻擊最該關心的事。正如我們在之前的部落格文章中提到，大多數廠商現在都已經提供修補程式來關閉此安全性漏洞。繼續閱讀

Shellshock/Bash漏洞攻擊持續出閘!!最新攻擊針對中國金融機構

2014 年 09 月 29 日2014 年 09 月 29 日趨勢科技 TrendMicro

看起來Shellshock/ Bash 漏洞攻擊真正地開門出閘了。我們已經報導過不同的攻擊來利用Bash漏洞，從僵屍網路攻擊到IRC僵屍機器人都有。

趨勢科技也發現了在巴西看到利用Shellshock漏洞來嘗試進行攻擊。看起來這些攻擊意圖並不僅限於該國家。我們看到另一波的Shellshock漏洞攻擊 – 這次是針對中國的金融機構。

趨勢科技的 Deep Discovery 偵測到此類攻擊意圖，並且發現攻擊者是想要嘗試多個屬於該機構的 IP 地址是否具有此 Shellshock漏洞，也就是 CVE-2014-06271。進一步的分析顯示有三個被測的IP地址可能有此漏洞，因為攻擊者試圖執行指令「/bin/uname –a」。指令「uname」會顯示系統資訊，包括作業系統平台、機器類型和處理器資訊。

乍一看，被取得系統資訊可能並無害處。但如同趨勢科技部落格在之前的文章中提過，資訊收集可能是為了準備更多破壞性計畫的指標。這指令可以為更大規模和更具破壞性的攻擊開道。

嘗試攻擊的時間很有意思，因為中國黃金週假期是從10月1日開始。所以這樣的嘗試很可能是在此假期間所進行攻擊的起始階段，因為網路系統管理員將在這段時候離開。

趨勢科技正在不斷地監視可能利用 Shellshock/Bash 漏洞的攻擊，同時確保使用者和組織在現實世界中免受此類威脅攻擊。趨勢科技的 Deep Discovery 提供了網路層面的能見度和威脅情報，以偵測和回應針對性攻擊及進階威脅。繼續閱讀

有關 Shellshock (Bash 漏洞) 的一些基本資訊(含資料圖表)

2014 年 09 月 29 日2016 年 01 月 25 日趨勢科技 TrendMicro

就在幾個月前，Heartbleed心淌血漏洞才橫掃網際網路，現在又出現了另一個存在已久的廣泛性安全漏洞，名叫 Shellshock (亦稱為 Bash 漏洞)，這一次，全球數以億計的伺服器和裝置及使用者都將受到威脅。Bash 漏洞之所以嚴重，是因為要利用它來發動攻擊輕而易舉，不需太大的專業技術能力。

這是什麼樣的漏洞？

Shellshock 是一個存在於 UNIX 類系統 Bash 指令列界面程式 (shell) 當中的漏洞。當今的 Bash 程式會讓使用者從遠端執行指令。如此一來，就能讓駭客在系統上執行惡意的程序檔 (script)，等於讓駭客掌控了一切。此漏洞的影響非常廣泛，因為所有的 Linux、BSD 和 Mac OS X 作業系統都受到影響，光是 Linux系統就占了網際網路上絕大多數的伺服器，再加上各種物聯網（IoT ,Internet of Things）裝置。

威脅的影響範圍及對象？

Shellshock/ Bash 漏洞等於在系統上開了一個後門，讓駭客能夠從遠端執行指令、取得系統控制權、挖掘資料、竊取資料、篡改網站等等。絕大多數採用 Linux 作業系統的電腦和連網裝置，如路由器、Wi-Fi 無線基地台、甚至智慧型燈泡都受到影響。

繼續閱讀