據(jù)研究機構預測，到2030年物聯(lián)網(wǎng)設備數(shù)量將超過294.2億，按照聯(lián)合國預測2030年全球人口85億計算的話，屆時平均每個人就對應3臺物聯(lián)網(wǎng)設備。
這么大的規(guī)模，自然被黑客們盯上。
從2008年起，針對物聯(lián)網(wǎng)設備的攻擊數(shù)量就逐年遞增，物聯(lián)網(wǎng)設備可以被用于發(fā)動DDoS攻擊、偽裝流量，或通過內置網(wǎng)絡攝像頭進行惡意窺探等。此外，網(wǎng)絡附屬存儲(NAS)盒子會被攻擊者進行惡意勒索，路由器會受到那些針對連接到其上的設備(如公共Wi-Fi網(wǎng)絡上的智能手機或受害者局域網(wǎng)中的其他設備)的惡意行為者的攻擊。
日前，卡巴斯基發(fā)布了《2023年物聯(lián)網(wǎng)威脅概述》，介紹了針對物聯(lián)網(wǎng)的威脅形勢以及暗網(wǎng)上提供的相關攻擊服務。我們基于此篇概述，結合相關案例進行分析，期望能夠將物聯(lián)網(wǎng)威脅的格局呈現(xiàn)一二。
1.攻擊向量
用大白話說就是攻擊方式。針對物聯(lián)網(wǎng)的攻擊方式主要有暴力破解密碼以及利用網(wǎng)絡服務中的漏洞。
暴力破解密碼主要針對兩個協(xié)議：Telnet(一種流行的未加密的物聯(lián)網(wǎng)文本協(xié)議)和SSH(一種更高級的流量加密協(xié)議)，通過進行暴力破解，可以在設備上執(zhí)行任意命令并注入惡意軟件。
由于Telnet未加密且在線訪問數(shù)量多，成為了主要的攻擊目標。2023年上半年，卡巴斯基蜜罐系統(tǒng)記錄到的密碼暴力破解嘗試中，針對Telnet和SSH的攻擊比例是98:2。
此外，用戶往往直接保留物聯(lián)網(wǎng)設備的Telnet和SSH使用的默認密碼，雪上加霜的是，許多物聯(lián)網(wǎng)設備還有不可更改的主密碼。
另一種方式——利用網(wǎng)絡服務中的漏洞就是將惡意代碼注入發(fā)送到Web界面的請求中。
這些攻擊的后果非常嚴重，例如TR-064協(xié)議當中的漏洞給ISP(網(wǎng)絡業(yè)務提供商)造成了災難性的影響，該漏洞使未經(jīng)身份驗證的TR-064協(xié)議包傳輸，導致Mirai惡意軟件的傳播，該惡意軟件可以利用IoT設備中的安全漏洞，感染數(shù)百萬IoT設備，形成僵尸網(wǎng)絡來發(fā)動攻擊。
接下來我們了解一下針對物聯(lián)網(wǎng)惡意攻擊的目標和類型。
2.針對物聯(lián)網(wǎng)的惡意軟件種類與攻擊目標
攻擊物聯(lián)網(wǎng)設備的惡意行為者可能追求各種不同的目標。他們可能利用被感染的硬件作為發(fā)動網(wǎng)絡攻擊的工具，偽裝惡意流量，利用設備資源進行加密貨幣挖礦，或要求贖金以恢復對設備的訪問權限。有些攻擊者可能針對任何物聯(lián)網(wǎng)設備進行無差別攻擊，也有人只攻擊具有特定條件的目標。
以下是對特定目標的物聯(lián)網(wǎng)惡意軟件類型的概述。
DDoS僵尸網(wǎng)絡
DDoS(分布式拒絕服務，DDoS:Distributed Denial of Service)攻擊是常見的IoT惡意攻擊類型。好比你有一個飯店能容納80個人，我找來1000人過來，還不吃飯，就會堵塞了正常的運營渠道。
攻擊者對物聯(lián)網(wǎng)設備不挑，只要能通過Web發(fā)送請求，都能用來進行DDoS攻擊。
關于DDoS網(wǎng)絡僵尸典型案例就是——轟動全球的針對Dyn公司的攻擊，包括Airbnb、Amazon、Github、華爾街日報、twitter、星巴克在內的多家知名公司網(wǎng)站崩潰。網(wǎng)絡安全員表示，這場攻擊涉及到眾多物聯(lián)網(wǎng)設備組成的僵尸網(wǎng)絡，攻擊流量估計有1.2Tbps，被當時被專家稱為“歷史上最大的此類型攻擊”。
無獨有偶，同年11月，Mirai被用于攻擊德國電信旗下90萬臺路由器，造成125萬消費者受影響，超過100萬英鎊的損失，最可怕的是，攻擊者甚至表示德國電信不是他的主要攻擊目標。
目前，多數(shù)DDoS僵尸網(wǎng)絡來自Mirai(針對物聯(lián)網(wǎng)設備的惡意軟件)源碼的衍生產(chǎn)品，后來出現(xiàn)的IoTrooper 和 Reaper，能以更快的速度入侵 IoT 設備，而RapperBot(針對物聯(lián)網(wǎng)的進化版僵尸網(wǎng)絡)主要由原創(chuàng)代碼組成，少量代碼為Mirai源碼。它的功能包括通過分析從Telnet服務接收到的初始身份驗證數(shù)據(jù)請求，進行智能暴力破解。惡意軟件可以利用該請求來識別設備類型，并繼續(xù)僅針對該類型的密碼進行暴力破解，從而提高其自我傳播性能。
人們對于DDoS和僵尸網(wǎng)絡的防范意識的不斷提升，最直觀的表現(xiàn)就是用錢投票——今年6月IDC發(fā)布的報告數(shù)據(jù)顯示，2022年，中國抗DDoS硬件安全產(chǎn)品市場規(guī)模約為9,500萬美元(約6.3億元人民幣)，規(guī)模同比增長6%。
勒索軟件
與DDoS惡意程序不同，勒索軟件主要攻擊包含用戶數(shù)據(jù)的物聯(lián)網(wǎng)設備，如NAS盒。
2022年，DeadBolt勒索軟件影響了數(shù)千臺威博通科技(QNAP)的NAS設備，攻擊利用了CVE-2022-27593漏洞，漏洞允許惡意行為者修改盒子上的系統(tǒng)文件，然后勒索受害者支付大概0.03單位的比特幣來恢復數(shù)據(jù)。盡管制造商發(fā)布了解決漏洞的更新，類似的攻擊仍然是一個問題。
根據(jù)360《2022 年勒索軟件流行態(tài)勢報告》統(tǒng)計，雖然 NAS 設備僅占到了所有系統(tǒng)類型中的 0.7%左右。但越來越多的勒索軟件家族開始將其攻擊對象瞄準 NAS 設備，例如：ech0Raix、QLocker、DeadBolt、AgeLocker、CheckMate 等勒索家族。
挖礦程序
盡管物聯(lián)網(wǎng)設備的處理能力較低，依然有攻擊者在Mirai攻擊中曾試圖利用它們進行比特幣挖礦。不過，由于相對低效，這種做法并未普及。
DNS修改器
惡意攻擊者可以利用物聯(lián)網(wǎng)設備來針對連接到它們的用戶。
2022年的Roaming Mantis(又名Shaoye，是一個針對亞洲國家的知名攻擊組織)通過一款安卓應用程序傳播，能夠通過管理界面修改Wi-Fi路由器的DNS設置。
使用默認登錄憑證(如admin:admin)的路由器都可能被感染，然后配置就會被更改為使用運營商的DNS服務器。該服務器將所有連接到路由器的用戶重定向到一個網(wǎng)站，該網(wǎng)站會上傳惡意的APK文件到安卓設備，并在iOS設備上顯示釣魚頁面。
Proxy Bot
與僵尸網(wǎng)絡類似，濫用被感染的物聯(lián)網(wǎng)設備的另一種普遍方式是——利用它們作為代理，重定向惡意流量，使其難以追蹤。這些代理服務器主要用于垃圾郵件活動、逃避反欺詐系統(tǒng)和各種網(wǎng)絡攻擊。包括攝像頭、智能家居、路由器等等都可以。
通信公司Lumen的Black Lotus實驗室在一篇博客中稱，他們發(fā)現(xiàn)了一項持續(xù)多年的波及全球路由器的惡意活動 —— 新型僵尸網(wǎng)絡 “AVrecon” 在未被察覺的情況下運行了至少兩年，感染了全球 7 萬臺路由器。
有意思的是，攻擊者們?yōu)榱朔乐雇懈偁?，還會針對設備增加功能以便防止競爭對手繼續(xù)感染。已感染設備的A選擇先發(fā)制人，其策略是添加防火墻規(guī)則來阻止入站連接嘗試，還未感染設備的軟件策略則是對特定進程名稱，掃描端口，并分析設備內存以查找惡意模式，以抑制已存在于設備上的感染
這其實有點像生物學里面的“超寄生防御”——一些共生菌可以分泌化學物質，阻止其他菌種或微生物寄生或感染宿主。
看來，盡管市場很大，物聯(lián)網(wǎng)黑產(chǎn)的行情也有點緊張。具體市場如何，卡巴斯基研究人員還是替我們逛了一圈暗網(wǎng)，一起看看黑產(chǎn)市場的貨架上都有什么?
3.卡巴斯基帶逛暗網(wǎng)
黑商銷售DDoS攻擊
DDoS攻擊(分布式拒絕服務)就是通過大規(guī)?；ヂ?lián)網(wǎng)流量淹沒目標服務器或其周邊基礎設施，以破壞目標服務器、服務或網(wǎng)絡正常流量的惡意行為。
黑客還給自己寫了廣告：
我自認是世界上最著名的受雇 DDoS 攻擊者。不說廢話——我只是告訴你為什么你應該選擇我的服務。
我們的優(yōu)勢：
從2020年就開始利用Medusa的僵尸網(wǎng)絡進行攻擊，手下的受控設備數(shù)量為10000至80000臺，每臺Windows PC只開啟50個瀏覽器實例，能夠繞過DDoS防御系統(tǒng)，自認為是2023年最大的Windows或物聯(lián)網(wǎng)僵尸網(wǎng)絡。
此外，還有直接針對物聯(lián)網(wǎng)的黑客服務，尋找物聯(lián)網(wǎng)設備當中的官方未發(fā)布補丁的零日漏洞。
還有一些黑客提供“一條龍”服務，打包銷售基礎架構和支持工具，例如一個“供應商”發(fā)帖售賣一個自制的DDoS機器人，配有C2服務器(命令和控制服務器)以及通過Telnet或SSH上傳惡意代碼的各種軟件和腳本。
更有“貼心”的黑客，直接把已經(jīng)預先感染的設備網(wǎng)絡“喂到嘴里”，一個帖子正在售賣位于阿根廷的200個路由器和攝像頭組成的僵尸網(wǎng)絡，當然，這種類型并不常見。
據(jù)統(tǒng)計，2023年上半年，卡巴斯基數(shù)字足跡情報服務分析人員在各種暗網(wǎng)論壇上發(fā)現(xiàn)700多個提供DDoS攻擊服務的帖子。據(jù)統(tǒng)計，這類攻擊的標價受多種因素的影響，例如DDoS保護、驗證碼和攻擊對象的JavaScript驗證。攻擊總體價格大概在20到10000美元。廣告發(fā)布者收取的平均價格大概在65.5美元/天或1350美元/月，大概一個月不到一萬人民幣。
4. 其他物聯(lián)網(wǎng)設備
攻擊者對連接到網(wǎng)絡的視頻攝像頭表現(xiàn)出興趣，這可以從購買和銷售被入侵的物聯(lián)網(wǎng)設備訪問權限的廣告中得到證明。
如上文所述，感染的網(wǎng)絡攝像頭可用于挖礦、DDoS或者作為代理，以匿名非法流量。安全研究人員Paul Marrapese研究了一些消費級攝像頭發(fā)現(xiàn)，盡管制造商們可以做得更好，他們依然對用戶提出的漏洞視而不見，這類攝像頭的制造商經(jīng)常使用各種點對點(P2P)協(xié)議，能夠與其他5000萬多個設備共享，但是這些協(xié)議要么對流量的加密級別很低，很容易受到中間人(MitM)攻擊。
根據(jù)Trend Micro的一項研究，類似攝像頭主人的私人生活被窺探事件也不少見，包括市面上大多數(shù)智能寵物喂食器都可以捕捉實時音頻和視頻，甚至針對兒童的智能設備也有類似問題。
卡巴斯基曾接到一家智能手表制造商的評估申請，為其工業(yè)物聯(lián)網(wǎng)安全成熟度模型進行評估，目睹這些設備缺乏安全性的情況，智能手表甚至能夠被用于監(jiān)視孩子及周圍環(huán)境的設備，結果當然是供應商未能通過測試，卡巴斯基拒絕為其頒發(fā)證書。
家用和工業(yè)物聯(lián)網(wǎng)設備的安全性都令人困擾，可怕的是，后者可能也存在基本的安全漏洞，其供應商推薦的設置是不安全的——最常見的配置問題是使用默認密碼。
例如，某個用于連接電梯設備與控制室監(jiān)控系統(tǒng)的媒體轉換器制造商在服務文檔中提供了極不安全的連接和配置建議，甚至提供了默認密碼，這么一來，技術不高的黑客也可以利用這些漏洞來完全控制轉換器。遺憾的是，這家企業(yè)僅在首次表現(xiàn)出及時解決問題的能力，對后期提出的漏洞修復要求視而不見。
5. 寫在最后
物聯(lián)網(wǎng)設備安全的維護，一方面來自制造商，另一方面來自用戶，研究最后希望在物聯(lián)網(wǎng)設備設計之初就考慮安全，放棄默認密碼并及時發(fā)布補丁。
除了對企業(yè)的期望，研究方在早些時期也給出了一些關于物聯(lián)網(wǎng)設備安全的最佳實踐，列舉如下：
及時了解設備和軟件更新
更改IoT設備的默認密碼
為所有設備和Wi-Fi網(wǎng)絡使用強密碼
更改路由器名稱，隱藏品牌
使用Wi-Fi強加密方法
設置訪客網(wǎng)絡
檢查IoT設備的隱私設置
跟蹤設備的可用功能并禁用未使用的功能
盡可能使用多重身份驗證
了解您的家庭網(wǎng)絡中有哪些物聯(lián)網(wǎng)設備
慎用公共 Wi-Fi
隨著人們對物聯(lián)網(wǎng)安全重視程度的提升，未來的物聯(lián)網(wǎng)安全應該會走上一個新的臺階。
