Mirai 殭屍網路衍生產品引發全球 DDoS 攻擊浪潮

兩個Mirai 殭屍網路衍生性商品在全球發起了激進的分散式阻斷服務 (DDoS)活動，針對物聯網 (IoT) 裝置中的漏洞並利用弱憑證。這些活動強調了基於 Mirai 的惡意軟體所構成的持久威脅，該惡意軟體在臭名昭著的首次亮相近十年後仍然是一種強大的網路武器。

Mirai 的演進：物聯網安全的持續威脅

Mirai 殭屍網路長期以來一直是物聯網設備固有漏洞的象徵。自 2016 年原始程式碼洩露以來，Mirai 催生了無數變體，每個變體都建立在原始惡意軟體的破壞性能力之上。最近出現了兩種不同的活動，利用 Mirai 衍生的惡意軟體危害物聯網設備並發動全球 DDoS 攻擊。

活動 1：Murdoc 殭屍網絡

其中一項名為 Murdoc 殭屍網路的活躍活動正在傳播 Mirai 惡意軟體，以利用 Avtech 相機和華為 HG532 路由器等物聯網設備中的特定漏洞。根據 Qualys 的研究人員的說法，該殭屍網路利用了已知的漏洞，包括：

• CVE-2024-7029 ：Avtech 攝影機中的身份驗證繞過漏洞，允許攻擊者遠端注入命令。
• CVE-2017-17215 ：華為路由器中的遠端程式碼執行 (RCE) 缺陷。

Murdoc 殭屍網路於 2024 年 7 月開始運行，已危害超過 1,300 個 IP，主要分佈在馬來西亞、泰國、墨西哥和印尼。研究人員發現了超過 100 個與殭屍網路相關的不同伺服器群組，每個伺服器群組的任務是管理受感染的設備並協調進一步的攻擊。

該惡意軟體透過 ELF 和 shell 腳本檔案滲透設備，然後用於安裝 Mirai 惡意軟體變體。這些受感染的設備被武器化以參與大規模的 DDoS 攻擊，從而創建了一個強大的全球殭屍網路。

活動 2：針對全球組織的混合惡意軟體

第二個活動利用來自 Mirai 和 Bashlite 的惡意軟體，目標是北美、歐洲和亞洲的組織。趨勢科技研究人員發現大規模 DDoS 攻擊最初影響日本企業和銀行，然後蔓延到全球。

攻擊向量和目標設備

攻擊者主要利用廣泛使用的物聯網設備中的安全漏洞和薄弱憑證，例如：

• TP-Link路由器
• 合勤路由器
• 海康威視網路攝影機

該惡意軟體利用遠端程式碼執行漏洞和弱密碼來取得存取權限，然後下載腳本來危害設備。此次全球行動主要採用了兩種類型的 DDoS 攻擊：

1. 網路過載攻擊：大量資料包淹沒網絡，導致頻寬不堪負荷。
2. 資源耗盡攻擊：建立大量會話以耗盡伺服器資源。

在某些情況下，攻擊者會結合這兩種方法來最大程度地造成損害，從而對受影響地區造成嚴重破壞。

防禦措施：減輕 Mirai 殭屍網路的影響

基於 Mirai 的活動的復甦凸顯了組織需要加強對 DDoS 攻擊的防禦。 Qualys 和趨勢科技的研究人員提供了應對這些威脅的重要建議。

一般最佳實踐

1. 監視可疑活動：定期追蹤進程、事件和網路流量以查找妥協跡象。
2. 避免不受信任的來源：避免執行來自未知來源的 shell 腳本或二進位。
3. 強化物聯網設備：確保設備更新為最新韌體，並擁有強大、獨特的密碼。

減輕網路過載攻擊

• 使用防火牆或路由器封鎖惡意 IP 位址並限制不必要的流量。
• 與網路服務供應商合作，在網路邊緣過濾 DDoS 流量。
• 升級路由器硬體以處理更高的資料包量。

緩解資源耗盡攻擊

• 實施速率限制以限制來自特定 IP 位址的請求數量。
• 使用第三方 DDoS 防護服務來過濾惡意流量。
• 持續即時監控連線並阻止過度活動的 IP。

Mirai 持久的遺產

這些最新的 Mirai 殭屍網路活動明確提醒人們，未受保護的物聯網設備會帶來風險。隨著攻擊者不斷完善其策略並利用物聯網漏洞，組織必須保持警惕、積極主動，並做好減輕 DDoS 攻擊風險的準備。透過採取強有力的安全措施並促進網路安全利害關係人之間的合作，我們可以減少這些持續威脅的影響。