Chalubo僵尸网络的目标是Linux系统

本周来自安全供应商的两份报告强调，管理员需要更改其环境中所有设备的默认密码，否则就有可能成为僵尸网络的武器。

首先，Sophos表示，一个新的分布式拒绝服务(DDoS)僵尸网络已经形成，它的目标是面向internet的SSH服务器，用于对基于linux的系统进行远程访问。

同样在本周，Netscout发布了一份有趣的分析报告，分析了各种各样的Murai僵尸网络中用于蛮力攻击的密码，这可能会为威胁分析者提供有趣的线索(见下文)。

这个新的僵尸网络被Sophos称为Chalubo，因为它使用恰恰流密码对主要的僵尸组件和相应的Lua脚本进行加密。“反分析技术的采用表明了Linux恶意软件的演变，”Sophos说，“作者采用了Windows恶意软件更常见的原则来阻止检测。与它的一些前辈一样，Chalubo合并了来自Xor的代码。DDoS和Mirai恶意软件家族。”

当Chalubo的下载程序在8月下旬开始流传时，攻击者在受害者的设备上发出命令来检索恶意软件。它有三个组件:一个下载器;主bot(最初只在x86处理器架构的系统上运行);以及Lua命令脚本。到10月中旬，攻击者已经发出了检索Elknot dropper(检测为Linux/DDoS-AZ)的命令，而Elknot dropper又提供了Chalubo包的其余部分。

现在有多种运行在不同处理器架构上的chaluboversion，包括32位和64位ARM、x86、x86_64、MIPS、MIPSEL和PowerPC。

网络钓鱼是攻击者突破组织网络防御的最成功方式之一。但是学历造假——背后有……

来自安全供应商Eset蒙特利尔分部的威胁研究人员与微软的同事一起帮助联邦调查局和…

因为Chalubo通过对SSH服务器利用常见的用户名和密码组合来感染系统，所以Sophos敦促SSH服务器(包括嵌入式设备)的系统管理员更改这些设备上的任何缺省密码，因为这种蛮力试图循环使用常见的、公开的缺省密码。如果可能，登录时最好使用SSH密钥而不是密码。

Netscout报告研究了僵尸网络代码中包含的密码/用户名组合，这些组合用于对设备进行蛮力攻击。当一个设备被破坏时，它被用来帮助传播攻击到其他人。

报告称，使用物联网设备(从监控摄像头到工业控制器)附带的工厂安装的用户名和密码，是僵尸网络创造者的“制胜策略”。例如，前5个组合是admin/admin和guest/12345。报告称:“拥有最佳名单的僵尸网络运营商将产生更大的僵尸网络，并获得发动DDoS攻击的更强大火力。”

僵尸网络随机选择一个IP地址进行攻击，并通过用户名和密码列表进行工作，直到放弃或感染目标设备。但Netscout在分析了9月份从联系其蜜罐的僵尸网络收集的数据后表示，存在区域性模式。这些模式表明，在一个国家很常见的设备，如果它们的默认密码在僵尸网络列表中，并且没有被修改过，那么它们比其他国家的设备更有可能被成功攻击。这可能会提示管理员哪些设备最容易受到攻击。

例如，来自俄罗斯的僵尸网络中出现的一个不寻常的用户名/密码组合是root/20080826。这是第七大最常见的组合，不过全球排名第91位。无论哪种设备使用这种组合都是非常脆弱的，而且在俄罗斯比世界其他地方更常见。

类似地，在一个来自加拿大的僵尸网络中，一个不寻常的组合是root/xmhdipc。这是僵尸网络名单上第九常见的组合，但在世界上仅排名第30位。这再次表明，这里有很多设备使用默认用户名/密码的组合。互联网搜索显示，这是一个家庭或办公室监控摄像头。

加拿大是遭受神秘僵尸网络攻击的国家之一。

在一次采访中，Netscout安全研究分析师马修·宾(Matthew Bing)指出，僵尸网络的构建者总是在添加他们的用户名/密码列表。Murai僵尸网络最初有1065个组合。仅增加了1000多个用户名/密码组合。重用Murai代码的攻击者有自己的列表。

他说，让物联网设备的管理员界面能够接入开放的互联网，而不是受到防火墙或家庭路由器的保护，这仍然是一个大问题，此外，在可能的情况下不要更改默认密码。