物联网安全威胁情报(2022年10月)

1总体概述

2物联网恶意程序样本及传播情况

本月共捕获物联网恶意样本82,121个，按恶意样本的家族统计情况如下图所示：

图2：僵尸家族恶意样本家族数量统计

本月监测发现恶意样本传播节点IP地址140255个，其中位于境外的IP地址主要位于印度(82%),巴西(7%),巴基斯坦(2%)国家/地区，地域分布如图3所示。

图3：境外恶意程序传播服务器IP地址国家/地区分布

其中传播恶意程序数量最多的10个C段IP地址及其区域位置如表1所示：

表1：传播恶意程序数量TOP10 IP地址及位置

其中传播恶意最广的10个样本如表2所示：

表2：传播最广的TOP10样本

3C&C控制服务器情况

本月监测到活跃的控制端主机（C&C服务器）地址357个，其每日活跃情况按照恶意家族和天数统计如下。

图4：C&C服务器按照僵尸家族每日数量

监测发现C&C控制节点IP大部分为位于美国(30.0%),澳大利亚(10.9%),俄罗斯(8.4%)等国家地区，按照所在国家分布统计如下图所示

图5：物联网僵尸网络c&c地址国家地区分布（ToP30）

其中，本月最活跃的TOP10的C&C服务器如表3所示：

表3：本月活跃的C&C地址列表

4感染节点情况

本月监测到境内的物联网僵尸网络感染节点IP地址有261043个，主要位于广东省(17.5%),云南省(11.6%),河南省(11.5%)等地域分布如下表所示：

图6：僵尸网络受感染及节点IP数境内各省市分布情况

每日活跃情况统计如下:

图7：每日活跃被控端服务器总量

感染节点按照IP属性分布，感染节点大多数属于住宅用户、数据中心、企业专线等类型，具体分布如下图所示。

图8：感染节点IP线图类型统计

5
物联网恶僵尸网络情况

本月监测发现的活跃物联网僵尸网络有28个，其中最活跃的有mirai(62.0%),mozi(30.7%),gafgyt(3.0%)等。每个僵尸网络按照规模大小统计情况如下：

图9：活跃僵尸网络规模统计

按照每日活跃情况统计如下：

图10：僵尸网络每日活跃情况统计

其中最活跃的前三个僵尸网络家族的感染控制节点分布如下所示。

图11：mirai世界分布

图12：mozi世界分布

图13：gafgyt世界分布

6整体攻击态势

物联网僵尸网络大量利用漏洞利用攻击进行感染传播，本月监测发现734种物联网漏洞攻击，新增12种漏洞攻击，监测到物联网（IoT）设备攻击行为13.48亿次。漏洞攻击每日活跃情况如图所示：

图14：物联网漏动攻击种类每日活跃图

图15：物联网漏动攻击次数每日活跃图

被利用最多的10个已知IoT漏洞分别为：

表4：被利用最多的10个已知IoT漏洞

7
本月值得关注的在野漏洞

PfSense PfBlockerNG shell上传漏洞(CVE-2022-31814)

漏洞信息：

pfBlockerNG是一个热门的默认未安装的pfSense插件。通常用于阻止来自整个国家或IP范围的入站连接。其2.1.4_26及以下版本包含该漏洞，攻击者可以通过未经验证的RCE漏洞来实现root访问。

在野利用POC:

参考资料：

https://nvd.nist.gov/vuln/detail/CVE-2022-31814

https://packetstormsecurity.com/files/168743/pfSense-pfBlockerNG-2.1.4_26-Shell-Upload.html

2. GLPI命令注入漏洞(CVE-2022-35914)

漏洞信息：

GLPI是一款基于PHP的管理IT资产的开源软件。该软件提供功能全面的IT资源管理接口，可以用来全面管理电脑，显示器，服务器，打印机，网络设备，电话等。

GLPI10.0.2及之前版本存在安全漏洞，该漏洞源于htmlawed模块中的/vendor/htmlawed/htmlawed/htmLawedTest.php，允许PHP代码注入。

在野利用POC：

参考资料：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-35914

https://packetstormsecurity.com/files/169501/GLPI-10.0.2-Command-Injection.html

8往期回顾

转载请注明来源：关键基础设施安全应急响应中心“投稿联系方式：010-82992251   [e-mail]”