去年10月,一家总部位于美国阿肯色州小石城的ISP公司Windstream,经历了前所未有的技术灾难。数十万用户的路由器突然故障,引发了大规模的网络服务中断。这一事件震惊了整个网络业,并揭示了网络安全的新威胁。
自10月25日起,Windstream的用户在网上论坛纷纷报告他们的路由器无法正常运行。一名用户描述道:“路由器现在只是静静地亮着红灯,就算按了重设也完全不理会。”这些用户所用的路由器,是Windstream为用户提供的ActionTec T3200型号。
在短短几天内,大量用户报告了网络完全瘫痪的情况,指责是公司推送的更新导致了他们家中的路由器故障。Windstream提供的宽带服务在美国18个州拥有约160万用户,影响范围包括爱荷华州、阿拉巴马州和乔治亚州等。
安全公司Lumen Technologies旗下的Black Lotus Labs于周四发布了一份报告,为此事件提供了新的线索。根据该报告,整起事件是由神秘的恶意软件所导致,从10月25日开始的72小时内,该软件破坏了超过60万台路由器,将这些路由器连接到一个自治系统( ASN),该自治系统号属于一家未具名的ISP的自治系统编号(ASN)。
自治系统(Autonomous system, AS)是指在网际网络中,一个或多个实体管辖下的所有IP网络和路由器的组合,它们对网际网络执行共同的路由策略。尽管AS支持了这多个自治系统,但对网际网络来说只能看到该AS的路由策略。所以AS必须具有一个公开且正式登记的自治系统编号(ASN)。
研究人员指出,这次攻击与Windstream用户在10月份的报告细节相当一致,包括受影响的路由器型号和停止运行的红灯状态。虽然Windstream拒绝回应,但研究显示这些路由器是被名为Chalubo的恶意软件永久性地覆盖了固件。
Black Lotus Labs表示,这次恶意固件更新是蓄意行为,目的是造成网络中断。这一事件对农村和服务不足的社区影响尤为严重,可能导致居民无法获得紧急服务,农业企业失去远程监控农作物的能力,医疗服务也受到干扰。
在路由器大规模中断后,Black Lotus Labs开始在Censys搜索引擎上查询受影响的路由器型号。一周的快照很快显示,就在报告开始时,一个特定ASN的这些型号路由器下降了49%。这相当于至少179,000台ActionTec路由器和超过480,000台Sagemcom出售的路由器断开连接。
据Black Lotus Labs称,这些路由器–保守估计至少有600000台–是被一个动机同样不明的未知威胁行为者破坏的。该行为者故意使用名为Chalubo的恶意软件,而不是定制开发的工具包来掩盖行踪。Chalubo内置的一项功能允许行为者在受感染设备上执行自订Lua脚本。研究人员认为,该恶意软件下载并运行的程序代码永久性地覆盖了路由器固件。
报告指出:“我们很有信心地认为,恶意固件更新是一种蓄意行为,目的是造成网络中断,虽然我们预计Internet上会有许多路由器品牌和型号受到影响,但这一事件仅限于单一的ASN。”
研究人员指出,这次攻击的规模和专注于特定的ASN,使其与以往的攻击不同。以往的攻击通常针对特定的路由器型号或常见漏洞,而这次则集中在单一供应商的网络中。虽然研究人员尚未确定感染路由器的最初手段,但他们建议用户采取通用的安全措施,包括安装安全更新、使用强密码替换默认密码和定期重启设备。
这次针对Windstream的攻击表明,网络安全威胁日益严峻,特别是针对大型ISP的恶意行为。相关机构和用户需提高警惕,加强防范措施,以应对未来可能的安全挑战。
原创文章,作者:管理员,如若转载,请注明出处:http://sina.com.cn.nomar.cn/archives/2358.html