一款名為“ShadowV2”的新型Mirai衍生僵尸網(wǎng)絡(luò)惡意軟件被發(fā)現(xiàn)利用已知漏洞，針對(duì)D-Link、TP-Link等廠商的物聯(lián)網(wǎng)設(shè)備發(fā)起攻擊。

FortiGuard Labs研究人員在10月亞馬遜云服務(wù)大規(guī)模宕機(jī)期間監(jiān)測(cè)到該攻擊活動(dòng)。盡管兩起事件并無(wú)關(guān)聯(lián)，但該僵尸網(wǎng)絡(luò)僅在宕機(jī)期間活躍，這一特征或表明此次活動(dòng)為一次測(cè)試性攻擊。

攻擊載體：8個(gè)跨廠商IoT設(shè)備漏洞

ShadowV2通過(guò)利用多款I(lǐng)oT產(chǎn)品的至少8個(gè)已知漏洞進(jìn)行傳播，涉及設(shè)備及對(duì)應(yīng)漏洞如下：

·DD-WRT路由器：CVE-2009-2765

·D-Link設(shè)備：CVE-2020-25506、CVE-2022-37055、CVE-2024-10914、CVE-2024-10915

·DigiEver設(shè)備：CVE-2023-52163

·TBK設(shè)備：CVE-2024-3721

·TP-Link設(shè)備：CVE-2024-53375

其中，CVE-2024-10914是已被公開(kāi)利用的命令注入漏洞，影響D-Link

經(jīng)與廠商核實(shí)后確認(rèn)，受影響設(shè)備型號(hào)同樣不會(huì)獲得該漏洞的修復(fù)支持。D-Link

另一漏洞CVE-2024-53375于2024年11月被詳細(xì)披露，據(jù)悉廠商已通過(guò)測(cè)試版（beta）固件更新修復(fù)該漏洞。

攻擊范圍與技術(shù)特征

ShadowV2 使用的各種漏洞利用

FortiGuard Labs研究人員表示，ShadowV2的攻擊流量源自IP地址198[.]199[.]72[.]27，目標(biāo)涵蓋路由器、網(wǎng)絡(luò)附加存儲(chǔ)（NAS）設(shè)備及數(shù)字視頻錄像機(jī)（DVR），涉及政府、科技、制造、托管安全服務(wù)提供商（MSSP）、電信、教育等七大行業(yè)，攻擊范圍遍布全球，包括美洲、歐洲、非洲、亞洲及大洋洲。

技術(shù)層面，該惡意軟件自稱為“ShadowV2 Build v1.0.0 IoT version”，與Mirai僵尸網(wǎng)絡(luò)的LZRD變種存在相似性。其傳播流程為：通過(guò)下載器腳本（binary.sh）從81[.]88[.]18[.]108服務(wù)器獲取惡意程序，完成初始植入。

下載腳本

在配置加密方面，ShadowV2采用XOR編碼對(duì)文件系統(tǒng)路徑、用戶代理（User-Agent）字符串、HTTP頭及Mirai風(fēng)格特征字符串進(jìn)行加密處理。

功能上，該僵尸網(wǎng)絡(luò)支持對(duì)UDP、TCP及HTTP協(xié)議發(fā)起分布式拒絕服務(wù)攻擊，且每種協(xié)議均包含多種洪水攻擊類型，控制服務(wù)器通過(guò)向受控設(shè)備（僵尸機(jī)）發(fā)送指令觸發(fā)攻擊。

DDoS攻擊觸發(fā)

通常情況下，DDoS僵尸網(wǎng)絡(luò)的盈利模式包括向網(wǎng)絡(luò)犯罪分子出租攻擊算力，或直接勒索攻擊目標(biāo)（要求支付贖金以停止攻擊）。但截至目前，ShadowV2的幕后操控者身份及其盈利策略尚未明確。

參考及來(lái)源：https://www.bleepingcomputer.com/news/security/new-shadowv2-botnet-malware-used-aws-outage-as-a-test-opportunity/