[论文解读] Characterising attacks targeting low-cost routers: a MikroTik case study (Extended)

João Marcelo Ceron, Christian Scholten+3 more|arXiv (Cornell University)|Nov 3, 2020

Network Security and Intrusion Detection参考文献 9被引用 6

一句话总结

本研究通过在全球六个国家部署的、高度交互式的分布式蜜罐，调查了针对低成本MikroTik路由器的网络攻击。在120天内，共收集了4400万条数据包，识别出超过3000次成功的IP隧道连接、针对20万个不同IP的暴力破解攻击，以及广泛存在的未修补漏洞利用——凸显了及时更新RouterOS以防止远程入侵和数据窃取的紧迫性。

ABSTRACT

Attacks targeting network infrastructure devices pose a threat to the security of the internet. An attack targeting such devices can affect an entire autonomous system. In recent years, malware such as VPNFilter, Navidade, and SonarDNS has been used to compromise low-cost routers and commit all sorts of cybercrimes from DDoS attacks to ransomware deployments. Routers of the type concerned are used both to provide last-mile access for home users and to manage interdomain routing (BGP). MikroTik is a particular brand of low-cost router. In our previous research, we found more than 4 million MikroTik routers available on the internet. We have shown that these devices are also popular in Internet Exchange infrastructures. Despite their popularity, these devices are known to have numerous vulnerabilities. In this paper, we extend our previous analysis by presenting a long-term investigation of MikroTik-targeted attacks. By using a highly interactive honeypot that we developed, we collected more than 44 million packets over 120 days, from sensors deployed in Australia, Brazil, China, India, the Netherlands, and the United States. The incoming traffic was classified on the basis of Common Vulnerabilities and Exposures to detect attacks targeting MikroTik devices. That enabled us to identify a wide range of activities on the system, such as cryptocurrency mining, DNS server redirection, and more than 3,000 successfully established tunnels used for eavesdropping. Although this research focuses on Mikrotik devices, both the methodology and the publicly available scripts can be easily applied to any other type of network device.

研究动机与目标

• 刻画互联网暴露的MikroTik路由器的全球分布情况，并评估其安全暴露程度。
• 设计并部署一个真实感强的云环境蜜罐，模拟MikroTik RouterOS以吸引并研究真实世界中的攻击行为。
• 开发一种自动化的、基于签名的分类系统，用于识别和分类针对MikroTik设备的攻击类型。
• 量化诸如凭证窃取、隧道建立、DNS重定向和恶意软件部署等攻击的普遍性和特征。
• 提供可操作的见解以及公开可用的工具（签名、蜜罐镜像），以提升对低成本网络设备攻击的检测与缓解能力。

提出的方法

• 部署了一个虚拟化、高度交互式的蜜罐，模拟MikroTik RouterOS，基于全球设备调查数据配置了真实存在的开放端口和服务。
• 在地理位置多样的六个国家（澳大利亚、巴西、中国、印度、荷兰、美国）部署了6个蜜罐传感器，以捕获全球范围的攻击模式。
• 利用基于手动定义攻击签名的自定义分类引擎，在120天内收集并分析了4400万条网络数据包和380万条日志条目。
• 使用两个包含CVE相关签名的数据库以及与BPF兼容的规则，对攻击进行分类，以检测利用、暴力破解尝试和隧道活动。
• 将网络流量与系统日志相关联，以验证攻击成功情况，包括隧道创建、配置更改和凭证外泄。
• 使用Shodan.io数据（超过4TB）绘制MikroTik设备的全球分布图，识别出常开端口，为蜜罐的配置和部署策略提供依据。

实验结果

研究问题

• RQ1 有多少台MikroTik路由器在互联网上公开可访问，其地理分布和端口分布特征如何？
• RQ2 针对MikroTik路由器的攻击中，哪些类型最为普遍，且随时间如何演变？
• RQ3 在真实世界攻击中，已知漏洞（CVE）被利用的程度如何，是否可通过及时更新RouterOS来缓解？
• RQ4 攻击者在被攻陷的MikroTik设备上建立持久隧道的频率如何，最常使用的协议是什么？
• RQ5 一个真实感强且可公开部署的蜜罐能否有效捕获并分类针对低成本网络基础设施设备的真实世界攻击？

主要发现

• 超过400万台MikroTik路由器被发现可在互联网上公开访问，其中173/TCP（PPTP）端口是第二大致命开放端口，尽管其默认状态下已被禁用。
• 在蜜罐上建立了超过3000次成功的IP隧道，主要使用PPTP协议，表明隧道技术被广泛用于监听和操纵网络流量。
• 超过20万个不同IP地址对蜜罐执行了暴力破解攻击，其中大多数针对默认或弱密码。
• 至少有3441次尝试利用MikroTik设备中的已知漏洞，其中大多数旨在远程提取管理员凭证以实现访问。
• 大量攻击与已知的恶意软件活动（如VPNFilter、Navidade和SonarDNS）相关，证据显示存在DNS重定向和数据包嗅探行为。
• 尽管所有22个分析的CVE均已发布补丁，但仍有超过200万台MikroTik设备因未更新RouterOS而保持脆弱，凸显了严重的安全缺口。