[论文解读] Hey, you, keep away from my device: remotely implanting a virus expeller to defeat Mirai on IoT devices

Chen Cao, Le Guan+4 more|arXiv (Cornell University)|Jun 19, 2017

Advanced Malware Detection Techniques参考文献 11被引用 7

一句话总结

本文提出了一种协作式、人机协同的防御机制，通过利用受控重启和一种‘白色’类Mirai病毒驱逐程序，远程从易受攻击的物联网设备中清除Mirai恶意软件。该系统通过制造商运营的服务器部署，植入轻量级防御程序，封锁Mirai的访问端口，通过心跳检测维持持久性，并在重启后重新感染设备，从而以最少的用户操作有效击败Mirai，且除协商的时间窗口外，不进行主动扫描或未经授权的设备入侵。

ABSTRACT

Mirai is botnet which targets out-of-date Internet-of-Things (IoT) devices. The disruptive Distributed Denial of Service (DDoS) attack last year has hit major Internet companies, causing intermittent service for millions of Internet users. Since the affected devices typically do not support firmware update, it becomes challenging to expel these vulnerable devices in the wild. Both industry and academia have made great efforts in amending the situation. However, none of these efforts is simple to deploy, and at the same time effective in solving the problem. In this work, we design a collaborative defense strategy to tackle Mirai. Our key idea is to take advantage of human involvement in the least aggressive way. In particular, at a negotiated time slot, a customer is required to reboot the compromised device, then a "white" Mirai operated by the manufacturer breaks into the clean-state IoT devices immediately. The "white" Mirai expels other malicious Mirai variants, blocks vulnerable ports, and keeps a heart-beat connection with the server operated by the manufacturer. Once the heart-beat is lost, the server re-implants the "white" Mirai instantly. We have implemented a full prototype of the designed system, and the results show that our system can evade Mirai attacks effectively.

研究动机与目标

• 解决缺乏固件更新能力且无法访问的Mirai感染物联网设备的修复难题。
• 克服被动召回和客户服务联络的局限性，后者因用户配合度低且难以扩展而效果有限。
• 设计一种易于部署、能有效驱逐Mirai的防御机制，避免先前‘白’Mirai方法带来的资源耗尽和法律风险。
• 通过协调用户重启和自动化服务器端重新植入病毒驱逐程序，实现受控且可重复的设备修复。

提出的方法

• 系统使用制造商运营的植入服务器，在协商的重启窗口内，远程检测并植入‘病毒驱逐程序’到处于干净状态的物联网设备中。
• 病毒驱逐程序关闭Mirai常利用的端口（如Telnet端口23），以防止再次感染。
• 心跳机制确保病毒驱逐程序保持活跃；若心跳丢失（例如重启后），服务器将通过扫描与加载流程触发重新植入。
• 系统避免对整个互联网进行主动扫描，转而依赖用户合作，创造一个可预测的植入时间窗口。
• 病毒驱逐程序设计为轻量且非侵入式，不含扫描或传播模块，从而降低对资源受限设备的资源开销。
• 通过真实物联网设备上的完整原型进行评估，成功展示了植入、端口封锁以及重启后的重新植入。

实验结果

研究问题

• RQ1 一种涉及最少用户操作的协作式防御机制，能否在不进行主动扫描或未经授权访问设备的情况下，有效从易受攻击的物联网设备中驱逐Mirai？
• RQ2 如何在设备重启后可靠地重新植入病毒驱逐程序，以维持持久保护？
• RQ3 关闭Mirai暴露的端口对合法设备功能有何影响，如何缓解这一影响？
• RQ4 一种避免暴力扫描和自我传播的系统，是否仍能在实际部署中实现高效率？
• RQ5 在消费者设备上远程安装防御代码的法律与伦理影响是什么，如何应对？

主要发现

• 原型成功在真实物联网设备上植入了病毒驱逐程序，证实该系统可在实际中部署。
• 病毒驱逐程序通过关闭如Telnet（端口23）等易受攻击端口，有效阻止了Mirai的访问，防止再次感染。
• 设备重启后，心跳机制检测到病毒驱逐程序的丢失，服务器成功通过扫描与加载服务重新植入。
• 系统表现出确定性行为：重启后可可靠地重新植入，确保持续保护。
• 通过移除扫描和传播模块，该解决方案避免了先前‘白’Mirai方法带来的资源开销和法律风险。
• 系统在受控环境中表现有效，表明通过协调用户重启，可实现可靠、非侵入性的Mirai感染设备修复。