Mirai僵尸网络：它是如何工作的以及如何防御
Mirai僵尸网络是最知名的网络威胁之一，以控制易受攻击的物联网设备进行大规模DDoS攻击而闻名。它的遗产继续影响着现代僵尸网络，包括最近的大猩猩僵尸网络，它使用类似的策略和先进的功能来更大规模地利用物联网漏洞。
在本文中，我们将探讨Mirai的工作原理、影响以及组织如何保持保护。
什么是Mirai僵尸网络？
Mirai僵尸网络是一种针对物联网设备的恶意软件，如路由器、摄像头和其他连接的小工具，将它们变成受感染设备的网络。然后，这个僵尸网络被用来发动大规模的DDoS攻击，用流量轰炸网站、服务器和网络，导致合法用户无法访问它们。
Mirai僵尸网络于2016年首次发现，因其能够利用物联网设备中的弱或默认安全设置而受到关注。此后，它被用于几次高调的攻击，扰乱了关键的互联网基础设施，并为随后的类似僵尸网络树立了先例。
Mirai僵尸网络如何运作?
Mirai通过扫描互联网上不安全的物联网设备来运作。这些设备通常带有用户无法更改的默认用户名和密码。一旦Mirai发现这些易受攻击的设备，它就会感染它们并将其添加到僵尸网络中。然后，僵尸网络可以通过向服务器注入过多流量来发起DDoS攻击，使合法用户无法访问目标网站和服务。
此外，Mirai采用反射和放大技术来增强攻击。反射涉及将流量从受感染的设备发送到第三方服务器，然后将流量反射回目标，隐藏来源。Amplification利用DNS和NTP等协议中的漏洞，使僵尸网络产生比最初发送的流量大得多的流量，使攻击更加强大。
这些技术，再加上僵尸网络的广泛覆盖，使其难以控制并导致严重的中断。
Mirai僵尸网络的攻击技术
Mirai僵尸网络使用各种攻击技术，每种技术都旨在用有害流量淹没网络并中断服务。这些攻击可能针对基础设施的不同部分，使系统不堪重负，并导致大量停机。以下是Mirai使用的主要攻击类型：
•UDP Flood：Mirai向目标端口发送大量UDP数据包，导致服务器不堪重负。这使得服务器无法响应真实的用户请求，从而导致速度减慢或完全中断。
•SYN洪水攻击：Mirai发送不完整的连接请求，耗尽服务器资源。这会阻止服务器进行正确的连接，导致其崩溃或无响应。
•DNS查询洪水：这种攻击通过向DNS服务器注入过多流量来攻击它们。因此，服务器无法正确解析域名，使用户无法访问网站或服务。
•HTTP洪水：Mirai向web服务器发送许多HTTP请求，导致服务器过载。这种类型的攻击会导致网站停机，并阻止用户访问网站。
•GRE Flood：Mirai使用GRE数据包来欺骗源IP地址，发送大量数据。这会使网络不堪重负，并导致连接问题，从而中断服务。
不断演变的威胁：Mirai的变种
自发现以来，Mirai不断发展，其创建者开发了新的变体来利用新出现的漏洞并增强其功能。这种演变导致了几起值得注意的事件，每一起事件都展示了僵尸网络日益复杂：
•OVH主机攻击（2016年9月）：历史上针对法国主机提供商OVH的最大DDoS攻击之一。此次攻击达到了1 Tbps以上，使用了145000多台受损的物联网设备，展示了Mirai僵尸网络的巨大威力。
•Krebs谈安全攻击（2016年9月）：网络安全记者Brian Krebs的网站遭受了620 Gbps的大规模DDoS攻击。这次攻击迫使他的托管服务提供商停止支持他，这表明Mirai甚至可以压倒强大的防御。
Dyn DNS攻击（2016年10月）：Mirai针对DNS提供商Dyn进行了多次协同攻击，导致美国和欧洲的互联网服务普遍中断。推特、Spotify和Reddit等流行平台都处于离线状态，突显了僵尸网络扰乱基本服务的能力。
•德国电信路由器事件（2016年11月）：试图将90多万台路由器招募到Mirai僵尸网络中，扰乱了德国电信用户在德国的互联网服务。尽管招募失败，但它造成了严重的中断，反映了僵尸网络的全球影响。
•利比里亚互联网停电（2016年11月）：僵尸网络通过反复的DDoS攻击有效地削弱了利比里亚的互联网服务。该国对有限基础设施的依赖使其特别脆弱，长期处于离线状态。
•Pandora变种攻击（2023年9月）：在最近的一次攻击中，Mirai的一个新变种名为“Pandora”，针对的是廉价的基于Android的智能电视和电视盒。这种变体利用这些设备发起DDoS攻击，揭示了僵尸网络对消费者技术中新兴漏洞的持续发展和利用。
•Corona变体：最近的一种变体“Corona”变体利用了物联网设备中的零日漏洞，使其能够渗透和利用以前认为安全的系统。
Mirai僵尸网络攻击的影响
Mirai僵尸网络攻击的广泛影响是深远的。严重依赖在线平台的企业面临着重大中断。例如，在Dyn DNS攻击期间，Twitter和Spotify等热门网站数小时无法访问，导致依赖其服务的公司的用户参与度和收入损失。
其后果不仅限于直接的收入损失。长时间的服务中断带来了后勤挑战，要求企业大力投资于恢复工作。例如，像OVH Hosting这样的公司遭受了有史以来最大的DDoS攻击之一，影响了他们为客户提供服务的能力。
此外，这些攻击造成的声誉损害可能会在中断得到解决后很长一段时间内持续存在。被视为易受网络威胁影响的企业有可能失去客户信任，从而更难留住和获得新客户。随着物联网设备的激增，类似Mirai攻击的持续风险凸显了企业迫切需要优先考虑物联网安全，以防止财务和声誉受损。
如何防御Mirai僵尸网络攻击
除了解决物联网设备及其使用中的安全漏洞外，采用最佳实践和技术来保护您的网络免受Mirai僵尸网络攻击至关重要。主要建议包括：
安全设备凭据：始终更改物联网设备上的默认用户名和密码。使用强大、唯一的凭据，使攻击者难以获得访问权限。
定期固件更新：确保您的物联网设备始终使用最新的安全补丁进行更新。固件更新通常包含对已知漏洞的修复，有助于防止漏洞利用。
网络分段：将物联网设备与关键网段隔离开来。这确保了如果一个设备受到攻击，攻击者不会轻易访问同一网络上的其他系统。
监控异常流量：使用网络监控工具识别可能表明潜在僵尸网络感染的异常流量模式。早期检测有助于防止大规模攻击。
实施DDoS防护软件：使用DDoS防护解决方案在恶意流量到达您的网络之前对其进行过滤，并减轻大规模攻击。