Mirai变种恶意代码——KiraV2

自从Mirai恶意代码的源代码在过去公开以来，仍然有许多变种在传播。除了基于Mirai的恶意代码，在很多情况下，诸如gafgyt之类的其他恶意代码也会借鉴Mirai的某些源代码。

名为“KiraV2”的恶意代码是基于Mirai的源代码的变种，我们已在2020年第三季度的ASEC报告中进行了详细介绍。

如果与原始Mirai有所不同，则与传播有关。Mirai通过对帐户信息脆弱的telnet的预攻击来传播自己。而Kirav2还添加了利用远程命令漏洞的传播功能。下面是基于原始Mirai的运行方式制作的流程图，KiraV2则添加了原始中不存在的“漏洞传播”部分。

像Kirav2一样的IoT僵尸的目的是进行DDoS攻击。多个受感染的僵尸网络在攻击者的命令下可以执行向其他网络传送大量数据的DDoS攻击。

为了有效地进行DDoS攻击，需要确保多个僵尸，KiraV2在扫描随机IP带宽时搜索易受攻击的设备。是可运行telnet的IoT设备，并尝试通过这些设备持有的ID/PW列表进行预攻击来登录。登录成功时，将通过安装自身的方式进行传播。其次是针对尚未安装远程命令执行漏洞补丁的设备，并利用该漏洞远程发送命令的方式来传播自己。漏洞攻击的目标有：华为路由器和安装JAWS Web Server的MVPower DVR设备等。

随着最近IoT产业的发展，诸如DVR、路由器和IP摄像机等IoT设备的数量也在增加。这些设备中有许多已连接到外部，并且从过去到现在，大量的恶意代码试图感染对易受攻击的设备。另外，许多设备已被感染并已形成僵尸网络，它们被利用于DDoS攻击，并且正在对其他IT基础设施造成安全威胁。

防止上述安全威胁的方法有，更改设备默认的ID/PW资格证明，用安全的凭据替换现有的弱凭据，以及将现有IoT设备更新至最新版本，以免受漏洞攻击的方法。

V3产品群用以下诊断名检测该恶意代码。

[诊断文件]

- Worm/Linux.Mirai.SE189

[相关IOC信息]