运营商收回公网 IP 的原因之一

[hicdn]

一个藏在我们身边的巨型僵尸网络 Pink https://blog.netlab.360.com/pinkbot/

国内某厂商的光猫被僵尸网络控制 160 万设备

厂商名字可以通过搜关键词 “光猫 TCP 17998” 获得

几个要点

• Pinkbot 是我们六年以来观测到最大的僵尸网络，其攻击目标主要是 mips 光猫设备，在 360Netlab 的独立测量中，总感染量超过 160 万，其中 96% 位于中国。
• 受感染的 IP 主要集中在中国 (96%)，遍及全国 33 个省。受影响的运营商主要涉及中国联通（>80%）和中国电信（>15%）。
• 受攻击的漏洞源于一个 TCP-17998 的管控服务，该服务是对运营商提供的一个管理家用光猫的接口。由于服务配置和实现的失误，向公网开放了访问权限，攻击者通过它获取了相关光猫的控制权。

[zu1k]

https://blog.netlab.360.com/pinkbot/

当初记录下来了运营商第三次尝试修复的方式，当初还感觉莫名其妙，现在看来就很清晰了
https://gist.github.com/zu1k/7120d1f71797153eb8c867bb09323eae#L9923

因为我早就关闭了各种外部管理和升级接口，所以实际没有受攻击影响。后面运营商发现没办法给我光猫在线更新，专门派人到户更新的

[q197]

@Tink 光猫还有多个拨号例如 iptv 、电话等，这些可能也有漏洞

[HAWCat]

@wwbfred 嘴？

[Bunnyranch]

现在有了 IPV6 是不是等于有公网了呢 至少我现在 bitcomet 是绿灯了..

[life4me]

牵强

[alect]

这个不可能是原因之一

[treo]

厂商名字都不敢提，马上就知道是哪家厂商了
新时代的 He Who Must Not Be Named

[AlexPUBLIC]

另看到一篇文章说：该端口主要是维护人员使用 APP 调试 ONU 使用，此端口在 ONU 上网链接（ internet ）为路由模式时会在 wan 侧打开，桥接模式下则不会打开
那么好了正常设计逻辑应该是 app 向中心发起请求，OLT 通过 tr069 下发，为啥还在 wan 侧开一个端口？可见这家厂商是故意为之，建议先把负责人抓起来，检查是否有境外势力背景

[hicdn]

还有 10 万设备在被僵尸网络控制，不知道有没有人发现自己光猫的 80 端口不能访问了。

[acess]

“厂商又尝试利用设备上 LAN 侧的 TCP-80 HTTP 服务来进行设备修复”

[acess]

于是这类光猫就算不出这档事也有 CSRF 后门呗

[swulling]

ipv6 路由器基本都默认开启防火墙功能，限制传入链接。这个没啥成本 too easy

[77ShiORi]

如果 IPv6 会“助长”这种僵尸网络的话，那这不应该是运营商收回公网 IP 而推行 IPv6 的原因之一。

[flynaj]

所以路由器拨号才是明智的选择。

[pungaagin]

@feitxue 以前刷到过，最近想试一下，教程找不着了

[feitxue]

@pungaagin base64
aHR0cHM6Ly9ub3RlLnZpYml0LmNjLzIwMjAvMDQvdHIwNjktd2lyZWd1YXJkLmh0bWw/bT0x

[czfy]

@treo 这么说来，哇为和肖战是一个性质的东西

[JamesR]

是不是华为的光猫设备？

[a1562619919]

@wwbfred 这样搞老公不出轨了，自己出轨了

[tankren]

光猫桥接就好啦