2018年第一季度我国联网智能设备安全情况报告_12页_828kb

我国联网智能设备安全情况报告（2018年第一季度）总结

一、智能设备漏洞收录情况

核心内容

2018年第一季度，国家计算机网络应急技术处理协调中心（CNVD）持续对联网智能设备（IOT设备）的漏洞进行跟踪、收录和通报处置。整体漏洞收录情况显示，智能设备存在多种安全风险，包括数据泄露、设备瘫痪、感染恶意代码、被用作跳板攻击等。

主要观点

• 通用型漏洞数量显著增长：2018年第一季度共收录通用型IOT设备漏洞644个，较去年同期增长76%。
• 漏洞分布广泛：涉及多个国际知名厂商，如谷歌、华为、思科、普联等，其中谷歌漏洞数量最多（164条），占25%。
• 漏洞类型多样：主要类型包括权限绕过（20%）、信息泄露（17%）、命令执行（16%）等。
• 影响设备类型广泛：手机设备、路由器、网络摄像头等为主要受影响设备，分别占28%、18%、17%。

关键信息

• 漏洞涉及厂商包括谷歌、华为、思科、普联、施耐德等。
• 漏洞类型排名前三为权限绕过、信息泄露、命令执行。
• 漏洞影响设备类型排名前三为手机设备、路由器、网络摄像头。

二、智能设备恶意代码攻击活动情况

核心内容

CNCERT对智能设备相关的恶意代码攻击活动进行了持续监测，包括Gafgyt、MrBlack、Tsunami、Mirai等类型。攻击活动呈现持续活跃态势，且受控设备和控制服务器数量均有所上升。

主要观点

• 控制服务器数量及分布：2018年第一季度共监测到1.23万个控制服务器IP地址，其中88.1%位于境外，主要集中在美、俄、日等国家。
• 受控设备数量及分布：受控智能设备IP地址总数达159.5万个，其中约33.1%位于我国境内，主要集中在浙江、河南、山东等省份。
• 木马僵尸网络规模：控制规模在1千以上的僵尸网络有143个，其中规模较大的分布在荷兰、俄罗斯、美国、中国大陆等地。
• 攻击活动趋势：攻击活动呈现波动上升趋势，1月10日和2月14日分别达到单日峰值。

关键信息

• 控制服务器分布：美国（3696个）、俄罗斯（740个）、日本（725个）为境外控制服务器前三。
• 受控设备分布：我国境内受控设备IP地址数量为52.7万个，主要集中在浙江、河南、山东等地区。
• 木马僵尸网络规模：
  • 5万以上：3个（荷兰、西班牙、中国大陆各1个）
  • 1万至5万：10个（俄罗斯3个、中国大陆2个，其余国家各1个）
  • 5千至1万：13个（法国4个、加拿大3个、俄罗斯2个，其余国家各1个）
  • 1千至5千：117个（美国40个、荷兰15个、法国13个、加拿大11个、俄罗斯10个等）
  • 100至1000：297个（美国129个、意大利39个、荷兰21个等）

三、典型恶意代码活动监测情况

1. Gafgyt恶意代码

• 控制服务器IP地址：共发现990个活跃控制服务器IP地址。
• 受控端IP地址：约27.32万个，其中98.8%位于境内，主要分布在山东、河南、浙江、辽宁、河北等省份。
• 攻击类型：主要实施UDP Flood（89.7%）和TCP SYN Flood（10.2%）等DDoS攻击。
• 控制服务器分布：主要位于美国、意大利、荷兰、加拿大等国家。

2. Mirai恶意代码

• 控制服务器IP地址：共发现10520个控制服务器IP地址。
• 受控端IP地址：约18.8万个，其中大部分位于境内，主要分布在浙江、河南、重庆、江苏、广东、河北等省市。
• 恶意代码下载方式：主要通过telnet远程执行wget或tftp下载。
• 下载文件名：包括mirai.arm7、mirai.arm、mirai.mips、mirai.x86和mirai.ppc等。
• 启动名称：主要为dvrHelper（47.5%）、dvrpelper（44.5%）等。
• 控制服务器分布：美国（3066个）、日本（716个）、俄罗斯（696个）为境外控制服务器前三。

四、总结

2018年第一季度，我国联网智能设备面临严峻的安全挑战，漏洞数量和恶意代码攻击活动均呈现上升趋势。漏洞主要集中在通用型和事件型，影响范围广泛，涉及多个厂商和设备类型。恶意代码攻击活动以Gafgyt和Mirai为主，控制服务器多位于境外，受控设备则主要集中在国内。整体来看，智能设备的安全防护亟需加强，以应对日益增长的网络攻击风险。