有的厂商将Mirai命名为蠕虫不是很贴切，Mirai利用类似蠕虫的方式感染(与传统蠕虫感染方式不同)，但实际上是一款僵尸程序。因而称之为Mirai僵尸蠕虫更为准确，后文主要以僵尸称呼。
美国大面积的网络瘫痪事件
2016年9月30日，黑客Anna-senpai公开发布Mirai僵尸源码。其公布源码的目的一则是发现有关机构正在清理其掌控的僵尸设备；二则是为了让更多的黑客使用该僵尸进行扩散，掩人耳目，隐藏自己的踪迹。
2016年10月21日，美国东海岸地区遭受大面积网络瘫痪，其原因为美国域名解析服务提供商Dyn公司当天受到强力的DDoS攻击所致。Dyn公司称此次DDoS攻击涉及千万级别的IP地址(攻击中UDP/DNS攻击源IP几乎皆为伪造IP，因此此数量不代表僵尸数量)，其中部分重要的攻击来源于IOT设备，攻击活动从上午7:00（美国东部时间）开始，直到下午1:00才得以缓解，黑客发动了三次大规模攻击，但是第三次攻击被缓解未对网络访问造成明显影响。
此次攻击是一次跨越多个攻击向量以及互联网位置的复杂攻击，Flashpoint与Akamai的分析确认攻击流量的来源之一是感染了Mirai僵尸的设备，因为部分离散攻击IP地址来自Mirai僵尸网络。
Mirai僵尸在黑客Anna-senpai公布源码后，被黑客利用并快速的形成了大量的僵尸网络，其中部分黑客参与了此次攻击，目前不排除黑客Anna-senpai也参与了本次攻击，其拥有大概30万-40万的Mirai僵尸肉鸡。
启明星辰ADLab分析发现，Mirai僵尸借鉴了QBOT的部分技术，并在扫描技术、感染技术等方面做了优化，大大提升了感染速度。
Mirai僵尸重要事件回溯
此次针对Dyn域名服务器的攻击让古老的DDoS技术再一次震撼了互联网，其中最引人注目是物联网僵尸网络的参与，物联网概念流行了近7年，大量的智能设备正不断地接入互联网，其安全脆弱性、封闭性等特点成为黑客争相夺取的资源。目前已经存在大量针对物联网的僵尸网络，如QBOT、Luabot、Bashlight、Zollard、Remaiten、KTN-RM等等，并且越来越多的传统僵尸也开始加入到这个物联网行列中。
通过启明星辰ADLab的调查分析，Mirai僵尸网络有两次攻击史，其中一次是针对安全新闻工作者Brian Krebs的网站，攻击流量达到665Gbps。
另一次是针对法国网站主机OVH的攻击，其攻击流量达到1.1Tbps，打破了DDoS攻击流量历史记录。
Mirai僵尸重要事件回顾：
（1）2016年8月31日，逆向分析人员在malwaremustdie博客上公布mirai僵尸程序详细逆向分析报告，此举公布的C&C惹怒黑客Anna-senpai。
（2）2016年9月20日，著名的安全新闻工作者Brian Krebs的网站KrebsOnSecurity.com受到大规模的DDoS攻击，其攻击峰值达到665Gbps，Brian Krebs推测此次攻击由Mirai僵尸发动。
（3）2016年9月20日，Mirai针对法国网站主机OVH的攻击突破DDoS攻击记录，其攻击量达到1.1Tpbs，最大达到1.5Tpbs
（4）2016年9月30日，Anna-senpai在hackforums论坛公布Mirai源码,并且嘲笑之前逆向分析人员的错误分析。
（5）2016年10月21日，美国域名服务商Dyn遭受大规模DDoS攻击，其中重要的攻击源确认来自于Mirai僵尸。
在2016年10月初，Imperva Incapsula的研究人员通过调查到的49,657个感染设备源分析发现，其中主要感染设备有CCTV摄像头、DVRs以及路由器。根据这些调查的设备IP地址发现其感染范围跨越了164个国家或地区，其中感染量最多的是越南、巴西、美国、中国大陆和墨西哥。
直到2016年10月26日，我们通过Mirai特征搜索shodan发现，当前全球感染Mirai的设备已经超过100万台，其中美国感染设备有418,592台，中国大陆有145,778台，澳大利亚94,912台，日本和中国香港分别为47,198和44,386台。
在该地图中颜色越深，代表感染的设备越多，可以看出感染Mirai最多的几个国家有美国、中国和澳大利亚。
发表评论