Quad7 僵尸网络扩展至以 SOHO 路由器和 VPN 设备为目标

神秘的 Quad7 僵尸网络的运营商正在积极发展，通过利用已知和未知的安全漏洞组合来破坏多个品牌的 SOHO 路由器和 VPN 设备。

根据法国网络安全公司 Sekoia 的一份新报告，目标包括来自 TP-LINK、Zyxel、Asus、Axentra、D-Link 和 NETGEAR 的设备。

研究人员 Felix Aimé、Pierre-Antoine D. 和 Charles M. 说：“Quad7 僵尸网络运营商似乎正在发展他们的工具集，引入新的后门并探索新的协议，目的是增强隐身性并规避其操作中继盒 （ORB） 的跟踪能力。

Quad7，也称为 7777，于 2023 年 10 月由独立研究员 Gi7w0rm 首次公开记录，突显了该活动集群将 TP-Link 路由器和大华数字录像机 （DVR） 诱捕到僵尸网络中的模式。

该僵尸网络因在受感染设备上打开 TCP 端口 7777 而得名，据观察，该僵尸网络会暴力破解 Microsoft 3665 和 Azure 实例。

“僵尸网络似乎还感染了 MVPower、Zyxel NAS 和 GitLab 等其他系统，尽管数量非常少，”VulnCheck 的 Jacob Baines 在今年 1 月早些时候指出。“僵尸网络不只是在端口 7777 上启动服务。它还会在端口 11228 上启动 SOCKS5 服务器。

Sekoia 和 Cymru 团队在过去几个月的后续分析发现，该僵尸网络不仅破坏了保加利亚、俄罗斯、美国和乌克兰的 TP-Link 路由器，而且还扩展到了打开了 TCP 端口 63256 和 63260 的华硕路由器。

最新调查结果显示，该僵尸网络由三个额外的集群组成 -

• xlogin（又名 7777 僵尸网络）- 由受感染的 TP-Link 路由器组成的僵尸网络，这些路由器同时打开了 TCP 端口 7777 和 11288
• alogin（又名 63256 僵尸网络）- 由受感染的华硕路由器组成的僵尸网络，这些路由器同时打开了 TCP 端口 63256 和 63260
• rlogin - 由受感染的 Ruckus Wireless 设备组成的僵尸网络，这些设备打开了 TCP 端口 63210
• axlogin - 能够以 Axentra NAS 设备为目标的僵尸网络（尚未在野外检测到）
• zylogin - 由打开了 TCP 端口 3256 的受感染 Zyxel VPN 设备组成的僵尸网络

Sekoia 告诉 The Hacker News，感染人数最多的国家是保加利亚（1,093 人）、美国（733 人）和乌克兰（697 人）。

作为战术演变的进一步迹象，威胁行为者现在利用一个名为 UPDTAE 的新后门，该后门建立了基于 HTTP 的反向 shell，以在受感染设备上建立远程控制并执行从命令和控制 （C2） 服务器发送的命令。

目前尚不清楚该僵尸网络的确切目的或幕后黑手，但该公司表示，该活动很可能是中国政府支持的威胁行为者所为。

“关于 7777 [僵尸网络]，我们只看到了针对 Microsoft 365 帐户的暴力破解尝试，”Aimé 告诉该出版物。“对于其他僵尸网络，我们仍然不知道它们是如何使用的。”

“然而，在与其他研究人员交流和新发现之后，我们几乎可以肯定，运营商更有可能是 CN 国家资助的，而不是简单的网络犯罪分子进行 [商业电子邮件泄露]。”

“我们看到威胁行为者试图通过在受感染的边缘设备上使用新的恶意软件来变得更加隐蔽。此举背后的主要目的是防止跟踪附属僵尸网络。

尊敬的读者： 感谢您花时间阅读我们提供的这篇文章。我们非常重视您的时间和精力，并深知信息对您的重要性。 我们希望了解您对这篇文章的看法和感受。我们真诚地想知道您是否认为这篇文章为您带来了有价值的资讯和启示，是否有助于您的个人或职业发展。 如果您认为这篇文章对您非常有价值，并且希望获得更多的相关资讯和服务，我们愿意为您提供进一步的定制化服务。请通过填写我们提供的在线表单，与我们联系并提供您的邮箱地址或其他联系方式。我们将定期向您发送相关资讯和更新，以帮助您更好地了解我们的服务和文章内容。                                扫描二维码，参与调查

原文始发于微信公众号（信息安全大事件）：Quad7 僵尸网络扩展至以 SOHO 路由器和 VPN 设备为目标