【报告系列解读四】绿盟科技发现两类恶意端口映射家族

2019年3月，绿盟科技、上海交通大学信息内容分析技术国家工程实验室和广州大学网络空间先进技术研究院联合发布《2018物联网安全年报》。对于报告的四个章节我们分别做了解读，本文是第四篇。

UPnP是一种用于 PC 机和智能设备（或仪器）的常见对等网络连接的体系结构。UPnP 以 Internet 标准和技术（例如 TCP/IP、HTTP 和 XML）为基础，使这样的设备彼此可自动连接和协同工作，从而使网络（尤其是家庭网络）对更多的人成为可能。因此，很多路由器都开放了UPnP服务。

全球有约280万台物联网设备开放了UPnP SSDP服务（1900端口），存在被利用进行DDoS攻击的风险，其中有38.6%的设备同时还开放了UPnP SOAP服务，在这些开放SOAP服务的设备中，69.8%的设备存在漏洞。

由于SOAP服务缺乏鉴权机制，约41万台端口映射服务可访问的物联网设备存在被入侵的可能。在这些设备中，有8.9%的设备被发现存在恶意的端口映射条目，例如会将内网的445端口和139端口暴露在互联网上，而开启这两个端口服务可能存在遭受永恒之蓝、永恒之红的攻击的风险，平均每个受感染的设备存在282条感染记录。

我们发现两类添加恶意端口映射的家族IntraScan和NodeDoS。

IntraScan试图将所有的内网端口都暴露在互联网上，全球有约9千台设备受到感染。我们采集到约有26万条IntraScan的内外网端口映射关系数据，平均每个恶意IP约有31条恶意端口映射记录。韩国受到IntraScan的影响最为严重，占所有感染数量的47%。

IntraScan暴露的内网端口包括 Web服务相关的80、81、82、8080端口，FTP 21端口，SSH 22端口，Samba 445端口，MySQL 3306端口，MSSQL 1433端口等。暴露数量最多的是9308端口，即索尼PlayStation的端口。

图1 受IntraScan感染的设备内网映射端口分布

表 1是受IntraScan感染的设备内外网端口映射关系的示例。从中我们发现了两类不同的端口映射规则。一类是内网端口和所映射的外网端口相同，这类规则发生在9303-9308端口之间和所有大于等于49152端口的时候；另一类是将内网端口号加1000作为相对应的外网端口号，如果出现映射失败的情况（即该外网端口已在使用中），则会尝试将内网端口号加1025作为相对应的外网端口号，如果继续映射失败，则会持续在此基础上加1进行映射，直到映射成功，如示例中的80、81、82、8443、9999端口。

表1 受IntraScan感染的设备内外网端口映射关系示例

NodeDoS主要存在两种恶意行为，一是映射到8.8.8.8的53端口，推测其将设备作为DNS反射攻击的肉鸡集群，二是映射到某色情广告平台，进行分布式广告点击从中获利，全球目前有约600台设备受到感染。约有3.4万条NodeDoS的内外网端口映射关系数据，平均每个恶意IP约有58条恶意端口映射记录。韩国受到NodeDoS的影响最为严重，占所有感染数量的51%。

UPnP问题严峻，需要多方参与才能改善现有的安全环境。

作为安全厂商：

可以在扫描类产品中加入UPnP扫描能力，及时发现客户网络中存在的安全隐患。

可以在防护类产品中加入对于SSDP和SOAP的流量检测能力，及时发现客户网络中存在的安全威胁。

作为设备开发商：

遵循OCF 的建议，产品在实现的时候加入对各类操作权限进行限制、对端口转发租用时间进行限制等安全机制。

在产品中采用较为安全的UPnP SDK。

提供设备的自动升级服务。

严格按照UPnP规范，如果没有需要，不将UPnP相关端口暴露在互联网上。

作为监管部门：

对于网络中的UPnP威胁进行监控，发现问题进行通报。

提高人们的UPnP安全意识。

推动设备中UPnP功能的安全评估，如设备不满足相关要求，禁止设备上市等。

作为用户：

如无需要，关闭路由器的UPnP功能。

借助工具，自查端口映射表，发现异常条目，及时清除。

及时升级路由器等包含UPnP功能的设备的固件。

点击阅读原文，即可下载报告完整版，里面有我们对于UPnP的更多分析。

最后，感谢绿盟威胁情报中心（https://nti.nsfocus.com/）和伏影实验室提供数据支持。

内容编辑：格物实验室 张星 张浩然 魏佩儒 责任编辑：肖晴