网安瞭望台第14期：​德国利用黑洞行动阻断 30,000 台设备上的 BADBOX 恶意软件

德国利用黑洞行动阻断 30,000 台设备上的 BADBOX 恶意软件

奇安信德国联邦信息安全办公室（BSI）近期针对 BADBOX 恶意软件展开了积极行动，以保护网络安全和消费者权益。

    BADBOX 恶意软件被发现预装在至少 30,000 台在德国销售的联网设备上，这些设备种类繁多，涵盖数码相框、媒体播放器、流媒体设备，甚至可能包括手机和平板电脑。其共性为安卓版本陈旧且预装了恶意软件。该恶意软件最早由 HUMAN 的研究团队于 2023 年 10 月记录，被描述为一个复杂的威胁计划，通过利用供应链漏洞，在低成本非品牌安卓设备上部署 Triada 安卓恶意软件，一旦联网，它便开始收集包括验证码等各类数据，并安装其他恶意程序。

    此外，此恶意软件操作还涉及一个源自中国的广告欺诈僵尸网络 PEACHPIT，它通过感染设备伪造热门安卓和 iOS 应用程序的流量，并将虚假流量印象通过程序化广告出售以获利。同时，受 BADBOX 感染的设备还可充当住宅代理服务，为其他威胁行为者提供流量路由并躲避检测，甚至被用于创建 Gmail 和 WhatsApp 等在线账户。

    面对这一严峻情况，德国采取了果断措施。BSI 通过对相关域名进行黑洞处理，成功切断了受感染设备与命令和控制（C2）服务器之间的通信。此外，BSI 还指示国内所有用户超过 10 万的互联网服务提供商将流量重定向到黑洞，同时呼吁消费者立即断开受影响设备的网络连接，以防止恶意软件进一步作恶，减少潜在的数据泄露和网络欺诈风险，保护用户的个人信息和网络安全，维护正常的网络秩序。这一事件也再次提醒消费者要警惕购买来源不明或价格过低的电子设备，同时也为全球范围内应对类似恶意软件威胁提供了参考范例。

Curl 漏洞：攻击者可获取敏感信息及应对措施总结

近期，在广受欢迎的数据传输工具 Curl 中发现了一个严重的安全漏洞（CVE-2024 - 11053），该漏洞影响了 6.5 至 8.11.0 版本，可能致使攻击者获取敏感信息，尤其是用户密码可能被泄露给未经授权方。

    此安全问题的产生需满足特定条件：当 Curl 被配置为使用.netrc 文件存储凭据且允许 HTTP 重定向时，若.netrc 文件中包含与重定向目标主机名匹配的条目，且该条目未填写密码或同时缺失登录名和密码，就可能发生密码泄露。例如，若 Curl 向 a.tld 的传输重定向至 b.tld，而.netrc 文件中有 b.tld 的条目但无密码，Curl 会错误地将 a.tld 的密码传递给 b.tld。

    该漏洞被 Curl 项目归类为 CWE - 200：敏感信息暴露给未经授权方。尽管存在密码泄露风险，但此漏洞严重程度被评为低。不过，由于 Curl 命令行工具在众多应用中广泛使用，其影响范围不容小觑，不仅涉及 libcurl 库，也影响到相关应用。

    为应对此漏洞，Curl 项目于 2024 年 12 月 11 日发布了 8.11.1 版本，用户可采取以下措施进行修复：

• 升级版本：最推荐的方式是将 Curl 和 libcurl 升级到 8.11.1 版本。

• 应用补丁：对当前版本应用补丁后重新构建。

• 调整配置：避免同时使用.netrc 文件和重定向功能。

    该漏洞于 2024 年 11 月 8 日被报告给 Curl 项目，经过深入调查和开发修复，Curl 团队于 12 月 3 日联系了相关分发渠道。最终于 12 月 11 日协调发布了 8.11.1 版本及安全公告。用户和管理员务必检查 Curl 配置并及时更新至最新版本，以降低因该漏洞带来的安全风险，保护数据安全和隐私。

德国 3 万设备预装 “BadBox” 恶意软件情况及应对举措

德国联邦信息安全办公室（BSI）近期针对一种名为 “BadBox” 的恶意软件采取了有力行动。据悉，多达 30,000 台德国境内的联网设备，像数码相框、媒体播放器等，被发现预装了这款恶意软件，罪魁祸首往往是设备安卓版本太过陈旧。

    “BadBox” 恶意软件给用户带来了诸多严重风险。一方面，它能悄无声息地为电子邮件、通讯软件创建账户，这很可能成为假新闻传播的温床，扰乱正常的信息传播秩序，误导大众。另一方面，它会在后台偷偷访问网站，暗中执行广告欺诈行为，让广告投放变得混乱无序，损害商家及平台的利益。更可怕的是，它可以充当住宅代理，使得不明身份的第三方能够借助受害者的网络连接去实施网络攻击以及各类非法活动，这无疑将用户的 IP 地址置于和犯罪行为相关联的危险境地，用户可能在毫不知情的情况下就卷入网络违法事件当中。而且，它还具备下载更多恶意软件的能力，就像滚雪球一样，不断扩大其破坏范围，对用户设备及整个网络环境的安全构成极大威胁。

    面对这一严峻态势，BSI 积极应对，依据 BSI 法案（BSIG）第 7c 条实施了 “黑洞” 措施，也就是把受感染设备与攻击者服务器之间的通信进行重定向，目前这一措施已经对用户超过 10 万的服务提供商产生影响，只要 “黑洞” 持续发挥作用，就能暂时确保用户不会立刻面临风险。

    与此同时，BSI 也对消费者给出了建议，鉴于受影响的设备种类可能还涉及智能手机、平板电脑等，消费者一旦收到电信提供商基于 IP 地址监测发出的潜在感染通知，就要严肃对待，要么断开可能被感染设备的网络连接，要么干脆停止使用。而且，在购买设备时，要仔细核实其安全功能，优先选择来自信誉良好的制造商且运行着最新操作系统版本的产品，BSI 网站 “智能家居 —— 安全联网你的生活空间” 板块还提供了更多保障智能设备安全的相关资源可供参考。

    总之，这一事件凸显了网络安全问题不容小觑，无论是制造商、零售商还是消费者，都需要提高网络安全意识，共同努力来守护个人设备与网络的安全，抵御恶意软件带来的侵害。