Quad7 僵尸网络扩展至 SOHO 路由器和 VPN 设备

神秘的 Quad7 僵尸网络的运营商正在积极发展，通过利用已知和未知的安全漏洞组合来破坏多个品牌的 SOHO 路由器和 VPN 设备。

根据法国网络安全公司 Sekoia 的一份新报告，目标包括来自 TP-LINK、Zyxel、Asus、Axentra、D-Link 和 NETGEAR 的设备。

研究人员 Felix Aimé、Pierre-Antoine D. 和 Charles M. 说：“Quad7 僵尸网络运营商似乎正在发展他们的工具集，引入新的后门并探索新的协议，目的是增强隐身性并规避其操作中继盒 （ORB） 的跟踪能力。

Quad7，也称为 7777，于 2023 年 10 月由独立研究员 Gi7w0rm 首次公开记录，突显了该活动集群将 TP-Link 路由器和大华数字录像机 （DVR） 诱捕到僵尸网络中的模式。

该僵尸网络因在受感染设备上打开 TCP 端口 7777 而得名，据观察，该僵尸网络会暴力破解 Microsoft 3665 和 Azure 实例。

“僵尸网络似乎还感染了 MVPower、Zyxel NAS 和 GitLab 等其他系统，尽管数量非常少，”VulnCheck 的 Jacob Baines 在今年 1 月早些时候指出。“僵尸网络不只是在端口 7777 上启动服务。它还会在端口 11228 上启动 SOCKS5 服务器。

Sekoia 和 Cymru 团队在过去几个月的后续分析发现，该僵尸网络不仅破坏了保加利亚、俄罗斯、美国和乌克兰的 TP-Link 路由器，而且还扩展到了打开了 TCP 端口 63256 和 63260 的华硕路由器。

最新调查结果显示，该僵尸网络由三个额外的集群组成 –

• xlogin（又名 7777 僵尸网络）- 由受感染的 TP-Link 路由器组成的僵尸网络，这些路由器同时打开了 TCP 端口 7777 和 11288
• alogin（又名 63256 僵尸网络）- 由受感染的华硕路由器组成的僵尸网络，这些路由器同时打开了 TCP 端口 63256 和 63260
• rlogin – 由受感染的 Ruckus Wireless 设备组成的僵尸网络，这些设备打开了 TCP 端口 63210
• axlogin – 能够以 Axentra NAS 设备为目标的僵尸网络（尚未在野外检测到）
• zylogin – 由打开了 TCP 端口 3256 的受感染 Zyxel VPN 设备组成的僵尸网络

Sekoia 告诉 The Hacker News，感染人数最多的国家是保加利亚（1,093 人）、美国（733 人）和乌克兰（697 人）。

作为战术演变的进一步迹象，威胁行为者现在利用一个名为 UPDTAE 的新后门，该后门建立了基于 HTTP 的反向 shell，以在受感染设备上建立远程控制并执行从命令和控制 （C2） 服务器发送的命令。

目前尚不清楚该僵尸网络的确切目的或幕后黑手，但该公司表示，该活动很可能是中国政府支持的威胁行为者所为。

“关于 7777 [僵尸网络]，我们只看到了针对 Microsoft 365 帐户的暴力破解尝试，”Aimé 告诉该出版物。“对于其他僵尸网络，我们仍然不知道它们是如何使用的。”

“然而，在与其他研究人员交流和新发现之后，我们几乎可以肯定，运营商更有可能是 CN 国家资助的，而不是简单的网络犯罪分子进行 [商业电子邮件泄露]。”

“我们看到威胁行为者试图通过在受感染的边缘设备上使用新的恶意软件来变得更加隐蔽。此举背后的主要目的是防止跟踪附属僵尸网络。