AG公司云
IoT机顶盒恶意软件应急处置惩罚手册
2017-10-13
事务配景
AG公司科技DDoS态势感知平台监控到某客户的网络带宽流量保存异常情形，经剖析确以为对外提倡DDOS攻击导致，攻击类型多样，包括TCP Flood、HTTP Flood、DNS Flood等。通过对攻击源IP举行溯源，发明攻击来自通俗用户终端装备，包括数字电视机顶盒及EOC终端装备，并涉及多家装备开发厂商。
准备事情
· 相关工具
为判断网络是否受到IoT机顶盒恶意软件影响，且有针对性防护，AG公司科技提供检测及防护计划，下表为相关检测和防护工具。
|
界线防护类 |
AG公司网络入侵防护/检测系统（IPS/IDS） |
|
防御类 |
AG公司抗拒绝服务系统（ADS） |
|
检测类 |
Wireshark |
危害检测
针对恶意软件在主机层面和网络层面的特征，可通过网络举行检测，来确定在目今网络情形中是否保存威胁。
· 基于网络检测
若广电网络中保存被熏染装备，则装备会向大宗外网ip的23端口发送tcp请求，同时会与CC服务器185.47.62.133:8716建设毗连。因此，可在广电网络中对流量抓取和剖析，判断是否受到恶意软件影响。
检测向23端口的发包频率
恶意软件具有全网扫描telnet弱口令的功效，若是对网络举行抓包剖析，可以看到在网络通讯数据流中充满着大宗发往目的端口23的tcp数据包。
使用wireshark翻开捕获到的数据包举行剖析，在菜单栏中依次点击“统计”-“会话”（Statistics-Conversations）。
可以看到在整个网络数据通讯数据中，在一段时间内，发往目的端口23的tcp数据包占比很是高。
?
