the hidden IoT Multi-hop Proxy Attack
<!--kg-card-begin: markdown--><h3 id="">背景介绍</h3>
<p>2021年7月29号，360网络安全研究院Anglerfish蜜罐系统监测到一个攻击者使用QNAP Systems, Inc.公司的网络存储设备的6个远程命令执行漏洞, 组建多跳代理（Multi-hop Proxy）网络<a href="https://restoreprivacy.com/vpn/multi-hop/">[1]</a> <a href="https://attack.mitre.org/techniques/T1090/003/">[2]</a> 。</p>
<p>我们发现部分漏洞仍存在QNAP QVR系列最新固件程序中，并向QNAP厂商报告了其中4个。</p>
<p>2021年9月27号，QNAP Systems, Inc.公司发布安全公告 QSA-21-35 <a href="https://www.qnap.com.cn/en/security-advisory/qsa-21-35">[3]</a> 和 QSA-21-38 <a href="https://www.qnap.com/en/security-advisory/qsa-21-38">[4]</a> ，并指出已在QVR 5.1.5 build 20210902和更高版本中解决了这些问题。</p>
<p>经过深入的分析，我们发现这个攻击者并不简单。攻击者从2018年开始至今，持续通过隐秘、复杂的漏洞攻击手法，攻击了D-Link、Huawei、Zyxel、QNAP、SAMSUNG、ASUS、Tenda、TP-LINK等厂商的大量IoT设备（路由器、摄像头和NAS），植入Dropbear程序组建SSH多跳代理网络，并用于隐秘的网络攻击行动。</p>
<h3 id="">多跳代理攻击概述</h3>
<p>多跳代理（Multi-hop Proxy）技术被广泛应用于Tor、VPN、APT攻击等场景，一般认为多跳代理流量是很难溯源的，正如Tor网络。</p>
<!--kg-card-end: markdown-->
背景介绍


2021年7月29号，360网络安全研究院Anglerfish蜜罐系统监测到一个攻击者使用QNAP Systems, Inc.公司的网络存储设备的6个远程命令执行漏洞, 组建多跳代理（Multi-hop Proxy）网络[1] [2] 。


我们发现部分漏洞仍存在QNAP QVR系列最新固件程序中，并向QNAP厂商报告了其中4个。


2021年9月27号，QNAP Systems, Inc.公司发布安全公告 QSA-21-35 [3] 和 QSA-21-38 [4] ，并指出已在QVR 5.1.5 build 20210902和更高版本中解决了这些问题。


经过深入的分析，我们发现这个攻击者并不简单。攻击者从2018年开始至今，持续通过隐秘、复杂的漏洞攻击手法，攻击了D-Link、Huawei、Zyxel、QNAP、SAMSUNG、ASUS、Tenda、TP-LINK等厂商的大量IoT设备（路由器、摄像头和NAS），植入Dropbear程序组建SSH多跳代理网络，并用于隐秘的网络攻击行动。



多跳代理攻击概述


多跳代理（Multi-hop Proxy）技术被广泛应用于Tor、VPN、APT攻击等场景，一般认为多跳代理流量是很难溯源的，正如Tor网络。

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"### 背景介绍\n2021年7月29号，360网络安全研究院Anglerfish蜜罐系统监测到一个攻击者使用QNAP Systems, Inc.公司的网络存储设备的6个远程命令执行漏洞, 组建多跳代理（Multi-hop Proxy）网络[[1]](https://restoreprivacy.com/vpn/multi-hop/) [[2]](https://attack.mitre.org/techniques/T1090/003/) 。\n\n我们发现部分漏洞仍存在QNAP QVR系列最新固件程序中，并向QNAP厂商报告了其中4个。\n\n2021年9月27号，QNAP Systems, Inc.公司发布安全公告 QSA-21-35 [[3]](https://www.qnap.com.cn/en/security-advisory/qsa-21-35) 和 QSA-21-38 [[4]](https://www.qnap.com/en/security-advisory/qsa-21-38) ，并指出已在QVR 5.1.5 build 20210902和更高版本中解决了这些问题。\n\n经过深入的分析，我们发现这个攻击者并不简单。攻击者从2018年开始至今，持续通过隐秘、复杂的漏洞攻击手法，攻击了D-Link、Huawei、Zyxel、QNAP、SAMSUNG、ASUS、Tenda、TP-LINK等厂商的大量IoT设备（路由器、摄像头和NAS），植入Dropbear程序组建SSH多跳代理网络，并用于隐秘的网络攻击行动。\n\n\n\n\n### 多跳代理攻击概述\n多跳代理（Multi-hop Proxy）技术被广泛应用于Tor、VPN、APT攻击等场景，一般认为多跳代理流量是很难溯源的，正如Tor网络。\n\n\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}