IoT裝置UPnP協定可讓駭客發動新型態DDoS攻擊　一旦發生難以緩解

安全服務公司Imperva指出，物聯網裝置UPnP協定的特定問題可能讓駭客用它來發動新型態分散式阻斷服務攻擊（DDoS），繞過一般偵查及緩解機制。安全公司相信此類攻擊已經在發生中。

這項新型態攻擊利用的是已廣為人知，但仍然未解決的UPnP（Universal Plug and Play）協定漏洞攻擊。UPnP是執行於UDP port 1900埠及TCP埠，用於區域網路上鄰近物聯網裝置尋找與控制的網路協定。研究人員指出，UPnP的缺點在於它缺少流量驗證機制，使得拙劣的預設可能導致連網裝置遭遠端攻擊者存取，此外UPnP也存在遠端程式碼攻擊漏洞。

研究人員並指出，像路由器之類的連網裝置設定理應區分來自內、外部IP流量，但實際上很少路由器驗證兩者流量，而遵守連接埠轉送（port forwarding）的規則。一旦攻擊者開採路由器漏洞而修改傳輸埠對照表（port mapping table），就能讓該裝置成為一台代理伺服器，達到流量轉送，同時隱藏原始來源IP的目的。這個手法即為近年流行的UPnProxy攻擊。

UPnProxy漏洞攻擊原本主要用作低調的進階持續性滲透（APT）攻擊，但Imperva相信它也可用來發動大規模分散式阻斷服務（DDoS）攻擊。該公司在4月間發現針對SSDP（Simple Service Discovery Protocol）殭屍網路攻擊，之後成功複製出一起結合UPnProxy漏洞的DNS放大式攻擊（amplification attack）並證明研究團隊的假設。

傳統上針對DNS的DDoS放大式攻擊（或稱反射式DDoS攻擊）中，攻擊者對目標DNS伺服器發出請求封包後，經由DNS處理後再傳送給目標裝置，要求裝置回送內容，後者再經由DNS回傳給攻擊者。其中攻擊流量的來源傳輸埠和接受目標裝置回送流量的傳輸埠是相同的。但在Imperva的概念驗證(PoC)攻擊中，DDoS結合UPnProxy攻擊手法，DDoS流量的來源傳輸埠已經被改為隨機的傳輸埠，因讓使研究人員無從追蹤來源進而緩解攻擊。

Imperva研究人員指出，只要利用Shodan搜尋服務即可找到上百萬包含傳輸埠比對表的rootDesc.xml檔案，並用來發動DDoS攻擊。他們也偵測到據信已利用UPnP來隱藏攻擊來源、躲避偵測的攻擊行為。

研究人員並未釋出PoC攻擊程式，表示只希望藉此研究突顯安全業界對UPnP的安全威脅，進而促使物聯網裝置廠商及銷售業者強化產品安全。

家用路由器等已成為下一個安全隱憂。上個月卡巴斯基也公佈報告警告，以路由器為對象的APT攻擊愈來愈多，已成為僅次CPU漏洞的高風險領域。