3、物联网设备恶意软件防御：Qbot与Mirai分析及应对方案

物联网设备恶意软件防御：Qbot与Mirai分析及应对方案

1. Qbot恶意软件分析

1.1 Qbot代码分析

Qbot代码可从 此处 获取。其代码内置了多种攻击方式，包括Hold Flooding、Junk Flooding、TCP Flooding和UDP Flooding。还有一段用于发送邮件攻击以对受害者邮箱进行垃圾邮件/分布式拒绝服务攻击的代码，但被注释掉了。

代码中包含用户名和密码列表，与Mirai不同的是，这里的用户名和密码可任意组合使用，它们分别定义在不同列表中。这些似乎用于对暴露在互联网上使用默认Telnet凭证的主机进行Telnet扫描。

代码开头注释表明这是一个IRC机器人，且可在几乎任何系统上运行。实际检查代码时，能看到有专门通过IRC发送和接收数据来控制机器人的部分。

默认情况下，代码会检查受害者设备的以下芯片组架构：Arm、Mips、Mpsl、PPC和x86。扫描主机时会跳过以下IP范围：0.x.x.x、10.x.x.x、100.64.x.x 至 100.127.x.x、127.x.x.x、169.254.x.x、172.16.x.x 至 172.31.x.x、192.0.2.x、192.88.99.x、192.168.x.x、198.18.x.x 至 198.19.x.x、198.51.100.x、203.0.113.x、224.x.x.x 及更大范围。

Qbot的目的主要有两个：
- 通过Telnet使用默认凭证列表将自身