駭客越來越愛鑽物聯網漏洞進行攻擊，一半以上攻擊源於中國和美國

賽門鐵克公司近日公佈一項針對物聯網安全的調查結果。深入分析網路攻擊者如何在網路設備擁有者不知情的情況下，利用物聯網安全設備的漏洞傳播惡意軟體或建立僵屍網路。

賽門鐵克安全機制應變中心團隊發現,網路罪犯者利用劫持家用網路和消費互聯設備，並以分散式阻斷服務（DDoS）方式進行攻擊，為了有利可圖，目標通常針對大型企業。除此之外，為了成功攻擊，網路罪犯者利用感染缺乏進階安全性的物聯網設備，編織一個大型的消費設備網路，以獲得更加經濟的頻寬，來進行攻擊。

賽門鐵克發現,根據惡意軟體攻擊的 IP 位址，超過一半的物聯網攻擊源於中國和美國。此外,還有大量的攻擊來自德國、荷蘭、俄羅斯、烏克蘭和越南。事實上，在一些情況下，攻擊者將 IP 位址作為代理(proxies)，用來隱藏自身的真實位置。

大部分物聯網惡意軟體將非 PC 嵌入式設備作為攻擊目標，例如 Web 伺服器、路由器、數據機、網路連接儲存（NAS）設備、閉路電視（CCTV）系統和工業控制系統等。許多物聯網設備的確是可以藉由網路連接，但由於作業系統和處理能力的局限性，這些設備可能不具有任何進階安全保護的特性。

現在，網路攻擊者已經十分瞭解物聯網存在的安全缺陷,很多網路罪犯者開始利用常用的預設密碼預先編寫惡意軟體，以便更加輕鬆地對物聯網設備發起攻擊。由於許多物聯網設備的安全性較低，這使他們更容易成為攻擊目標，而受害者往往意識不到他們已經遭受感染。

除此之外，賽門鐵克的調查還發現以下結果：

• 2015年是物聯網遭遇攻擊的創紀錄年，有關家庭自動化和家庭安全設備遭遇劫持的懷疑事件層出不窮。到目前為止，根據各類攻擊報告顯示，大部分攻擊者對受害者本身不太感興趣，反而是意圖將受到劫持的設備添加到僵屍網路中，以用於實施 DDoS 攻擊。

• 物聯網設備專為‘隨插即用’而設計，在基礎設置後，十分容易被擁有者忽略，這也是導致物聯網設備成為主要攻擊物件的原因。

• 毫無意外，惡意軟體用來嘗試登錄物聯網設備的常用密碼是‘root’和‘admin’組合，這也說明，在通常情況下，使用者從不更改預設密碼。

• 隨著越來越多的嵌入式設備連接至互聯網，賽門鐵克預測，未來可能會更加頻繁地出現多種物聯網平臺同步受到攻擊的事件。