“神秘网络攻击事件”导致美国 60 万台路由器瘫痪
内容提要
据报道，美国约有60多万台小型办公室/家庭办公室（SOHO）路由器在一次名为“Pumpkin Eclipse”的破坏性网络攻击后被瘫痪并离线。该攻击主要影响了ActionTec T3200、ActionTec T3260和Sagemcom三种路由器型号。调查发现，受感染的设备需要进行硬件更换。攻击者利用名为Chalubo的远程访问木马执行DDoS攻击。黑客可能滥用弱凭据或利用暴露的管理界面入侵路由器。这次攻击针对单一的ASN，提高了被蓄意攻击的可能性。需要更换60多万台设备。
延伸解读
攻击规模与影响范围
此次攻击导致美国约60多万台SOHO路由器瘫痪，影响ActionTec T3200、T3260和Sagemcom三种型号。受感染设备需硬件更换，且受影响ISP的ASN中49%的调制解调器被移除，中断用户互联网访问。攻击针对单一ASN，提高了蓄意攻击的可能性，但ISP名称未披露，有证据指向Windstream。
攻击手法与恶意软件
攻击者使用Chalubo远程访问木马，该木马最早由Sophos于2018年10月记录，具有针对SOHO/IoT内核的有效载荷，可执行DDoS攻击和Lua脚本。初始入侵方法尚不明确，推测涉及弱凭据或暴露的管理界面。入侵后，感染链投放shell脚本，加载器从外部服务器检索并启动Chalubo，进而利用Lua功能检索破坏性有效载荷。
事件特殊性与历史对比
Lumen表示此次事件史无前例，需更换60多万台设备，过往无类似规模攻击。攻击针对单一ASN，不同于针对特定型号或漏洞的攻击，动机未确定。类似攻击仅发生过一次，AcidRain被用作主动军事入侵的前兆，凸显了此次攻击的潜在严重性。
Q&A
这次网络攻击的名称是什么？
这次网络攻击被命名为“Pumpkin Eclipse”。
哪些路由器型号受到此次攻击的影响？
此次攻击主要影响了ActionTec T3200、ActionTec T3260和Sagemcom三种路由器型号。
攻击者使用了什么恶意软件进行攻击？
攻击者使用了名为Chalubo的远程访问木马进行攻击。
此次攻击的后果是什么？
此次攻击导致约60万台路由器瘫痪并需要进行硬件更换。
黑客是如何入侵路由器的？
黑客可能通过滥用弱凭据或利用暴露的管理界面入侵路由器。
此次事件的规模如何？
此次事件是史无前例的，需要更换60多万台设备，之前没有类似规模的攻击记录。
