搜索

[12311] 2018-02-02_“捉迷藏”IoT僵尸网络，以自定义P2P形式进行传播感染的新型僵尸网络

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2018-02-02_“捉迷藏”IoT僵尸网络，以自定义P2P形式进行传播感染的新型僵尸网络 “ 捉 迷 藏 ” I o T 僵 尸 网 络 ， 以 自 定 义 P 2 P 形 式 进 行 传 播 感 染 的 新 型 僵 尸 网 络 c l o u d s   F r e e B u f   2 0 1 8 - 0 2 - 0 2 近 日 ， 近 日 ， B i t d e f e n d e r 安 全 研 究 人 员 通 过 蜜 罐 系 统 捕 获 了 一 种 物 联 网 （ 安 全 研 究 人 员 通 过 蜜 罐 系 统 捕 获 了 一 种 物 联 网 （ I o T ） 僵 尸 网 络 ， 该 僵 尸 网 络 利 用 自 定 义 ） 僵 尸 网 络 ， 该 僵 尸 网 络 利 用 自 定 义 P 2 P 技 术 进 行 传 播 控 制 ， 由 于 其 恶 意 行 为 相 对 隐 蔽 ， 被 技 术 进 行 传 播 控 制 ， 由 于 其 恶 意 行 为 相 对 隐 蔽 ， 被 B i t d e f e n d e r 命 名 为 命 名 为 ’ 捉 迷 藏 捉 迷 藏 ’ H N S （ （ H i d e   ‘ N   S e e k ） 僵 尸 ） 僵 尸 网 络 。 目 前 ， 据 威 胁 情 报 统 计 ， 全 球 已 有 网 络 。 目 前 ， 据 威 胁 情 报 统 计 ， 全 球 已 有 3 2 0 0 0 多 台 多 台 I o T 设 备 受 到 设 备 受 到 H N S 僵 尸 程 序 感 染 控 制 。 僵 尸 程 序 感 染 控 制 。 传 播 感 染 态 势 传 播 感 染 态 势 H N S 僵 尸 程 序 最 早 于 1 月 1 0 日 被 发 现 ， 之 后 传 播 势 头 减 弱 ， 但 却 于 1 月 2 0 日 以 增 强 态 势 重 新 出 现 。 以 下 为 其 传 播 趋 势 ： 2 0 1 8 年 1 月 2 4 日   –   1 4 . 0 0   G M T + 3 ： H N S 僵 尸 网 络 跨 区 域 感 染 超 过 1 4 , 0 0 0   台 I o T 设 备 ， 并 有 从 亚 洲 向 美 国 境 内 传 播 感 染 的 态 势 ； 2 0 1 8 年 1 月 2 4 日   –   1 7 . 3 0   G M T + 3 ： H N S 僵 尸 网 络 跨 区 域 感 染 超 过 1 8 , 0 0 0   台 I o T 设 备 ； 2 0 1 8 年 1 月 2 4 日   –   2 0 . 0 0   G M T + 3 ： H N S 僵 尸 网 络 跨 区 域 感 染 超 过 2 0 , 0 0 0   台 I o T 设 备 ； 2 0 1 8 年 1 月 2 5 日   –   1 1 . 5 0   G M T + 3 ： H N S 僵 尸 网 络 感 染 超 过 2 4 , 0 0 0   台 I o T 设 备 ； 2 0 1 8 年 1 月 2 6 日   –   1 4 . 0 6   G M T + 3 ： H N S 僵 尸 网 络 感 染 控 制 了 超 过 3 2 , 3 1 2 台 I o T 设 备 ， 且 其 貌 似 进 行 着 大 规 模 的 设 计 完 善 ， 一 些 新 型 样 本 中 被 加 入 了 不 同 的 功 能 架 构 ， 并 最 终 形 成 有 效 攻 击 载 荷 （ P a y l o a d ） ， 如 以 下 样 本 ： 0 c 9 0 e a 1 2 2 7 5 c a d d 9 6 a 6 7 f 8 e e 0 7 e 2 f a 0 4 a f 9 1 e 5 1 e :   E L F   3 2 - b i t   L S B   e x e c u t a b l e ,   I n t e l   8 0 3 8 6 ,   v e r s i o n   1   ( S Y S V ) , s t a t i c a l l y   l i n k e d ,   s t r i p p e d 1 9 f 5 4 4 7 3 a 7 2 1 1 0 5 9 8 2 2 8 1 b 7 b 8 7 5 0 3 e 3 d 6 0 5 8 5 0 4 2 :   E L F   3 2 - b i t   M S B   e x e c u t a b l e ,   M I P S ,   M I P S - I   v e r s i o n   1 ( S Y S V ) ,   s t a t i c a l l y   l i n k e d ,   s t r i p p e d 2 b 3 6 3 0 5 f 7 d c b 6 3 b 4 f 5 5 b f f a b 0 f 0 d b b a a a b f 8 3 b 2 8 :   E L F   3 2 - b i t   M S B   e x e c u t a b l e ,   M o t o r o l a   6 8 0 2 0   –   i n v a l i d   b y t e o r d e r ,   v e r s i o n   1   ( S Y S V ) ,   s t a t i c a l l y   l i n k e d ,   s t r i p p e d 4 d c c a 2 0 9 4 b 5 5 b 6 5 7 6 c 1 b 2 7 5 9 7 e 4 b 1 0 d b 9 b 6 b f a 5 3 :   E L F   3 2 - b i t   M S B   e x e c u t a b l e ,   S P A R C   v e r s i o n   1   ( S Y S V ) , s t a t i c a l l y   l i n k e d ,   s t r i p p e d 6 e 5 a 7 4 d 0 e 3 9 f 7 e 1 7 e f f b 5 4 2 7 0 c 4 1 9 1 0 b 9 9 f 7 e 8 7 3 :   E L F   3 2 - b i t   L S B   e x e c u t a b l e ,   M I P S ,   M I P S - I   v e r s i o n   1 ( S Y S V ) ,   s t a t i c a l l y   l i n k e d ,   s t r i p p e d 7 8 8 f 5 2 d f 7 a e a e 7 2 0 c 9 0 f e 2 1 e e b 9 4 6 4 0 9 d c d 2 f e d 7 :   E L F   3 2 - b i t   L S B   e x e c u t a b l e ,   A R M ,   v e r s i o n   1 ,   s t a t i c a l l y   l i n k e d ,
s t r i p p e d a 8 2 c 3 c d 9 0 4 3 1 5 1 3 1 8 4 5 d 5 6 1 0 1 b 7 a f 8 c c 2 b 1 e e e 7 b :   E L F   3 2 - b i t   L S B   e x e c u t a b l e ,   A R M ,   v e r s i o n   1 ,   s t a t i c a l l y   l i n k e d , s t r i p p e d b 7 c c f b b c b 3 a 2 9 d e 4 a e 5 0 7 4 1 5 d d c a 9 3 0 2 9 d 9 0 9 2 3 d :   E L F   3 2 - b i t   M S B   e x e c u t a b l e ,   P o w e r P C   o r   c i s c o   4 5 0 0 ,   v e r s i o n 1   ( S Y S V ) ,   s t a t i c a l l y   l i n k e d ,   s t r i p p e d e d 2 4 e 8 f 5 e b 2 7 7 e 8 b 5 8 f b 3 9 c 1 5 e c e 3 d 6 0 a f 4 1 8 4 5 9 :   E L F   3 2 - b i t   L S B   e x e c u t a b l e ,   R e n e s a s   S H ,   v e r s i o n   1   ( S Y S V ) , s t a t i c a l l y   l i n k e d ,   s t r i p p e d 影 响 危 害 影 响 危 害 H N S 僵 尸 网 络 的 通 信 控 制 机 制 相 对 复 杂 和 分 散 化 ， 它 使 用 了 多 种 防 篡 改 方 式 来 避 免 第 三 方 对 其 进 行 劫 持 或 毒 化 ， 其 僵 尸 程 序 可 以 针 对 存 在 同 种 漏 洞 （ C V E - 2 0 1 6 - 1 0 4 0 1 ） 的 网 络 设 备 自 动 执 行 w e b 渗 透 攻 击 ， 另 外 其 还 具 备 数 据 窃 取 、 代 码 执 行 和 设 备 干 扰 等 多 种 内 置 命 令 。 运 行 机 制 运 行 机 制 H N S 僵 尸 程 序 的 传 播 类 似 于 蠕 虫 程 序 ， 它 会 首 先 随 机 生 成 一 个 目 标 感 染 I P 段 列 表 ， 之 后 会 向 这 些 目 标 设 备 发 起 一 个 原 始 的 S Y N 连 接 请 求 ， 一 旦 目 标 主 机 以 端 口 2 3 、 2 3 2 3 、 8 0 、 8 0 8 0 进 行 响 应 后 ， 该 僵 尸 程 序 就 筛 选 出 这 些 目 标 对 象 ， 并 在 这 些 目 标 设 备 的 b a n n e r 信 息 中 寻 找 特 定 字 段 “ b u i l d r o o t   l o g i n : ” ， 如 果 有 所 匹 配 ， 则 利 用 内 置 的 字 典 组 合 和 硬 编 码 信 息 进 行 暴 力 登 录 尝 试 。 登 录 成 功 与 受 害 设 备 建 立 连 接 之 后 ， 僵 尸 程 序 样 本 会 通 过 一 种 “ 状 态 机 ” 模 式 来 识 别 受 害 设 备 并 选 择 最 佳 感 染 方 式 。 例 如 ， 如 果 受 害 设 备 与 僵 尸 程 序 处 于 同 一 L A N 中 ， 则 僵 尸 程 序 就 会 配 置 T F T P 服 务 让 其 允 许 受 害 设 备 可 以 下 载 运 行 恶 意 程 序 ； 如 果 受 害 设 备 处 于 外 部 互 联 网 中 ， 则 僵 尸 程 序 会 远 程 尝 试 向 受 害 设 备 下 载 运 行 特 定 的 恶 意 程 序 。 H N S 僵 尸 程 序 具 备 的 这 些 渗 透 功 能 都 是 内 置 在 其 内 存 中 且 具 有 数 字 签 名 防 篡 改 特 性 ， 这 些 功 能 特 性 可 以 被 远 程 更 新 ， 也 能 在 受 害 主 机 设 备 中 传 播 共 享 。 H N S 僵 尸 程 序 最 早 于 1 月 1 0 日 针 对 一 家 韩 国 网 络 摄 像 机 设 备 进 行 攻 击 时 ， 被 B i t d e f e n d e r 蜜 罐 系 统 捕 获 。 这 些 受 害 设 备 貌 似 在 H N S 僵 尸 网 络 的 传 播 中 扮 演 着 重 要 角 色 ， 因 为 在 该 份 恶 意 样 本 的 硬 编 码 共 1 2 个 受 感 染 设 备 信 息 中 ， 有 1 0 个 设 备 隶 属 F o c u s   H & S 公 司 所 有 。 而 在 1 月 2 0 日 捕 获 的 样 本 中 ， H N S 僵 尸 程 序 却 没 有 继 续 使 用 这 些 硬 编 码 I P 信 息 。 与 其 它 的 I o T 僵 尸 程 序 类 似 ， H N S 僵 尸 程 序 也 不 能 实 现 持 久 驻 留 ， 且 设 备 重 启 后 也 能 恢 复 到 未 感 染 状 态 。 H N S 也 算 是 继 臭 名 昭 著 的 H a j i m e 之 后 又 一 个 具 备 P 2 P 传 播 机 制 的 I o T 僵 尸 网 络 ， H a j i m e 僵 尸 网 络 利 用 了 基 于 B i t T o r r e n t 协 议 的 分 散 P 2 P 通 信 体 系 ， 而 H N S 僵 尸 网 络 却 具 备 了 自 定 义 的 P 2 P 通 信 机 制 。 U D P   通 信 机 制 通 信 机 制 H N S 僵 尸 程 序 会 在 受 害 设 备 中 随 机 打 开 一 个 端 口 ， 并 为 该 端 口 添 加 入 站 的 防 火 墙 规 则 ， 然 后 在 该 端 口 上 监 听 以 下 特 殊 形 式 的 命 令 。 我 们 一 开 始 对 H N S 僵 尸 程 序 样 本 进 行 分 析 时 发 现 ， 其 中 竟 然 包 含 了 一 种 椭 圆 曲 线 密 码 来 对 控 制 命 令 进 行 验 证 ， 攻 击 者 通 过 这 些 控 制 命 令 可 以 执 行 对 控 制 程 序 的 内 存 配 置 更 新 ， 以 及 防 止 其 它 恶 意 程 序 的 渗 透 毒 化 。 H N S 僵 尸 程 序 在 运 行 时 包 含 了 以 下 一 些 控 制 参 数 ： k ’   +   [ 端 口 号 ]   –   启 动 时 终 止 所 有 在 该 端 口 上 运 行 的 进 程 ； ‘ l ’   +   [ 端 口 号 ]   –   启 动 后 对 该 端 口 实 施 监 听 ； ‘ s ’   +   路 径   –   从 该 路 径 中 读 取 文 件 或 把 它 们 加 载 进 内 存 空 间 ， 然 后 通 过 ‘ m ’ ,   ‘ y ’   和   ‘ Y ’ 命 令 来 提 取 这 些 数 据 。 此 过 程 中 创 建 的 文 件 都 具 备 s h a 2 5 6 校 验 机 制 ， 而 且 会 导 致 恶 意 二 进 制 文 件 存 留 在 受 害 者 系 统 中 ；
a ’   +   [ I P : P O R T ]   –   把 I P : P O R T 关 系 关 联 映 射 到 内 部 存 储 的 I P : P O R T 表 中 ； ‘ e ’   +   I P : P O R T   –   添 加 一 个 新 的 感 染 目 标 ， 否 则 就 随 机 生 成 一 个 感 染 列 表 。 H N S 僵 尸 程 序 控 制 命 令 僵 尸 程 序 控 制 命 令 为 了 解 H N S 僵 尸 程 序 的 具 体 功 能 ， 我 们 分 析 检 查 了 其 它 受 感 染 网 络 对 等 端 （ p e e r ） 收 到 的 一 些 命 令 信 息 ， 以 下 就 是 其 中 一 些 支 持 命 令 和 相 关 说 明 ： ‘ i ’   +   u 3 2 ( c o n f i g _ s i z e )   –   如 果 收 到 的 c o n f i g _ s i z e 大 于 当 前 配 置 ， 则 会 向 对 等 端 返 回 一 个 确 认 信 息 ， 最 终 对 等 端 会 被 设 置 为 通 信 端 以 获 取 更 多 配 置 信 息 ， 如 果 d h t _ s i z e 太 小 ,   则 会 向 对 等 端 返 回 一 个 ‘ I ’ 消 息 以 请 求 较 多 的 配 置 信 息 ； ‘ I ’   +   u 3 2 ( c o n f i g _ s i z e )   –   接 收 到 的 c o n f i g _ s i z e 应 该 大 于 当 前 配 置 （ 在   ‘ i ’   消 息 查 询 后 ） ， 向 对 等 端 返 回 一 个 确 认 信 息 ， 最 终 对 等 端 会 被 设 置 为 通 信 端 以 获 取 更 多 配 置 信 息 ； ‘ m ’   +   u 8 3 2   +   u 3 2 ( i p )   +   u 1 6 ( p o r t )   +   u 1 6 ( s e q )   +   u 8 ( h o p s )   +   u 8 ( u n k )   –   该 条 信 息 尝 试 找 出 基 于 给 定 哈 希 值 的 数 据 ， 它 首 先 会 执 行 本 地 检 查 ， 如 果 哈 希 已 知 则 数 据 可 用 ， 此 时 ， 它 会 向 i p : p o r t 发 送 一 条 ‘ Y ’ 消 息 ； 如 果 本 地 数 据 不 可 用 ， 则 僵 尸 程 序 会 向 所 有 已 知 网 络 对 等 端 广 播 当 前 的 ‘ m ’ 消 息 （ 跳 数 减 少 ， 且 少 于 5 跳 ） ； ‘ ^ ’   +   u 8 ( f l a g s )   +   u 1 6 ( p o r t )   +   u 3 2 ( i p )   –   以 i p : p o r t 形 式 产 生 一 个 新 的 网 络 对 等 端 ， 该 对 等 端 会 被 加 入 到 已 知 的 端 点 列 表 中 （ 它 也 能 替 换 其 它 对 等 端 ） ； ‘ ~ ’   –   请 求 一 个 新 的 对 等 端 点 ， 在 收 到 该 请 求 后 ， 僵 尸 程 序 会 从 已 知 端 点 列 表 中 随 机 选 择 一 个 端 点 （ p e e r ） ， 并 通 过 ‘ ^ ’ 消 息 响 应 ； ‘ Y ’   +   u 1 6 ( c h u n k _ i n d e x )   +   u 1 6 ( s e q )   +   u 8   –   这 是 数 据 接 收 到 的 消 息 ， 数 据 以 最 多 0 x 1 0 0 字 节 块 的 形 式 被 复 制 （ 当 前 偏 移 量 为 c h u n k _ i n d e x   *   0 x 1 0 0 ） ， c h u n k _ i n d e x 也 对 应 于 当 前 通 信 缓 冲 区 大 小 ； 如 果 恶 意 样 本 被 下 载 后 ， 可 能 产 生 多 种 后 果 ： 如 果 数 据 是 新 配 置 的 ， 它 会 通 过 上 述 提 到 的 椭 圆 曲 线 数 字 签 名 算 法 ( E C D S A ) 进 行 验 证 ， 验 证 成 功 则 会 替 换 掉 当 前 配 置 ； 在 更 新 机 制 中 ， 下 载 文 件 有 可 能 被 丢 弃 或 执 行 。 ‘ y ’   +   u 8 3 2   +   u 1 6 ( c h u n k _ i n d e x )   +   u 1 6 ( s e q )   –   该 命 令 尝 试 向 c h u n k _ i n d e x 中 读 取 相 应 的 以 ‘ Y ’ 消 息 发 送 的 缓 存 数 据 ， 如 果 出 于 其 它 原 因 ， 数 据 本 地 不 可 用 ， 则 会 向 广 播 一 条 ‘ m ’ 消 息 ； ‘ O ’   +   u 8 ( c h e c k s u m )   –   这 是 一 条 确 认 消 息 ， 在 收 到 的 消 息 中 进 行 c h e c k s u m 校 验 ； ‘ i ’   ,   ‘ I ’   ( f i r s t   v e r s i o n ) ’ h ’ ,   ‘ H ’   ( s e c o n d   v e r s i o n )   –   更 新 配 置 命 令 ； ‘ m ’ , ’ Y ’ , ’ y ’   数 据 渗 漏 机 制 ， 其 中 “ m ” 负 责 一 条 哈 希 值 的 通 信 确 认 ， 而 “ Y ” 和 “ y ” 则 负 责 数 据 转 移 ； “ z ”   扫 描 组 件 ， 在 字 典 暴 力 测 试 中 ， 对 探 测 发 现 到 的 对 等 端 发 送 有 效 的 登 录 凭 据 信 息 进 行 验 证 ， “ O ”   确 认 “ z ” 消 息 发 送 的 凭 据 信 息 已 经 被 有 效 接 收 ； “ ^ ”   在 已 知 对 等 端 点 列 表 中 加 入 一 个 新 的 端 点 ； “ ~ ”   以 一 个 对 等 端 I P 作 为 控 制 端 I P 查 询 进 行 响 应 。 总 结 总 结 虽 然 I o T 僵 尸 网 络 已 经 存 在 多 年 ， 且 大 多 用 于 发 动 D D o S 攻 击 ， 但 在 对 H N S 僵 尸 网 络 的 调 查 中 ， 我 们 发 现 了 其 高 度 的 复
杂 性 和 新 颖 性 ， 比 如 其 隐 蔽 的 信 息 窃 取 方 式 ， 有 可 能 被 用 于 间 谍 活 动 或 网 络 勒 索 。 还 值 得 注 意 的 是 ， H N S 僵 尸 网 络 一 直 在 不 断 地 自 我 完 善 和 继 续 传 播 感 染 态 势 之 中 。 已 知 样 本 已 知 样 本 H A S H e f c d 7 a 5 f e 5 9 c a 8 2 2 3 c d 2 8 2 b f e 5 0 1 a 2 f 9 2 b 1 8 3 1 2 c 0 5 6 7 4 f 7 7 9 e b f 9 d c 6 b 0 1 7 6 d 4 0 f f 1 9 8 e 9 4 f 0 b 2 1 f f 9 * 参 考 来 源 ： B i t d e f e n d e r ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理