搜索

[6199] 2019-10-02_Nitol.C僵尸网络爆发预警

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-17
2019-10-02_Nitol.C僵尸网络爆发预警 N i t o l . C 僵 尸 网 络 爆 发 预 警 E 安 全   2 0 1 9 - 1 0 - 0 2 以 下 文 章 来 源 于 安 恒 信 息 应 急 响 应 中 心   ， 作 者 Z i o n l a b 1 . 背 景 介 绍 背 景 介 绍 近 日 ， 安 恒 析 安 实 验 室 （ Z i o n L a b ） 跟 踪 到 某 团 伙 针 对 中 国 境 内 集 中 投 放 的 一 批 N i t o l 僵 尸 网 络 变 种 。 这 批 样 本 使 用 随 机 子 域 名 加 固 定 根 域 名 的 形 式 组 装 成 C 2 域 名 ， 截 至 本 文 发 出 时 间 该 域 名 暂 未 出 现 有 效 解 析 。 2 . 基 本 信 息 基 本 信 息 N i t o l 僵 尸 网 络 最 先 是 由 鬼 影 工 作 室 开 发 ， 由 于 某 些 情 况 源 码 对 外 公 开 ， 因 此 网 络 上 出 现 了 多 种 N i t o l 衍 生 版 本 。 这 次 攻 击 者 投 递 的 主 要 是 N i t o l 家 族 的 N i t o l . C 衍 生 版 本 。 该 衍 生 版 本 在 2 0 1 7 年 的 攻 击 被 友 商 记 载 ， 同 时 发 生 了 部 分 媒 体 炒 作 中 国 D D O S 韩 国 一 些 政 府 部 门 的 相 关 新 闻 。 通 过 对 比 2 0 1 7 年 的 信 息 ， 确 认 C C 域 名 完 全 一 致 ， 活 跃 周 期 和 二 进 制 特 征 基 本 一 致 。 本 批 次 衍 生 样 本 伪 装 名 称 为 “ h e l l o . e x e ” 、 “ Y a g u   M u s i c ” ， 推 测 其 投 递 渠 道 主 要 通 过 第 三 方 下 载 站 投 毒 。 同 时 发 现 N i t o l . C 衍 生 版 本 的 样 本 内 置 了 “ w w w . b a i d u . c o m ” 域 名 ， 可 能 与 友 商 最 近 分 析 的 路 由 器 中 间 人 劫 持 有 关 。 3 . 样 本 分 析 样 本 分 析 衍 生 版 本 对 比 衍 生 版 本 对 比 通 过 多 个 衍 生 版 本 样 本 对 比 ， N i t o l . C 衍 生 类 增 加 了 w w w . b a i d u . c o m 域 名 和 子 域 名 随 机 化 ： 安 恒 信 息 应 急 响 应 中 心 安 恒 信 息 应 急 响 应 中 心   . 安 恒 应 急 响 应 中 心 为 客 户 提 供 最 精 准 预 警 通 告 ， 同 时 提 供 漏 洞 在 客 户 应 用 系 统 危 害 、 影 响 范 围 及 修 补 方 案 等 信 息 。 公 司 产 品 漏 洞 提 交 请 联 系 : 4 0 0   6 0 5 9   1 1 0 ,   或 邮 件 联 系 : s r c @ d b a p p s e c u r i t y . c o m . c n 。
N i t o l . C 主 体 架 构 主 体 架 构
C 2 解 密 手 法 解 密 手 法 密 文 - > b a s e 6 4 - > 加 偏 移 - > X O R   固 定 值 随 机 域 名 生 成 随 机 域 名 生 成 随 机 构 造 生 成 1 0 位 的 C 2 域 名 ， 解 析 规 则 是 “ * . n n n n . e u . o r g ” 。 功 能 指 令 功 能 指 令
大 于 大 于 6 的 指 令 的 指 令 0 x 1 0   远 程 下 载 并 执 行 远 程 下 载 并 执 行 0 x 1 2   自 我 更 新 自 我 更 新 下 载 程 序 到 t e m p 路 径 ， 命 名 为 x x x x x c n . e x e ， 删 除 自 身 权 限 维 持 ， 删 除 自 身 ， 启 动 下 载 的 程 序 。
0 x 1 4   打 开 文 件 打 开 文 件
小 于 小 于 6 的 指 令 的 指 令 0 x 2   D D O S 等 于 等 于 6 的 指 令 的 指 令 0 x 6   自 毁 自 毁 删 除 权 限 维 持 ， 关 s o c k e t ， 删 除 自 身 ， 退 出 。
0 x 3   S e n d H t t p G e t T o H o s t 0 x 4   回 传 数 据 回 传 数 据
1 、   使 用 官 方 网 站 下 载 的 正 版 软 件 ， 减 少 因 使 用 盗 版 软 件 暗 藏 病 毒 后 门 带 来 的 风 险 。 2 、   不 要 打 开 来 历 不 明 的 软 件 ， 提 高 自 身 警 惕 性 ， 减 少 因 为 人 为 因 素 带 来 的 安 全 风 险 。 3 、   路 由 器 刷 机 有 风 险 ， 请 谨 慎 选 择 ， 减 少 被 中 间 人 攻 击 的 可 能 性 。 I O C 参 考 链 接 ： 参 考 链 接 ： 4 . 预 防 手 段 预 防 手 段
h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 4 7 5 9 1 . h t m l h t t p s : / / w w w . h u o r o n g . c n / i n f o / 1 5 6 6 1 3 4 1 0 3 3 5 6 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理