搜索

[11331] 2017-05-10_揭秘来自中国的数字货币“挖矿”军团–Bondnet僵尸网络

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2017-05-10_揭秘来自中国的数字货币“挖矿”军团–Bondnet僵尸网络 揭 秘 来 自 中 国 的 数 字 货 币 “ 挖 矿 ” 军 团   –   B o n d n e t 僵 尸 网 络 c l o u d s   F r e e B u f   2 0 1 7 - 0 5 - 1 0 最 近 ， 以 色 列 安 全 公 司 G u a r d i C o r e 发 现 了 一 个 名 为 B o n d n e t 的 僵 尸 网 络 ， 该 僵 尸 网 络 由 数 万 台 被 控 制 的 具 备 不 同 功 率 的 服 务 器 肉 鸡 组 成 。 从 目 前 的 情 况 来 看 ， 幕 后 运 营 者 通 过 远 程 控 制 管 理 B o n d n e t 网 络 ， 进 行 数 字 加 密 货 币 （   C r y p t o c u r r e n c y ） 挖 矿 ， 但 也 随 时 准 备 着 发 起 类 似 于 M i r a i 的 D D o S 攻 击 。 组 成 B o n d n e t 僵 尸 网 络 的 被 控 肉 鸡 服 务 器 大 多 来 自 全 球 知 名 企 业 、 高 校 、 政 府 和 其 它 公 开 机 构 。 而 据 G u a r d i C o r e 分 析 ， B o n d n e t 的 幕 后 控 制 者 可 能 来 自 中 国 。 B o n d n e t 的 控 制 者 通 过 一 系 列 公 开 漏 洞 ， 利 用 W i n d o w s 管 理 服 务 （ W M I ） 木 马 对 服 务 器 进 行 入 侵 控 制 。 根 据 G u a r d i C o r e 的 分 析 显 示 ， 昵 称 为 B o n d 0 0 7 . 0 1 的 B o n d n e t 控 制 者 ， 能 获 得 对 肉 鸡 服 务 器 的 完 全 控 制 权 ， 具 备 数 据 窃 取 、 勒 索 和 发 起 其 它 进 一 步 攻 击 的 可 能 。 B o n d n e t 自 2 0 1 6 年 1 2 月 出 现 以 来 ， 主 要 进 行 门 罗 币 （ M o n e r o ） 的 挖 掘 ， 其 一 天 的 收 入 可 达 1 千 美 元 之 多 。
本 报 告 中 ， 详 细 分 析 了 B o n d n e t 僵 尸 网 络 的 感 染 和 驻 留 机 制 ， 并 描 述 了 其 攻 击 和 控 制 管 理 架 构 ， 最 终 还 给 出 了 具 体 的 威 胁 指 标 （ I o C ） 和 检 测 清 除 工 具 。 B o n d n e t 僵 尸 网 络 规 模 截 止 目 前 ， B o n d n e t 已 经 渗 透 控 制 了 大 约 1 5 , 0 0 0 台 服 务 器 主 机 ； 每 天 ， 将 近 有 2 0 0 0 台 主 机 相 当 于 1 2 , 0 0 0 个 C P U 内 核 被 B o n d n e t 控 制 使 用 ； 被 控 肉 鸡 服 务 器 C P U 内 核 数 从 1 至 6 4 不 等 ； 每 天 ， B o n d n e t 的 新 增 肉 鸡 主 机 和 丢 弃 主 机 大 约 都 为 5 0 0 台 左 右 ； B o n d n e t 僵 尸 网 络 的 被 控 受 害 者 服 务 器 遍 布 全 球 1 4 1 个 国 家 。 B o n d n e t 的 感 染 方 式 我 们 在 香 港 发 现 的 一 个 感 染 案 例 显 示 ， 攻 击 者 利 用 P h p M y A d m i n 的 脆 弱 配 置 上 传 部 署 了 恶 意 D L L 和 加 密 V B 脚 本 ， 这 些 恶 意 文 件 具 备 免 杀 能 力 ， 多 个 受 害 者 系 统 的 杀 毒 软 件 也 难 以 检 测 识 别 。 之 后 ， 我 们 发 现 攻 击 者 以 这 种 相 同 的 攻 击 模 式 和 网 络 基 础 架 构 ， 利 用 不 同 的 攻 击 向 量 和 应 用 软 件 漏 洞 ， 对 全 球 的 不 同 服 务 器 发 起 了 攻 击 渗 透   。 我 们 于 2 0 1 7 年 1 月 通 过 全 网 感 知 系 统 探 测 到 了 B o n d n e t 。 以 下 为 B o n d n e t 的 近 期 被 控 受 害 主 机 分 布 图 ： 在 这 些 被 控 的 受 害 主 机 中 ， 大 部 分 被 用 来 进 行 数 字 货 币 的 挖 矿 ， 其 它 则 被 用 来 部 署 恶 意 软 件 或 当 成 C & C 端 使 用 。 同 时 ， 攻 击 者 还 利 用 其 中 一 些 被 控 主 机 隐 藏 在 合 法 主 机 之 间 ， 继 续 扩 大 僵 尸 网 络 攻 击 感 染 范 围 。 以 下 为 被 控 主 机 的 大 致 系 统 分 类 ：
B o n d n e t 的 攻 击 感 染 技 术 攻 击 者 主 要 使 用 了 一 些 老 旧 的 公 开 漏 洞 以 及 用 户 名 / 密 码 组 合 对 W i n d o w s 服 务 器 进 行 入 侵 尝 试 ， 攻 击 向 量 包 括 p h p M y A d m i n 的 配 置 错 误 漏 洞 、 J b o s s 漏 洞 、 O r a c l e   W e b 应 用 测 试 套 件 、 E l a s t i c S e a r c h 搜 索 服 务 器 、 M S S Q L 服 务 器 、 A p a c h e   T o m c a t 以 及 W e b l o g i c 等 中 间 件 应 用 和 其 它 应 用 服 务 。 各 种 应 用 程 序 的 利 用 占 比 如 下 ： 所 有 这 些 攻 击 ， 最 终 都 会 实 现 一 系 列 V B 脚 本 、 R A T 远 控 和 数 字 加 密 货 币 挖 矿 程 序 （ M i n e r ) 的 下 载 执 行 ， 我 们 以 攻 击 者 对 M y S Q L 的 入 侵 攻 击 为 例 进 行 解 剖 分 析 。 对 M y S Q L 入 侵 攻 击 的 分 析 首 先 ， 感 染 初 始 阶 段 通 过 M y S Q L 命 令 I N T O   D U M P F I L E 植 入 文 件 ， 之 后 利 用 M y S Q L 插 件 特 性 进 行 加 载 执 行 。 通 常 来 说 ， 这 些 命 令 在 默 认 情 况 下 是 不 能 运 行 的 ， 只 有 在 获 得 一 定 的 数 据 库 权 限 之 后 才 能 执 行 。 另 外 ， 入 侵 攻 击 P a y l o a d 是 经 过 混 淆 的 V B 脚 本 ， 且 在 D L L 加 载 进 入 M y S Q L 进 程 时 ， 调 用 其 中 的 a l l c o n e 输 出 函 数 并 有 效 执 行 。 其 次 ， 整 个 攻 击 感 染 过 程 都 能 完 美 逃 过 各 种 杀 毒 软 件 的 启 发 式 识 别 扫 描 。 当 然 ， 所 有 这 些 操 作 都 基 于 攻 击 者 获 取 到 的 M y S Q L 数 据 库 较 高 控 制 权 限 。 以 下 为 我 们 感 知 探 测 到 的 M y S Q L 入 侵 操 作 ：
由 于 一 些 应 用 服 务 配 置 的 脆 弱 安 全 机 制 ， 导 致 在 此 过 程 中 使 用 的 混 淆 代 码 可 以 成 功 绕 过 大 多 安 全 防 护 措 施 。 与 现 在 普 遍 使 用 的 P o w e r S h e l l 相 比 ， V B S 编 码 很 难 记 录 和 访 问 W M I 实 体 ， 且 很 少 被 要 求 进 行 安 全 审 核 。 另 外 ， V B 语 言 还 具 有 向 后 兼 容 性 ， 适 用 于 早 期 的 2 0 0 3 和 2 0 0 8 服 务 器 操 作 系 统 。 V B S   P a y l o a d 在 这 里 ， V B 脚 本 的 P a y l o a d 首 先 完 成 系 统 版 本 、 C P U 内 核 数 、 使 用 语 言 以 及 网 络 连 接 等 系 统 信 息 的 收 集 ， 之 后 ， 攻 击 者 再 根 据 这 些 信 息 选 择 后 续 需 要 上 传 安 装 的 恶 意 软 件 。 另 外 ， 可 能 由 于 防 火 长 城 （ G r e a t   F i r e w a l l ） 会 对 一 些 境 外 通 信 阻 断 的 原 因 ， 在 这 里 攻 击 者 主 要 把 系 统 语 言 用 来 区 分 中 国 境 内 和 境 外 被 控 肉 鸡 服 务 器 。 大 多 数 被 入 侵 控 制 的 受 害 服 务 器 都 会 被 攻 击 者 安 装 一 个 挖 矿 程 序 （ M i n e r ） 和 一 个 后 门 ， 而 中 国 境 内 的 被 控 主 机 则 会 被 攻 击 者 安 装 一 个 浏 览 器 广 告 劫 持 程 序 。 以 下 为 被 混 淆 处 理 的 P a y l o a d   V B 脚 本 代 码 ： 挖 矿 程 序 挖 矿 程 序 M i n e r 挖 矿 程 序 M i n e r 的 安 装 ， 根 据 攻 击 者 对 不 同 数 字 加 密 货 币 的 挖 掘 需 求 ， 而 从 攻 击 者 控 制 管 理 的 网 站 中 下 载 安 装 匹 配 的 挖 矿 程 序 ， 但 目 标 首 选 是 M o n e r o （ 门 罗 币 ） ， 其 它 可 选 的 数 字 货 币 还 包 括 能 兑 换 成 美 元 的 B y t e C o i n 、 R i e C o i n 和 Z C a s h 。 为 了 获 得 挖 矿 程 序 ， 植 入 受 害 主 机 的 恶 意 软 件 会 通 过 H T T P   4 0 0 0 端 口 方 式 与 被 控 服 务 器 池 中 的 一 台 写 入 硬 编 码 文 件 的 服 务 器 进 行 通 信 连 接 ， 请 求 安 装 最 新 版 本 挖 矿 程 序 。 最 终 ， 恶 意 软 件 还 会 确 保 运 行 的 挖 矿 程 序 能 实 现 持 久 驻 留 、 定 制 任 务 、 定 时 激 活 和 自 启 动 等 功 能 。 以 下 为 挖 矿 程 序 的 一 个 定 制 任 务 示 例 ：
W M I   木 马 木 马 植 入 受 害 主 机 的 后 门 是 攻 击 者 设 置 从 名 为 m y t e s t 0 1 2 3 4 的 A m a z o n 云 存 储 服 务 器 中 下 载 的 W M I 远 控 ， 它 利 用 M O F 文 件 提 权 方 法 进 入 安 装 植 入 ， 并 设 置 为 每 天 晚 上 2 3 点 启 动 运 行 。 该 后 门 通 过 从 W M I 函 数 中 继 承 构 造 了 一 个 名 为 A S E v e n t C o n s u m e r d r 的 W M I   p r o v i d e r 类 ， 这 样 攻 击 者 可 以 在 特 定 时 间 段 内 把 代 码 执 行 等 恶 意 操 作 伪 装 成 W M I 事 件 进 行 实 施 ， 真 正 达 到 隐 蔽 、 简 单 而 有 效 的 目 的 。 另 外 ， 该 后 门 还 能 开 启 受 害 主 机 的 G u e s t 账 户 ， 重 置 密 码 ， 使 得 攻 击 者 在 必 要 时 候 可 以 远 程 通 过 R D P 、 S M B 和 R P C 等 方 式 连 接 控 制 。 当 然 ， 它 还 能 进 一 步 收 集 以 下 系 统 信 息 和 元 数 据 发 往 攻 击 者 的 C & C 端 ： 电 脑 名 称 R D P   端 口 G u e s t 账 户 用 户 名 系 统 版 本 运 行 的 C P U 处 理 器 数 量 系 统 正 常 运 行 时 间 原 始 可 用 的 感 染 载 体 受 害 主 机 是 否 为 中 文 操 作 系 统 系 统 语 言 C P U 架 构 （ 3 2 位 / 6 4 位 ） 这 些 信 息 被 重 新 编 码 为 一 串 数 字 ， 并 最 终 形 成 对 应 的 两 位 A S C I I 码 值 被 以 H T T P 方 式 发 送 出 去 ： 最 后 ， 受 害 主 机 还 会 通 过 8 0 8 0 端 口 向 C & C 服 务 器 m s t . m y m s t 0 0 7 . i n f o 请 求 下 载 一 份 命 令 执 行 文 件 ， 进 行 对 照 执 行 。 其 执 行 命 令 都 为 混 淆 的 V B 代 码 ， 编 码 方 式 与 发 往 C & C 端 的 元 数 据 类 似 。 解 码 后 可 以 发 现 ， 这 些 命 令 代 码 被 以 内 置 的 编 程 语 言 功 能 进 行 实 现 ， 避 免 向 受 害 主 机 的 磁 盘 写 入 和 其 它 安 全 防 护 机 制 的 发 现 。 另 外 ， 我 们 从 命 令 执 行 文 件 中 发 现 了 一 个 来 自 C & C 服 务 器 的 文 件 j k . z i p ， 它 是 最 新 版 本 的 挖 矿 程 序 安 装 脚 本 。 但 奇 怪 的 是 ， 该 文 件
安 装 之 后 在 系 统 中 被 保 存 为 x w . t m p ， 但 执 行 之 后 便 失 去 与 C & C 服 务 器 的 固 有 命 令 控 制 联 系 。 从 我 们 收 集 到 的 多 个 版 本 的 挖 矿 程 序 安 装 脚 本 可 以 发 现 ， 其 挖 矿 程 序 的 安 装 执 行 都 大 致 相 同 。 攻 击 者 对 B o n d n e t 僵 尸 网 络 的 控 制 在 每 一 台 被 控 受 害 主 机 远 程 连 接 的 C & C 服 务 器 中 ， 攻 击 者 安 装 架 设 了 一 个 小 型 的 网 页 服 务 器 （ W e b s e r v e r ） 作 为 管 理 控 制 之 用 ， 该 W e b s e r v e r 为 开 源 的 G o l a n g 语 言 所 编 写 。 攻 击 者 在 其 中 添 加 了 诸 如 受 害 主 机 状 态 跟 踪 和 磁 盘 文 件 A E S 加 密 等 g r o u p 组 功 能 特 性 ， 为 了 逃 避 受 害 主 机 端 的 安 全 审 计 和 防 火 墙 提 示 ， 攻 击 者 在 C & C 服 务 器 中 提 供 的 外 部 服 务 文 件 多 为 . a s p 和 . z i p 格 式 。 C & C 服 务 器 开 启 了 8 0 8 0 端 口 监 听 ， 允 许 受 害 主 机 执 行 以 下 操 作 ： 在 C & C 端 的 网 页 管 理 控 制 服 务 器 中 ， 都 有 一 个 需 要 输 入 用 户 名 密 码 进 行 身 份 认 证 的 管 理 员 控 制 后 台 ， 但 非 常 有 意 思 的 是 ， 我 们 利
用 绕 过 技 术 成 功 实 现 了 后 台 登 入 ， 所 有 托 管 文 件 都 一 览 无 遗 ！ 攻 击 者 对 创 建 命 令 和 控 制 实 例 后 ， 并 通 过 R D P 方 式 远 程 连 接 受 害 主 机 ， 另 外 其 中 名 为   A L L - H F S . z i p 或 m a i n . z i p 的 压 缩 文 件 中 还 还 包 含 了 具 体 的 C & C 服 务 器 I P 、 开 源 服 务 管 理 程 序 和 命 令 文 件 。 名 为 3 2 . b a t 的 批 处 理 文 件 运 行 之 后 ， 将 会 在 受 害 主 机 内 安 装 与 I I S 主 机 进 程 同 名 的 w 3 w p 服 务 。 但 有 时 候 ， 攻 击 者 和 有 些 C & C 服 务 器 不 都 会 创 建 a l l . a s p 文 件 保 存 被 控 主 机 木 马 客 户 端 发 送 过 来 的 信 息 。 攻 击 利 用 的 网 络 架 构 B o n d n e t 的 整 个 网 络 攻 击 架 构 都 由 一 些 被 控 受 害 主 机 服 务 器 组 成 ， 它 们 都 有 着 特 定 的 任 务 角 色 划 分 ， 如 C & C 服 务 器 、 文 件 共 享 服 务 器 和 扫 描 探 测 服 务 器 等 。 为 了 寻 找 新 的 攻 击 目 标 ， 攻 击 者 还 利 用 了 黑 客 论 坛 中 的 一 个 T C P 端 口 扫 描 工 具 W i n E g g D r o p ， 在 给 定 I P 列 表 和 端 口 范 围 之 后 ， 就 可 以 自 动 扫 描 发 现 相 关 目 标 。 同 时 ， 攻 击 者 还 会 利 用 扫 描 和 其 它 服 务 器 识 别 不 同 目 标 网 络 内 应 用 程 序 （ 如   A p a c h e 、 S t r u t s 2 、 M S S Q L 和 p h p M y A d m i n   等 ） 存 在 的 未 修 复 漏 洞 ， 而 其 它 被 控 服 务 器 有 时 还 被 用 来 向 不 同 受 害 主 机 以 H T T P   4 0 0 0 端 口 部 署 分 配 挖 矿 程 序 。 另 外 ， 攻 击 者 还 在 一 些 文 件 共 享 服 务 器 中 部 署 了 与 C & C 服 务 器 相 同 的 W e b s e r v e r 。 如 ：
与 被 控 主 机 组 成 的 网 络 攻 击 架 构 不 同 ， 攻 击 者 利 用 A m a z o n   S 3   b u c k e t 云 存 储 服 务 器 托 管 入 侵 感 染 所 用 到 的 W M I 木 马 文 件 。 到 底 谁 是 B o n d 0 0 7 . 0 1 ？ 据 我 们 跟 踪 发 现 ， B o n d n e t 的 幕 后 运 营 者 可 能 为 B o n d 0 0 7 . 0 1 ， 其 昵 称 l e e b o n d 9 8 6 也 多 次 出 现 在 其 编 译 的 多 个 挖 矿 程 序 代 码 之 中 。 从 他 使 用 的 代 码 习 惯 和 程 序 架 构 来 看 ， 我 们 认 为 其 攻 击 活 动 可 能 只 是 个 人 行 为 ， 并 不 出 自 团 队 组 织 。 我 们 有 多 种 证 据 和 理 由 认 为 B o n d 0 0 7 . 0 1 来 自 中 国 ， 因 为 ： 在 中 文 和 非 中 文 网 站 技 术 参 考 资 料 中 ， 攻 击 者 首 选 中 文 网 站 进 行 代 码 的 复 制 粘 贴 ； 攻 击 者 对 中 文 系 统 被 控 受 害 主 机 的 处 理 与 其 它 语 系 受 害 主 机 不 同 ； B o n d n e t   C & C 服 务 器 某 些 程 序 目 录 被 在 中 文 系 统 中 编 译 过 。 如 下 ： 检 测 与 清 除 下 载 使 用 G u a r d i C o r e 开 发 的 检 测 清 除 工 具 进 行 清 除 ： 或 者 手 工 对 以 下 B o n d n e t 痕 迹 进 行 识 别 清 除 ：
日 志 文 件 ： 日 志 文 件 ： W M I 木 木 马 ： 马 ： 在 P o w e r s h e l l 环 境 下 ， 运 行 以 下 命 令 检 测 木 马 是 否 被 植 入 ： 如 果 结 果 中 包 含 一 个 名 为 A S E v e n t C o n s u m e r d r 的 实 例 ， 则 可 能 中 招 了 ： 之 后 ， 运 行 以 下 命 令 进 行 清 除 ： 挖 矿 程 序 挖 矿 程 序 M i n e r 用 以 下 命 令 检 查 定 时 任 务 中 包 含 “ g m ” 、 “ n g m ” 或 “ c e l l ” 的 批 处 理 服 务 ： 有 时 候 ， 植 入 木 马 会 直 接 运 行 挖 矿 程 序 ， 此 时 需 要 手 工 识 别 和 清 除 挖 矿 进 程 。 （ 一 般 为 s m s s m . e x e 、 m s d c . e x e 、 z 6 4 . e x e 、 s e r v i e s . e x e ） 后 门 账 户 后 门 账 户 禁 用 或 检 查 G u e s t 账 户 ；
清 除 未 知 身 份 用 户 ， 如 w e b a d m i n ； 非 必 要 时 ， 关 闭 R D P 连 接 。 总 结 B o n d n e t 僵 尸 网 络 的 主 要 目 标 是 利 用 大 量 被 控 受 害 服 务 器 进 行 数 字 加 密 货 币 （ C r y p t o c u r r e n c y ） 的 挖 掘 ， 因 此 ， 它 主 要 以 多 C P U 内 核 的 服 务 器 为 入 侵 控 制 目 标 ， 一 些 个 人 电 脑 和 I o T 设 备 则 不 在 其 攻 击 范 围 之 内 。 随 着 比 特 币 （ B i t c o i n ） 挖 掘 业 务 和 市 场 转 向 一 些 大 型 商 业 团 队 之 后 ， 其 它 非 传 统 的 数 字 加 密 货 币 （ C r y p t o c u r r e n c y ） 挖 掘 仍 然 有 利 可 图 ， 尤 其 是 在 不 需 要 耗 费 任 何 电 力 成 本 的 情 况 下 。 虽 然 对 大 多 企 业 来 说 ， 每 台 服 务 器 每 年 的 电 费 可 能 为 1 0 0 0 到 2 0 0 0 $ 美 元 不 等 ， 但 这 还 不 是 问 题 的 关 键 ， B o n d n e t 僵 尸 网 络 通 过 控 制 企 业 服 务 器 ， 可 以 实 现 信 息 窃 取 、 传 播 恶 意 软 件 或 发 起 其 它 非 法 攻 击 。 现 在 执 行 的 挖 矿 任 务 ， 在 未 来 可 能 会 被 攻 击 者 发 展 成 为 勒 索 攻 击 、 大 规 模 数 据 窃 取 或 进 一 步 的 内 网 渗 透 入 侵 行 为 。 I O C 信 息 D N S   –   m s t . m y m s t 0 0 7 . i n f o 挖 矿 程 序 M i n e r : s m s s m . e x e m s d c . e x e z 6 4 . e x e s e r v i e s . e x e 其 它 详 细 I O C 信 息 请 参 考 G u a r d i C o r e 报 告 附 件 。 * 参 考 来 源 ： g u a r d i c o r e ， F r e e B u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理