搜索

[11794] 2017-09-18_Nitol家族韩国僵尸网络变种分析及其威胁情报

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-09-18_Nitol家族韩国僵尸网络变种分析及其威胁情报 N i t o l 家 族 韩 国 僵 尸 网 络 变 种 分 析 及 其 威 胁 情 报 放 牛 娃   F r e e B u f   2 0 1 7 - 0 9 - 1 8 1 .   介 绍 介 绍 对 对 T r o j a n [ D D o S ] / W i n 3 2 . N i t o l . C （ 下 简 称 ： （ 下 简 称 ： N i t o l . C ） 有 所 了 解 的 反 病 毒 研 究 人 员 或 许 都 知 道 ， ） 有 所 了 解 的 反 病 毒 研 究 人 员 或 许 都 知 道 ， N i t o l 最 先 是 由 鬼 最 先 是 由 鬼 影 工 作 室 开 发 并 通 过 某 渠 道 将 源 码 对 外 公 开 ， 致 使 网 络 上 出 现 多 种 不 同 协 议 的 影 工 作 室 开 发 并 通 过 某 渠 道 将 源 码 对 外 公 开 ， 致 使 网 络 上 出 现 多 种 不 同 协 议 的 T r o j a n [ D D o S ] / W i n 3 2 . N i t o l （ 下 （ 下 简 称 ： 简 称 ： N i t o l ） 版 本 ， 所 以 国 内 又 称 ） 版 本 ， 所 以 国 内 又 称 “ 鬼 影 鬼 影 D D o S ” 。 。 N i t o l   家 族 是 目 前 活 跃 在 家 族 是 目 前 活 跃 在 W i n d o w s 环 境 下 的 主 要 环 境 下 的 主 要 b o t n e t 之 一 。 之 一 。 大 多 数 N i t o l 家 族 的 衍 生 版 本 都 有 一 个 比 较 显 著 的 特 点 是 使 用 了 l p k . d l l 劫 持 ， 通 过 l p k . d l l 劫 持 实 现 将 样 本 在 受 害 设 备 上 进 行 多 磁 盘 横 向 备 份 感 染 ， 达 到 了 长 期 潜 伏 于 受 害 系 统 并 远 程 操 纵 攻 击 的 目 的 。 N i t o l “ 狼 藉 ” 江 湖 多 年 ， 发 展 至 今 已 经 有 8 + 不 同 协 议 的 衍 生 版 本 ， 且 据 监 控 到 的 威 胁 情 报 显 示 ， 这 些 N i t o l 家 族 组 成 的 b o t n e t 每 天 都 会 对 互 联 网 上 的 某 个 目 标 发 起 攻 击 ， 严 重 威 胁 互 联 网 的 安 全 ！ 这 里 主 要 讲 的 是 N i t o l 家 族 的 N i t o l . C 衍 生 版 本 （ 见 图 1 - 1   生 成 器 界 面 ） ， 一 个 N i t o l 家 族 衍 生 版 本 的 韩 国 僵 尸 网 络 及 其 威 胁 情 报 。 图 1 - 1   生 成 器 界 面 2 .   基 本 信 息 基 本 信 息 表 1 - 1   样 本 基 本 信 息 病 毒 名 称 病 毒 名 称 T r o j a n [ D D o S ] / W i n 3 2 . N i t o l . C 样 本 M D 5 a 4 8 4 7 8 d d 5 5 d 8 b 0 9 9 4 0 9 b b 8 2 9 f b 2 b 2 8 2 f 样 本 大 小 5 9 K B 样 本 格 式 E x e
3 .   传 播 方 式 传 播 方 式 从 目 前 监 控 到 的 威 胁 情 报 看 ， N i t o l . C 的 传 播 和 感 染 方 式 主 要 有 两 个 ： 1 、 通 过 自 动 化 批 量 I P 网 段 漏 洞 利 用 ， 植 入 被 控 端 木 马 。 2 0 1 7 年 上 半 年 黑 产 最 为 流 行 的 W i n d o w s 自 动 化 利 用 工 具 是 ” 永 恒 之 蓝 ” 和 s t 2 ， 其 中 N i t o l . C 也 存 在 使 用 这 种 自 动 化 “ 抓 鸡 ” 方 式 进 行 部 署 b o t n e t 。 2 、 通 过 已 有 的 b o t n e t 进 行 交 叉 感 染 。 在 已 经 部 署 的 其 他 b o t n e t 上 ， 通 过 批 量 执 行 远 程 下 载 命 令 （ 见 图 3 - 1   批 量 执 行 远 程 执 行 指 令 ） 进 行 快 速 植 入 韩 版 挂 马 站 点 w e b s h a r e （ 见 图 3 - 2   w e b s h a r e   挂 马 站 点 ） 的 N i t o l . C 被 控 端 木 马 。 图 3 - 1   批 量 执 行 远 程 执 行 指 令 图 3 - 2   w e b s h a r e   挂 马 站 点 安 天 - 捕 风 在 自 动 化 监 控 N i t o l . C 系 列 b o t n e t 时 ， 也 捕 获 到 近 百 个 上 述 类 似 的 w e b s h a r e 挂 马 站 点 ， 见 图 3 - 2   捕 获 的 w e b s h a r e 站 点 ：
图 3 - 3   捕 获 的 w e b s h a r e 站 点 4 .   样 本 详 细 分 析 样 本 详 细 分 析 从 图 1 - 1   获 得 的 情 报 看 （ 控 制 端 - 生 成 器 界 面 、 生 成 被 控 端 的 默 认 文 件 名 称 为 “ 鬼 影 ” 拼 音 首 写 字 母 ， 且 和 “ 国 产 ” 版 N i t o l 的 重 合 ） ， 该 家 族 确 为 N i t o l 家 族 的 衍 生 版   。 但 是 N i t o l . C 并 没 有 真 正 的 继 承 N i t o l 家 族 的 所 有 攻 击 模 式 ， 只 具 备 s y n f l o o d 、 t c p   f l o o d 、 h t t p   f l o o d 三 大 攻 击 向 量 。 1 ) 样 本 备 份 和 实 现 自 启 动 功 能 。 见 图 4 - 1   样 本 备 份 。 木 马 运 行 时 首 先 验 证 注 册 表 项 的 互 斥 量 值 “ S e r p i e i ” 存 在 与 否 来 鉴 定 自 己 是 否 第 一 次 运 行 ， 如 果 第 一 次 运 行 ， 木 马 会 进 行 备 份 并 根 据 设 置 决 定 是 否 实 现 自 启 动 功 能 。
图 4 - 1   样 本 备 份 2 ) C 2 配 置 解 密 。 通 过 读 取 存 放 . d a t a 区 段 的 全 局 变 量 得 到 C 2 密 文 ， 进 行 b a s e 6 4 + 凯 撒 + 异 或 三 重 解 密 获 取 真 实 的 C 2 。 见 图 4 - 2   C 2 配 置 解 密 ： 图 4 - 2   C 2 配 置 解 密 3 ) 与 C 2 建 立 通 信 连 接 ， 获 取 系 统 配 置 信 息 ， 向 C 2 发 送 首 包 。 见 图 4 - 3   与 C 2 建 立 通 信 ：
图 4 - 3   与 C 2 建 立 通 信 4 ) 等 待 接 收 并 执 行 C 2 远 程 指 令 。 N i t o l . C 被 控 端 主 要 实 现 的 是 互 斥 量 释 放 、 c m d   s h e l l 、 样 本 下 载 、 D D o S 攻 击 4 种 远 程 指 令 ， 其 中 主 要 执 行 的 还 是 D D o S 攻 击 。 见 表 4 - 1   远 程 指 令 类 型 ： 表 4 - 1   远 程 指 令 类 型 名 称 名 称 偏 移 偏 移 协 议 值 协 议 值 备 注 备 注 样 本 下 载 0 x 0 0 0 0 - 0 x 0 0 0 4 0 x 1 0 互 斥 量 释 放 0 x 0 0 0 0 - 0 x 0 0 0 4 0 x 1 2 、 0 x 0 6 C m d   s h e l l 0 x 0 0 0 0 - 0 x 0 0 0 4 0 x 1 4 D D o S   攻 击 0 x 0 0 0 0 - 0 x 0 0 0 4 0 x 0 2 、 0 x 0 3 、 0 x 0 4 主 要 实 现 3 大 攻 击 向 量 ： 0 x 0 2 ⇒ t c p   f l o o d 0 x 0 3 ⇒ h t t p   f l o o d 0 x 0 4 ⇒ s y n   f l o o d 5 .   电 信 电 信 - 云 堤 云 堤 “ 肉 鸡 肉 鸡 ” 情 报 反 馈 情 报 反 馈 据 电 信 云 堤 可 靠 数 据 反 馈 ， N i t o l . C 系 列 的 b o t n e t s 中 有 大 量 “ 肉 鸡 ” 潜 伏 在 中 国 境 内 ， 而 目 前 了 解 这 些 “ 肉 鸡 ” 的 来 源 主 要 有 2 个 ： 1 . 通 过 地 下 网 络 黑 产 进 行 “ 肉 鸡 ” 收 购 。 2 . 通 过 漏 洞 利 用 工 具 进 行 批 量 抓 鸡 。 也 说 明 国 内 很 多 设 备 疏 于 维 护 ， 漏 洞 未 能 及 时 修 补 。 6 .   安 天 安 天 - 捕 风 攻 击 情 报 捕 风 攻 击 情 报 N i t o l . C 系 列 样 本 ， 安 天 - 捕 风 在 2 0 1 7 年 6 月 初 开 始 分 类 检 出 并 进 行 自 动 化 监 控 。 监 控 N i t o l . C 系 列 的 攻 击 情 报 结 果 显 示 ， 截 至 2 0 1 7 年 9 月 1 2 日 N i t o l . C 的 主 要 C 2 基 本 部 署 于 韩 国 （ 占 9 5 . 7 % ） ， 共 发 起 间 歇 性 D D o S 攻 击 1 , 2 4 9 次 ， 制 造 2 9 8 起 D D o S 攻 击 事 件 ， 而 主 要 攻 击 目 标 也 基 本 分 布 于 韩 国 （ 占 9 3 . 8 6 % ） ， 攻 击 类 型 主 要 使 用 s y n   f l o o d （ 占 9 8 . 6 8 % ） 攻 击 模 式 ， 其 主 要 攻 击 事 件 的 时 间 集 中 于 2 0 1 7 年 6 月 1 9 日 — — 2 0 1 7 年 7 月 3 日 之 间 。 见 图 6 - 1 -   N i t o l . C 攻 击 时 间 分 布 ： 图 6 - 1   N i t o l . C 攻 击 时 间 分 布 攻 击 目 标 攻 击 目 标 攻 击 类 型 攻 击 类 型 攻 击 目 标 地 域 攻 击 目 标 地 域 攻 击 开 始 时 间 攻 击 开 始 时 间 攻 击 者 地 域 攻 击 者 地 域 备 注 备 注 1 8 2 . 2 1 2 . 4 7 . 2 4 4 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 1 0   1 9 : 5 8 : 1 4 韩 国 1 1 6 . 4 0 . 1 5 2 . 1 5 2 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 9   1 5 : 4 3 : 3 6 韩 国 4 9 . 1 6 3 . 2 3 . 1 8 1 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 8   2 2 : 1 4 : 3 8 韩 国 2 2 1 . 1 4 0 . 2 7 . 2 2 9 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 4   1 8 : 5 2 : 1 5 韩 国 2 1 1 . 2 1 5 . 1 5 7 . 9 3 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 3   2 0 : 1 2 : 3 5 韩 国 1 1 4 . 2 0 0 . 6 8 . 5 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 3   0 1 : 2 8 : 0 8 韩 国 1 1 8 . 2 2 0 . 1 8 2 . 1 3 6 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 1   1 8 : 5 5 : 3 4 韩 国 2 1 8 . 3 9 . 1 7 9 . 1 2 3 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 2   1 1 : 1 1 : 1 3 韩 国 1 1 2 . 1 6 7 . 2 2 5 . 1 9 7 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 1   2 0 : 0 5 : 4 9 韩 国
1 7 5 . 1 1 3 . 6 6 . 1 0 8 s y n   f l o o d 韩 国 2 0 1 7 - 0 9 - 0 1   2 0 : 0 5 : 1 4 韩 国 1 8 3 . 1 0 2 . 1 1 . 1 7 2 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 9   1 6 : 3 0 : 5 0 韩 国 1 8 2 . 2 2 6 . 0 . 1 9 1 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 7   1 5 : 2 5 : 1 4 韩 国 1 0 3 . 2 3 . 4 . 1 1 5 s y n   f l o o d 日 本 2 0 1 7 - 0 8 - 2 6   2 2 : 0 6 : 2 9 韩 国 5 9 . 1 4 . 2 0 . 1 0 9 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 6   2 1 : 3 8 : 3 1 韩 国 4 9 . 1 4 2 . 2 1 3 . 1 6 8 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 6   1 5 : 3 4 : 5 6 韩 国 1 2 0 . 5 0 . 1 3 4 . 8 5 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 6   1 5 : 3 2 : 0 9 韩 国 1 4 . 4 6 . 1 0 9 . 3 0 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 6   1 4 : 5 9 : 1 3 韩 国 2 2 2 . 1 2 2 . 4 8 . 4 9 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 6   0 1 : 0 5 : 3 0 韩 国 1 7 5 . 2 1 2 . 3 5 . 1 1 0 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 0   1 9 : 2 2 : 4 0 韩 国 1 2 5 . 1 8 0 . 1 9 0 . 3 1 s y n   f l o o d 韩 国 2 0 1 7 - 0 8 - 2 2   2 0 : 5 1 : 5 7 韩 国 攻 击 目 标 攻 击 目 标 攻 击 类 型 攻 击 类 型 攻 击 目 标 地 域 攻 击 目 标 地 域 攻 击 开 始 时 间 攻 击 开 始 时 间 攻 击 者 地 域 攻 击 者 地 域 备 注 备 注 表 5 - 1 攻 击 情 报 近 日 ， 有 媒 体 再 次 炒 作 因 为 某 问 题 ， 韩 国 多 个 政 府 部 门 遭 到 来 自 中 国 的 D D o S 攻 击 。 对 此 不 禁 要 问 ： 通 过 攻 击 流 量 的 来 源 就 可 以 鉴 定 真 正 的 攻 击 幕 后 了 吗 ？ D D o S   攻 击 中 “ 肉 鸡 ” 也 是 其 中 的 受 害 者 ， 要 鉴 定 真 正 的 D D o S 攻 击 幕 后 不 是 依 据 攻 击 流 量 的 来 源 ， 而 是 依 据 控 制 整 个 b o t n e t 的 C 2 的 操 纵 者 。 根 据 监 控 到 的 攻 击 威 胁 情 报 显 示 ， 自 2 0 1 7 年 1 月 1 日 至 2 0 1 7 年 9 月 1 2 日 ， （ 监 控 到 的 ） 全 球 共 发 生 1 2 5 , 6 0 4 , 6 8 5   次 间 歇 性 D D o S 攻 击 （ 见 图   6 - 2 全 球 D D o S 攻 击 威 胁 情 报 ） ， 攻 击 目 标 是 韩 国 的 有 1 0 2 , 7 3 0   次 ， 仅 占 据 总 攻 击 次 数 的 0 . 0 8 1 7 8 % ， 而 发 起 间 歇 性 D D o S 攻 击 韩 国 的 C 2 主 要 来 自 于 美 国 的 约 6 0 % ， 其 次 是 韩 国 本 身 约 3 0 + % ， 而 来 自 中 国 和 日 本 的 仅 占 1 0 % 不 到 ； C 2 位 于 韩 国 发 起 的 间 歇 性 D D o S 攻 击 有 3 , 3 9 0 , 3 2 1   次 ， 占 据 总 攻 击 次 数 的 2 . 6 7 0 % ； C 2 位 于 韩 国 发 起 的 间 歇 性 D D o S 攻 击 是 攻 击 目 标 位 于 韩 国 的 3 3 倍 ； C 2 位 于 韩 国 向 中 国 境 内 发 起 的 间 歇 性 D D o S 攻 击 是 3 , 1 0 0 , 2 3 9   次 ， 占 据 C 2 位 于 韩 国 发 起 的 间 歇 性 D D o S 攻 击 的 9 4 . 1 4 % ， 很 直 白 的 说 明 C 2 位 于 韩 国 的 b o t n e t 主 要 攻 击 对 象 是 中 国 境 内 目 标 ； C 2 位 于 中 国 向 韩 国 地 域 发 起 的 间 歇 性 D D o S 攻 击 是 3 7 , 0 1 5 次 ， 仅 占 据 C 2 位 于 中 国 发 起 攻 击 量 的 0 . 0 7 6 3 8 %   （ 3 7 , 0 1 5 / 4 8 , 4 6 1 , 4 0 8 ） 。 所 以 ， 这 个 锅 ， 中 国 黑 客 到 底 背 不 背 呢 ？ Y o u k n o w n ！ I   k n o w n ！ 图   6 - 2   全 球 D D o S 攻 击 威 胁 情 报 7 .   总 结 总 结 无 论 何 情 何 理 ， 未 经 授 权 肆 意 发 起 D D o S 攻 击 都 是 不 可 取 ， 通 过 D D o S 攻 击 手 段 进 行 敲 诈 勒 索 更 是 违 法 行 为 ！ 近 些 年 来 ， 大 影 响 D D o S 攻 击 事 件 越 发 频 发 ， 攻 击 流 量 也 逐 次 刷 新 历 史 新 高 。 D D o S   b o t n e t 的 “ 肉 鸡 ” 从 单 一 的 W i n d o w s 环 境 延 伸 到 L i n u x 环 境 ， 现 在 也 拓 展 到 了 I o T 产 业 ； D D o S   b o t n e t 的 控 制 端 同 样 也 从 只 兼 容 单 一 环 境 类 型 的 “ 肉 鸡 ” 到 完 善 兼 容 多 环 境 类 型 的 “ 肉 鸡 ” ； D D o S   b o t n e t 的 拓 展 也 实 现 漏 洞 自 动 化 利 用 进 行 “ 抓 鸡 ” ， 达 到 了 快 速 部 署 b o t n e t 并 成 型 的 效 果 。 这 些 情 况 也 都 说 明 如 今 的 大 部 分 b o t n e t 所 掌 控 的 “ 肉 鸡 ” 量 已 经 远 远 不 止 几 千 或 上 万 台 ， 每 个 b o t n e t 拥 有 的 攻 击 能 力 都 远 远 超 于 常 人 的 想 象 ， 更 何 况 根 据 监 控 到 的 情 报 显 示 ， 每 次 大 型 的 D D o S 攻 击 事 件 都 是 以 组 合 “ 打 怪 ” 模 式 进 行 多 个 b o t n e t 组 合 攻 击 。 从 多 维 度 分 析 表 明 ， D D o S   攻 击 虽 然 是 无 害 攻 击 ， 但 也 严 重 威 胁 了 互 联 网 的 正 常 发 展 ， 对 抗 互 联 网 的 D D o S 攻 击 ， 为 互 联 网 安 全 发 展 保 驾 护 航 的 使 命 仍 然 任 重 而 道 远 ！ 在 此 ， 也 提 醒 广 大 互 联 网 用 户 安 全 、 健 康 上 网 ， 文 明 使 用 网 络 ， 安 装 杀 毒 、 防 毒 软 件 并 及 时 修 补 设 备 漏 洞 ！
附 录 ： 参 考 资 料 附 录 ： 参 考 资 料 参 考 链 接 ： h t t p : / / m . b o b a o . 3 6 0 . c n / l e a r n i n g / a p p d e t a i l / 4 3 1 8 . h t m l M D 5 : a 4 8 4 7 8 d d 5 5 d 8 b 0 9 9 4 0 9 b b 8 2 9 f b 2 b 2 8 2 f * 本 文 作 者 ： 放 牛 娃 ， 转 载 请 注 明 来 自 本 文 作 者 ： 放 牛 娃 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理