搜索

[11830] 2017-09-27_“IOT幽灵”样本分析报告：物联网僵尸网络的监测与分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-09-27_“IOT幽灵”样本分析报告：物联网僵尸网络的监测与分析 “ I O T 幽 灵 ” 样 本 分 析 报 告 ： 物 联 网 僵 尸 网 络 的 监 测 与 分 析 水 滴 安 全 实 验 室   F r e e B u f   2 0 1 7 - 0 9 - 2 7 背 景 背 景 近 年 来 ， 国 家 高 度 重 视 物 联 网 的 发 展 ， 物 联 网 已 经 上 升 为 国 家 战 略 产 业 。 随 着 物 联 网 的 普 及 ， 规 模 的 扩 大 ， 安 近 年 来 ， 国 家 高 度 重 视 物 联 网 的 发 展 ， 物 联 网 已 经 上 升 为 国 家 战 略 产 业 。 随 着 物 联 网 的 普 及 ， 规 模 的 扩 大 ， 安 全 问 题 也 必 然 随 之 而 来 。 全 问 题 也 必 然 随 之 而 来 。 1 6 年 1 0 月 ， M i r a i 利 用 物 联 网 设 备 发 动 一 起 规 模 庞 大 的 D D o S 攻 击 ， 引 起 了 人 们 对 物 联 网 安 全 问 题 的 重 视 。 近 日 ， 蜜 罐 系 统 捕 获 到 与 M i r a i 具 有 相 同 特 点 的 攻 击 样 本 ( B a c k d o o r . L i n u x . G a f g y t ， 下 面 简 称 “ G a f g y t ” ) 。 G a f g y t 于   2 0 1 4 年   8   月 第 一 次 被 发 现 ， 2 0 1 4   年 末 L i z a r d S q u a r d   (   黑 客 组 织   )   利 用 该 样 本 发 起 一 起 D D o S 引 起 安 全 界 的 小 范 围 关 注 。 2 0 1 5   年   1   月   G a f g y t   的 源 代 码 被 公 开 ， 出 现 越 来 越 多 的 变 种 ， 安 全 威 胁 日 趋 严 重 。 蜜 罐 告 警 蜜 罐 告 警 7 月 1 3 日 ， 蜜 罐 系 统 监 测 到 大 量 的 t e l n e t 爆 破 事 件 截 止 7 月 3 0 号 ， 两 周 共 捕 获 到 G a f g y t 新 变 种 样 本 2 8 个
我 们 统 计 了 蜜 罐 最 近 一 周 t e l n e t 端 口 受 到 的 攻 击 次 数 攻 击 来 源 攻 击 来 源 攻 击 次 数 攻 击 次 数 百 分 比 百 分 比 I P 归 属 地 归 属 地 1 8 0 . 1 6 3 . 1 9 2 . 2 1 1 2 2 2 5 3 0 2 1 . 7 6 % 上 海 市 8 4 . 2 4 4 . 3 1 . 8 7 6 5 7 3 7 . 4 8 % 俄 罗 斯 8 5 . 1 5 4 . 1 1 1 . 6 7 6 9 9 4 3 6 . 8 4 % 阿 曼 1 2 2 . 5 4 . 1 6 9 . 1 2 2 6 1 1 6 1 6 . 1 0 % 菲 律 宾 7 1 . 2 2 7 . 1 4 6 . 1 5 8 4 6 2 0 5 4 . 5 2 % 美 国 1 9 5 . 2 2 . 1 2 6 . 1 6 6 2 5 5 6 7 2 . 5 0 % 波 兰 9 3 . 8 7 . 1 6 8 . 2 0 6 1 5 3 1 6 1 . 5 0 % 塞 尔 维 亚 6 1 . 4 8 . 4 0 . 2 6 1 5 0 2 7 1 . 4 7 % 北 京 市 1 5 1 . 6 5 . 1 6 3 . 6 8 1 2 6 9 1 1 . 2 4 % 意 大 利 1 7 8 . 1 3 2 . 2 . 1 1 4 1 1 1 5 4 1 . 1 0 % 俄 罗 斯 行 为 分 析 行 为 分 析 G a f g y t 逐 渐 演 变 成 一 个 庞 大 的 家 族 ， 样 本 支 持 X 8 6 - 6 4 / A R M / M I P S / P o w e r P C / M o t o r o l a 6 8 0 0 0 / S P A R C / S u p e r H 等 多 个 不 同 平 台 ， 每 个 样 本 的 上 线 （ 主 控 ） I P 也 各 不 相 同 。 M D 5 运 行 平 台 运 行 平 台 主 控 主 控 I P 5 2 1 f d 3 a 6 4 c 9 d 5 0 f b 5 c f 8 8 c 3 0 6 5 7 2 e f 2 4 A R M 1 8 5 . . . 2 5 : 4 4 4 5 d 8 c 1 8 8 4 e 2 9 e a 1 c f a 8 1 b f 5 9 0 7 9 7 0 2 d 7 5 X 8 6 1 8 5 . . . 1 1 7 : 2 3 2 d 7 6 4 a 2 6 d 6 b c b c a b f 1 d 8 7 c 9 4 c a 4 3 d 6 c f A R M 1 0 4 . . . 1 5 0 : 4 4 4 我 们 重 点 分 析 了 X 8 6 平 台 的 变 种 （ 其 它 平 台 变 种 程 序 逻 辑 相 同 ） ， 首 先 看 一 下 程 序 运 行 逻 辑 ：
样 本 运 行 后 ， 首 先 将 自 身 进 程 改 名 ， 伪 装 成 / u s r / s b i n / d r o p b e a r （ 类 似 S S H 服 务 ） ， 这 是 L i n u x 下 木 马 惯 用 伎 俩 ， 目 的 是 让 T O P 或 P S 命 令 所 看 到 的 进 程 路 径 和 样 本 实 际 路 径 不 同 ， 运 维 人 员 可 能 较 容 易 发 现 可 疑 进 程 ， 但 找 到 样 本   实 际 路 径 需 要 费 点 功 夫 ， 增 加 了 手 工 查 杀 的 难 度 。 然 后 和 主 控 端 建 立 连 接 ， 连 接 后 发 送 上 线 信 息 。 并 创 建 端 口 监 听 ， 接 收 并 处 理 主 控 端 发 送 的 指 令 。 样 本 包 含 1 5 条 通 信 指 令 指 令 指 令 含 义 含 义 P I N G 心 跳 包 ， 响 应 回 复 “ P O N G ” G E T L O C A L I P 获 取 本 地 i p S C A N N E R 开 始 扫 描 H O L D 和 指 定 i p 保 持 连 接 J U N K 发 送 垃 圾 数 据 U D P U D P 攻 击 T C P T C P 攻 击 H T T P H T T P 攻 击 C N C 同 指 定 i p 建 立 连 接 C O M B O 调 用 J U N K / H O L D 两 处 函 数 K I L L A T T K 结 束 所 有 任 务 F A T C O C K 删 除 一 些 文 件 G T F O F A G 结 束 自 身 进 程
D U P P P 结 束 自 身 进 程 S H 执 行 命 令 指 令 指 令 含 义 含 义 下 图 是 P I N G 、 S H 两 条 指 令 的 代 码 截 图 ： 比 较 特 殊 的 是 S C A N N E R 指 令 ， 当 一 个 B o t 端 接 收 到 这 个 指 令 时 ， 将 启 动 一 个 子 进 程 （ 以 f o r k 方 式 ） ， 该 子 进 程 在 与 主 控 端 失 联 的 情 况 下 ， 依 然 对 公 网 随 机 I P 的 2 3 端 口 进 行 扫 描 爆 破 ， 除 非 接 收 到 K I L L A T T K / G T F O F A G /   D U P P P 指 令 。 接 下 来 让 我 们 一 起 看 看 扫 描 爆 破 的 流 程 是 怎 样 的 ， 一 提 到 扫 描 爆 破 ， 很 多 人 会 想 到 高 效 的 扫 描 工 具 + 强 大 的 密 码 字 典 ， 是 黑 客 必 备 工 具 。 但 该 样 本 的 密 码 字 典 却 出 奇 的 简 单 （ 2 8 个 常 见 用 户 名 、 密 码 ） ， 如 下 图 ： 看 到 上 图 ， 你 可 能 立 即 想 问 ： 这 么 简 单 的 字 典 能 爆 破 什 么 东 东 啊 ？
在 分 析 样 本 时 我 们 也 有 相 同 的 疑 问 ， 按 照 以 往 的 经 验 ， 黑 客 用 来 爆 破 S S H / T e l n e t 的 字 典 数 量 一 般 在 几 百 到 2 0 0 0 左 右 ， 这 个 样 本 采 用 少 量 的 密 码 字 典 ， 推 测 一 是 跟 大 范 围 的 扫 描 公 网 I P ， 字 典 少 扫 描 效 率 相 对 较 高 ； 二 是 和 病 毒 作 者 想 攻 击 的 目 标 有 关 — — I o T 设 备 ， 互 联 网 上 存 在 大 量 的 I O T 设 备 （ 开 启 T e l n e t   2 3 端 口 ） 使 用 默 认 或 简 单 的 密 码 ， 说 明 这 些 设 备 的 使 用 者 安 全 意 识 比 较 薄 弱 ， 拿 下 这 些 设 备 反 而 能 作 为 长 期 “ 肉 鸡 ” 来 使 用 。 以 上 只 是 我 们 的 推 测 ， 欢 迎 各 位 大 神 拍 砖 ， 交 流 下 不 同 的 看 法 。 扫 描 开 始 之 前 会 通 过 调 用 g e t r l i m i t 函 数 计 算 一 下 最 大 能 同 时 打 开 的 文 件 数 ， 并 将 该 值 的 四 分 之 三 作 为 同 时 扫 描 的 最 大 i p 数 ， 防 止 并 发 连 接 数 过 多 ， 影 响 被 感 染 设 备 正 常 运 转 ， 避 免 被 用 户 察 觉 。 并 且 会 建 立 一 个 结 构 体 数 组 ， 数 组 元 素 如 下 图 所 示 : 每 个 元 素 里 面 记 录 了 扫 描 目 标 和 扫 描 中 的 一 些 状 态 。 对 于 每 个 i p ， 从 开 始 扫 描 到 成 功 最 多 经 历 9 个 状 态 变 化 。 对 每 个 状 态 作 不 同 的 处 理 ： c a s e   0 ： 生 成 公 网 ： 生 成 公 网 i p   尝 试 连 接 尝 试 连 接
如 果 成 功 连 接 会 将 该 i p 的 状 态 设 置 为 1 ； 如 果 失 败 ， 则 将 更 换 i p 标 志 置 1 ， 下 一 轮 循 环 的 时 候 ， 重 新 生 成 目 标 i p 。 c a s e   1 ： 设 置 ： 设 置 s o c k e t 状 态 状 态 检 查 s o c k e t 是 否 可 写 ， 并 设 置 一 些 扫 描 过 程 中 需 要 的 标 志 。 c a s e   2 ： 是 否 需 要 输 入 账 号 ： 是 否 需 要 输 入 账 号 检 查 是 否 需 要 输 入 账 号 密 码 ， 如 果 不 需 要 则 下 一 轮 循 环 直 接 跳 到 状 态 7 ， 开 启 s h e l l 。 c a s e   3 ： 发 送 爆 破 账 号 ： 发 送 爆 破 账 号
成 功 则 进 入 状 态 4 ； 否 则 跳 回 状 态 0 。 c a s e   4 ： 判 断 是 否 需 要 密 码 ： 判 断 是 否 需 要 密 码   判 断 账 号 是 否 正 确 判 断 账 号 是 否 正 确 判 断 目 标 的 t e l n e t 是 否 需 要 输 入 密 码 ， 如 果 需 要 ， 则 进 入 状 态 5 ； 如 果 不 需 要 输 入 密 码 ， 则 直 接 跳 到 状 态 7 ， 开 启 s h e l l ； 出 错 则 跳 回 状 态 0 。 c a s e   5 ： 输 入 密 码 ： 输 入 密 码 成 功 则 进 入 状 态 6 ； 否 则 跳 回 状 态 0 c a s e   6 ： 判 断 密 码 是 否 正 确 ： 判 断 密 码 是 否 正 确
判 断 密 码 是 否 正 确 ， 如 果 不 正 确 的 话 ， 换 下 一 个 密 码 ， 继 续 尝 试 连 接 。 密 码 正 确 则 进 入 状 态 7 。 c a s e   7 ： 开 启 ： 开 启 s h e l l c a s e   8 ： 发 送 下 载 的 指 令 ： 发 送 下 载 的 指 令   上 传 账 号 密 码 上 传 账 号 密 码 开 启 s h e l l 后 ， 向 目 标 主 机 发 送 下 载 指 令 ， 同 时 向 主 控 端 发 送 ， 发 送 下 载 指 令 时 间 间 隔 小 于 8 秒 ， 程 序 认 为 指 令 发 送 成 功 ， 并 认 为 本 次 账 号 + 密 码 + I P 爆 破 成 功 ， 并 且 打 开 了 s h e l l 。 向 目 标 机 发 送 下 载 的 指 令 。 这 样 ， 目 标 也 被 感 染 木 马 。 流 量 截 图 程 序 会 将 成 功 爆 破 的 主 机 信 息 （ I P + U s e r n a m e + P a s s w o r d ） 发 送 到 主 控 端 。
后 续 后 续 物 联 网 （ I O T ） 已 经 走 入 我 们 的 生 活 ， 相 信 不 久 的 将 来 ， 我 们 会 越 来 越 依 赖 物 联 网 的 普 及 所 带 来 的 方 便 与 快 捷 ， 而 黑 客 也 把 物 联 网 作 为 新 的 攻 击 目 标 ， 攻 击 规 模 会 日 益 扩 大 。 所 以 ， 物 联 网 安 全 值 得 我 们 每 一 个 人 去 关 注 。 * 本 文 原 创 作 者 ： 水 滴 安 全 实 验 室 ， 属 于 本 文 原 创 作 者 ： 水 滴 安 全 实 验 室 ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 。 原 创 奖 励 计 划 ， 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理