搜索

[4977] 2018-03-30_GoScanSSH特意绕开政府和军用服务器，背后有无更大阴谋？

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-03-30_GoScanSSH特意绕开政府和军用服务器，背后有无更大阴谋？ G o S c a n S S H 特 意 绕 开 政 府 和 军 用 服 务 器 ， 背 后 有 无 更 大 阴 谋 ？ 原 创   E 安 全   E 安 全   2 0 1 8 - 0 3 - 3 0 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 3 月 3 0 日 讯   安 全 专 家 最 近 发 现 一 种 新 型 恶 意 软 件   G o S c a n S S H ， 其 专 门 针 对 易 受 攻 击 的   L i n u x   类 系 统 ， 且 尽 可 能 避 免 感 染 政 府 与 军 事 网 络 上 的 设 备 。 G o S c a n S S H   以   G o 语 言 编 写 而 成 ， 利 用 受 感 染 主 机 扫 描 新 的 主 机 利 用 受 感 染 主 机 扫 描 新 的 主 机 ， 并 利 用   S S H   端 口 作 为 其 切 入 点 ， 整 个 感 染 流 程 相 对 比 较 复 杂 ， 但   G o S c a n S S H   似 乎 并 非 用 于 构 建 物 联 网 （ I o T ） 僵 尸 网 络 。 G o S c a n S S H 攻 击 过 程 攻 击 过 程 G o S c a n S S H   看 似 是 由 某 先 进 威 胁 攻 击 者 所 创 建 ， 旨 在 立 足 内 部 网 络 寻 找 立 足 点 ， 但 同 时 非 常 谨 慎 地 避 免 感 染 政 府 、 军 非 常 谨 慎 地 避 免 感 染 政 府 、 军 事 、 部 队 或 者 执 法 机 构 事 、 部 队 或 者 执 法 机 构 等 等 网 络 网 络 ， 这 也 许 是 为 了 降 低 其 受 到 相 关 审 查 、 甚 至 是 执 法 性 审 查 的 可 能 性 。 典 型   G o S c a n S S H   感 染 过 程 如 下 所 述 ： 1 、 已 感 染 设 备 选 择 一 个 随 机   I P 。 2 、 G o S c a n S S H   检 查 该 选 定   I P   是 否 处 于 其 两 份   I P   黑 名 单 之 内 （ 其 一 为 具 有 特 殊 用 途 的 地 址 ， 其 二 为 各 政 府 及 军 事 机 构 所 控 制 的 I P 范 围 ） 。 3 、 G o S c a n S S H 会 在 端 口 2 2 上 扫 描 该   I P ， 查 找 开 放   S S H   端 口 。 4 、 如 果 该   I P   开 放   S S H   端 口 ， G o S c a n S S H   就 运 行 反 向   D N S   查 找 以 查 看 该   I P   是 否 托 管 任 意 网 络 / 域 名 。
5 、 如 果 该   I P   托 管 有 网 站 ， 则   G o S c a n S S H   根 据 第 二 份 黑 名 单 对 该 域 名 进 行 查 找 。 6 、 第 二 项 扫 描 负 责 检 查 目 标 域 名 是 否 包 含 以 下   T L D ： . m i l 、 . g o v 、 . a r m y 、 . a i r f o r c e 、 . n a v y 、 . g o v . u k 、 . m i l . u k 、 . g o v t . u k 、 . m o d . u k 、 . g o v . a u 、 . g o v t . n z 、 m i l . n z 、 . p a r l i a m e n t . n z 、 . g o v . i l 、 . m u n i . i l 、 . i d f . i l 、 . g o v . z a 、 . m i l . z a 、 . g o b . e s 、 . p l i c e . u k 。 7 、 如 果 该   I P   托 管 有 任 何 政 府 、 军 方 或 者 执 行 机 构 域 名 ， G o S c a n S S H 则 转 向 新 的   I P   地 址 。 8 、 如 果 经 扫 描 确 认 ， 目 标   I P   不 存 在 于 两 份 黑 名 单 当 中 ， 则 该 恶 意 软 件 启 动 词 典 暴 力 攻 击 以 猜 测   S S H   凭 证 。 9 、 该 恶 意 软 件 使 用 一 份 包 含 超 过 7 0 0 0 条 用 户 - 密 码 组 合 的 列 表 。 大 部 分 组 合 专 门 针 对   L i n u x   类 设 备 ， 但 也 有 部 分 组 合 属 于 常 见 的 用 户 - 密 码 组 合 。 1 0 、 当   G o S c a n S S h   发 现 远 程 设 备 的   S S H   凭 证 后 ， 其 会 将 信 息 回 报 给 位 于 暗 网 中 的   命 令 与 控 制 “ C & C ” 服 务 器 （ 通 信 通 过 T o r 2 W e b 代 理 实 现 ） 。 1 1 、 欺 诈 分 子 而 后 会 整 理 出 一 份   G o S c a n S S H   恶 意 软 件 的 特 殊 二 进 制 版 本 。 他 们 随 后 手 动 登 录 至 新 设 备 并 向 其 中 安 装 新 的 G o S c a n S S H   恶 意 软 件 。 该 恶 意 软 件 会 运 行 一 系 列 哈 希 计 算 ， 用 以 确 定 目 标 设 备 的 硬 件 功 能 并 将 结 果 回 报 给   C & C   服 务 器 。 1 2 、 G o S c a n S S h 开 始 对 其 它 潜 在 感 染 目 标 进 行 扫 描 。 思 科 T a l o s 的 研 究 人 员 们 表 示 ， 他 们 目 前 已 经 发 现 了 超 过 7 0 种 种 独 特 的   G o S c a n S S H   恶 意 软 件 样 本 ， 且 其 中 相 当 一 部 分 拥 有 不 同 的 版 本 号 （ 1 . 2 . 2 、 1 . 2 . 4 、 1 . 3 . 0 等 ） ， 这 意 味 着 该 恶 意 软 件 的 作 者 仍 在 不 断 为 其 开 发 新 的 变 种 。 G o S c a n S S H 看 似 为 采 矿 恶 意 软 件 看 似 为 采 矿 恶 意 软 件 有 研 究 人 员 通 过   G o S c a n S S h   在 受 感 染 设 备 上 运 行 哈 希 计 算 的 表 现 推 测 出 ， 攻 击 者 可 能 打 算 在 受 感 染 设 备 上 安 装 加 密 货 币 采 矿 器 。 但 截 至 目 前 ， 研 究 人 员 们 还 没 有 发 现 任 何 实 际 证 据 能 够 支 持 这 一 猜 测 。 而 且 考 虑 到 该 恶 意 软 件 在 暴 力 攻 击 期 间 会 使 用 默 认 的 用 户 - 密 码 组 合 列 表 ， 因 此 上 述 理 论 可 能 并 不 可 行 。 思 科 公 司 安 全 人 员 表 示 ， 这 些 凭 证 显 然 归 属 于 I o T 设 备 ， 而 这 些 设 备 并 不 具 备 能 够 处 理 加 密 货 币 采 矿 运 算 的 必 要 硬 件 资 源 。 举 例 来 说 ， 在 暴 力 攻 击 期 间 ， G o S c a n S S H   会 利 用 与   O p e n   E m b e d d e d   L i n u x   娱 乐 中 心 （ 简 称   O p e n E L E C ） 系 统 、 R a s p b e r r y   P i   单 片 机 、 开 源 媒 体 中 心 （ 简 称 O S M C ） 设 备 、 U b i q u i t i   路 由 器 、 P o l y C o m   S I P   手 机 、 华 为 设 备 以 及   A s t e r i s k   服 务 器 等 相 关 的 默 认 凭 证 。 只 感 染 少 量 设 备 只 感 染 少 量 设 备 目 前 尚 不 清 楚   G o S c a n S S H   的 部 署 者 到 底 打 算 利 用 其 实 现 怎 样 的 目 的 。 但 通 过 其 在 各 台 受 感 染 主 机 上 手 动 部 署 恶 意 软 件 ， 同 时 刻 意 回 避 政 府 与 军 事 网 络 的 作 法 ， 可 以 想 见 攻 击 者 似 乎 是 打 算 闯 入 规 模 更 大 的 网 络 并 实 施 更 为 猛 烈 的 入 侵 活 动 。 这 种 保 持 低 调 的 策 略 也 确 实 获 得 了 相 当 显 著 的 效 果 。 尽 管 自 2 0 1 7 年 6 月 以 来 即 保 持 活 跃 ， 部 署 部 署 7 0 个 不 同 版 本 且 采 用 超 个 不 同 版 本 且 采 用 超 过 过 2 5 0 台 台 不 同 的 不 同 的   C & C   服 务 器 服 务 器 ， 奇 怪 的 是 研 究 人 员 很 少 发 现 与   G o S c a n S S H   相 关 的 受 感 染 肉 鸡 设 备 。
最 终 ， 研 究 人 员 们 利 用 与 各   C & C   服 务 器 相 关 的 域 名 被 动   D N S   数 据 发 现 了 其 中 的 联 系 。 研 究 人 员 发 现 ， C & C   服 务 器 请 求 数 量 很 少 ， 这 表 明   G o S c a n S S H   实 际 只 是 一 套 规 模 很 小 的 僵 尸 网 络 。 根 据 思 科 公 司 整 理 的 被 动   D N S   数 据 ， D N S   解 析 请 求 数 量 最 高 的   C & C   域 名 也 仅 进 行 过 8 5 7 9 次 解 析 操 作 ， 这 样 的 规 模 要 远 低 于 大 部 分 物 联 网 僵 尸 网 络 。 事 实 上 ， 如 果 不 同 其 活 跃 度 在 过 去 十 年 内 陡 增 十 倍 ， 研 究 人 员 们 可 能 依 然 无 法 揭 开 G o S c a n S S H 的 神 秘 面 纱 。   注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 6 0 3 1 3 5 8 4 0 . s h t m l 推 荐 阅 读 ： “ D o u b l e D o o r ” 僵 尸 网 络 首 次 同 时 链 接 两 个 漏 洞 绕 过 防 火 墙 攻 击 4 0 0 万 手 机 被 僵 尸 网 络 D r e s s C o d e 感 染 ， 谷 歌 下 架 数 百 个 A P P 1 0 亿 I o T 设 备 或 被 僵 尸 网 络 M i r a i O k i r u 盯 上 恶 意 软 件 + 在 线 沙 箱 服 务 + 云 = 数 据 渗 漏 B l a c k T D S ： 新 型 恶 意 软 件 流 量 分 配 系 统 A n y . R u n ： 免 费 的 交 互 式 恶 意 软 件 分 析 工 具 新 型 旁 路 攻 击 B r a n c h S c o p e ： 可 恢 复 C P U 数 据 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理