搜索

[11819] 2017-09-24_僵尸网络Jenki家族IoT变种分析预警

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-09-24_僵尸网络Jenki家族IoT变种分析预警 僵 尸 网 络 J e n k i 家 族 I o T 变 种 分 析 预 警 放 牛 娃   F r e e B u f   2 0 1 7 - 0 9 - 2 4 一 、 一 、   简 介 简 介 2 0 1 7 年 年 7 月 月 2 6 日 ， 安 天 通 过 日 ， 安 天 通 过   威 胁 情 报 自 动 化 监 控 系 统 捕 获 新 僵 尸 网 络 家 族 威 胁 情 报 自 动 化 监 控 系 统 捕 获 新 僵 尸 网 络 家 族 T r o j a n [ D D o S ] / L i n u x . J e n k i . A ( 以 下 简 以 下 简 称 ： 称 ： J e n k i ) ， 并 于 ， 并 于   8 月 月 4 日 在 安 全 客 外 发 表 《 一 款 国 产 日 在 安 全 客 外 发 表 《 一 款 国 产   L i n u x   D D o S 僵 尸 网 络 家 族 僵 尸 网 络 家 族 J e n k i 分 析 》 文 章 分 析 》 文 章 [ 1 ]   。 经 过 分 。 经 过 分 析 ， 析 ， J e n k i 包 含 包 含 t c p   f l o o d   、 、 u d p   f l o o d 、 、 a t k   f l o o d 、 、 c c   f l o o d   、 、 h t t p   f l o o d 、 、 d n s   f l o o d 等 等   6   种 种 D D o S 攻 击 类 型 ， 从 攻 击 类 型 ， 从 D D o S 攻 击 类 型 来 说 已 经 是 比 较 全 面 。 攻 击 类 型 来 说 已 经 是 比 较 全 面 。 然 而 仅 仅 过 去 一 个 半 月 时 间 ， 近 期 ， 威 胁 情 报 自 动 化 监 控   系 统 再 次 捕 获 到 J e n k i 的 新 家 族 变 种 实 现 从 l i n u x   x 8 6 领 域 拓 展 到 I o T   和 W i n d o w s 领 域 ， 使 该 僵 尸 网 络 快 速 覆 盖 多 种 平 台 操 作 系 统 ， 因 此 猜 测 其 幕 后 应 该 有 一 个 长 期 从 事 黑 产 工 具 开 发 的 技 术 团 队 支 撑 。 目 前 ， J e n k i   b o t n e t 的 被 控 端 木 马 已 经 在 W i n d o w s 、 I o T 、 L i n u x 三 大 领 域 上 迅 速 扩 散 ， 已 知 感 染 方 式 主 要 是 通 过 其 他 家 族 的 b o t n e t 进 行 交 叉 感 染 ， 一 旦 设 备 被 感 染 并 执 行 D D o S 攻 击 ， 将 会 轻 易 瘫 痪 一 个 中 、 大 型 公 司 的 网 络 。 二 、 二 、   详 细 分 析 详 细 分 析 2 . 1   样 本 基 本 信 息 样 本 基 本 信 息 表 表   2 木 马 样 本 基 本 信 息 木 马 样 本 基 本 信 息 病 毒 名 称 病 毒 名 称 T r o j a n [ D D o S ] / L i n u x . J e n k i . B 样 本 M D 5 c 1 a c 3 1 e d 2 f 1 4 d 1 a f e 4 d c 9 a 5 1 1 7 b 8 4 4 a 4 样 本 大 小 7 3 5 K B 样 本 格 式 E L F 2 . 2   传 播 方 式 分 析 传 播 方 式 分 析 J e n k i 家 族 第 一 次 被 安 天 威 胁 情 报 自 动 化 监 控 系 统 ， 是 黑 客 通 过 利 用 B i l l g a t e s   b o t n e t   进 行 交 叉 感 染 部 署 J e n k i   b o t n e t 时 被 安 天 威 胁 情 报 自 动 化 监 控 系 统 捕 获 ； 而 此 次 是 通 过 N i t o l . A   b o t n e t   进 行 交 叉 感 染 J e n k i   b o t n e t 的 W i n d o w s   环 境 的 被 控 端 木 马 时 捕 获 ， 见 图   1   捕 获 病 毒 交 叉 感 染 指 令 。 图 图   1   捕 获 病 毒 交 叉 感 染 指 令 然 而 ， 在 安 天 威 胁 情 报 自 动 化 监 控 系 统 将 对 应 的 样 本 捕 获 回 来 发 现 ， 里 面 除 了 J e n k i   b o t n e t   的 被 控 端 木 马 ， 同 样 还 存 在 B i l l g a t e s   b o t n e t 的 被 控 端 木 马 （ 见 图   2     h f s 放 马 站 点 ） ， 也 充 分 表 明 该 幕 后 黑 客 组 织 同 时 操 控 多 个 D D O S   b o t n e t 。 而 且 初 步 判 断 幕 后 黑 客 组 织 很 有 可 能 是 想 通 过 新 型   J e n k i   b o t n e t 具 备 的 免 杀 效 果 替 代 之 前 的 老 旧 且 不 安 全 的 B i l l g a t e s b o t n e t ， 以 提 高 自 身 的 安 全 性 和 隐 秘 性 。
图 图   2   h f s   放 马 站 点 放 马 站 点 2 . 3   木 马 样 本 详 细 分 析 木 马 样 本 详 细 分 析 目 前 捕 获 的 J e n k i 被 控 端 木 马 表 明 ， J e n k i   b o t n e t 已 经 在 不 到 两 个 月 的 时 间 内 将 被 控 端 木 马 快 速 拓 展   W i n d o w s 和 I o T 领 域 ， 被 控 端 的 主 要 远 程 指 令 类 型 还 是 D D o S 攻 击 ， 相 较 于 常 见 的   D D o S   b o t n e t   家 族 仍 缺 少 U p d a t e   F i l e s 、 R e m o t e   S h e l l （ 或 许 后 期 会 逐 渐 完 善 ） ， 而   D D o S 攻 击 主 要 包 含 t c p   f l o o d 、 u d p   f l o o d 、   a t k   f l o o d 、 c c   f l o o d 、 h t t p   f l o o d 、   d n s   f l o o d   6 种 攻 击 类 型 ， 从 目 前 的 攻 击 情 报 数 据 看 ， 攻 击 者 主 要 倾 向 于 是 用 d n s   f l o o d 攻 击 为 主 。 调 用 解 密 函 数 。 将 硬 编 码 在 木 马 全 局 变 量 的 C 2 密 文 ” k i , d h l f m m v - a o ” 进 行 解 密 。 其 使 用 的 加 密 算 法 相 对 简 单 ， 仅 是 使 用 凯 撒 位 移 加 密 （ 见   图   3   C 2 解 密 算 法 ） 。 且 通 过 原 始 的 函 数 名 称 ” j i e m i h t t p ”   ， 初 步 该 家 族 应 该 属 于 ” 国 产 ” D D o S b o t n e t 。 图 图   3   C 2 解 密 算 法 在 J e n k i . A 版 本 的 配 置 解 密 算 法 中 ， 仅 是 对 C 2 的 I P / D o m a i n 进 行 加 密 ， 并 没 有 对 P o r t 进 行 加 密 ； 在 J e n k i . B 版 本 中 ， P o r t 需 要 使 用 不 同 算 法 进 行 解 密 。
图 图   4   P o r t 解 密 算 法 读 取 f o p e n ( “ / p r o c / c p u i n f o ” ,   “ r ” ) 获 取 系 统 C P U 配 置 信 息 。 通 过 读 取 p o p e n ( “ u n a m e   - a ” ,   “ r ” ) 获 取 系 统 版 本 信 息 （ 图   5 系 统 配 置 信 息   ） 。 图 图   5   系 统 配 置 信 息 上 线 接 收 指 令 新 创 建 2 个 线 程 ， 第 1 个 用 于 向 C 2   发 送 首 包 及 心 跳 包 信 息 ， 第 二 个 用 于 接 收 C 2 的 各 种 远 程 指 令 新 线 程 1 ： 主 要 是 实 现 获 取 C P U 配 置 信 息 和 C P U   使 用 率 还 有 网 络 配 置 信 息 ， 并 将 其 作 为 首 包 内 容 向 C 2 发 送 ， 见 图   6 向 C 2   发 送 通 信 数 据 包 。
图 图   6   向 C 2 发 送 通 信 数 据 包 新 线 程 2 ： 接 收 并 执 行 C 2 的 各 种 远 程 指 令 ， 其 中 主 要 是 D D o S   攻 击 指 令 ， 见 图   7   执 行 远 程 指 令 ； 图 图 6   执 行 远 程 执 行 远 程 D D o S 指 令 指 令 经 过 详 细 的 协 议 分 析 ， 整 理 出 以 下 协 议 分 析 表 （ 见 表   2 协 议 数 据 表   3   攻 击 类 型 ） ： 表 表   2   协 议 数 据 名 称 名 称 偏 移 偏 移 备 注 备 注 C o m m a n d _ t y p e 0 x 0 0 0 0 - 0 x 0 0 0 4 6 5 5 3 9 ： 执 行 D D o S 攻 击 ； 6 5 5 4 0 、   6 5 5 4 1 ： 停 止 攻 击 A t t a c k _ i p / d o m a i n 0 x 0 1 9 0 - 0 x 0 2 9 0 A t t a c k _ t y p e 0 x 0 2 9 0 - 0 x 0 2 9 4 主 要 实 现 6 种 攻 击 类 型 A t t a c k _ T h r e a d s 0 x 0 2 9 4 - 0 x 0 2 9 8 A t t a c k _ T i m e 0 x 0 2 9 C - 0 x 0 2 A 0 表 表   3   攻 击 类 型 攻 击 向 量 攻 击 向 量 协 议 值 协 议 值 备 注 备 注 a t k   f l o o d 0 x 0 3 , t c p   f l o o d 0 x 0 1 , 0 x 0 2 , 0 x 1 2 h t t p   f l o o d 0 x 0 5 , 0 x 0 7 , 0 x 0 8 , c c   f l o o d 0 x 0 6 , 0 x 0 9 , u d p   f l o o d 0 x 0 4 , d n s   f l o o d 0 x 1 3 ,   三 、 三 、   捕 风 蜜 网 攻 击 威 胁 情 报 捕 风 蜜 网 攻 击 威 胁 情 报 安 天 威 胁 情 报 自 动 化 监 控 系 统 对 该 j e n k i   b o t n e t 最 早 于   2 0 1 7 - 0 7 - 2 9   1 0 : 4 6 : 4 6 正 式 产 出 自 动 化 监 控 的 攻 击 情 报 数 据 ， 目 前 （ 9 月 1 9 日 ） 监 控 到 该 家 族   b o t n e t 共 发 起 2 6 , 1 3 8 次 间 接 性 D D o S 攻 击 （ 见 图 5 - 1   发 起 攻 击 时 间 分 布 ） ， 中 间 有 1 0 天 时 间
中 断 对 该 家 族 监 控 。 从 监 控 中 的 情 报 数 据 发 现 ， 幕 后 黑 客 更 倾 向 于 使 用 d n s   f l o o d   反 射 型 攻 击 。 通 过 对 指 定 的   D N S 服 务 器 （ n s 2 . 1 7 5 d n s . c o m 、 n s 1 . 1 7 5 d n s . c o m ） 进 行 伪 造 源 I P （ 攻 击 目 标   I P / D o m a i n ） 进 行 域 名 查 询 ， 借 助 D N S 服 务 器 的 放 大 响 应 数 据 达 到 反 射 攻 击 。 从 9 月   1 9 日 一 天 监 控 的 威 胁 情 报 数 据 中 显 示 ， 该 家 族 已 经 共 发 起 8 起 攻 击 事 件 ， 4 4 次 间 歇 性   D D o S 攻 击 ， 见 表   4 威 胁 情 报 数 据 。 表 表   4   威 胁 情 报 数 据 攻 击 目 标 攻 击 目 标 攻 击 类 型 攻 击 类 型 攻 击 次 数 攻 击 次 数 攻 击 开 始 时 间 攻 击 开 始 时 间 攻 击 结 束 时 间 攻 击 结 束 时 间 1 0 1 . 7 1 . 1 0 3 . 5 0 t c p   f l o o d 2 3 2 0 1 7 - 0 9 - 1 9   2 3 : 4 8 : 2 8 2 0 1 7 - 0 9 - 2 0   0 0 : 4 4 : 0 4 1 0 1 . 7 1 . 1 0 3 . 1 6 1 t c p   f l o o d 1 2 0 1 7 - 0 9 - 1 9   2 3 : 4 8 : 0 2 2 0 1 7 - 0 9 - 1 9   2 3 : 4 8 : 0 2 1 8 0 . 1 0 1 . 4 5 . 4 0 t c p   f l o o d 5 2 0 1 7 - 0 9 - 1 9   2 3 : 1 8 : 4 4 2 0 1 7 - 0 9 - 1 9   2 3 : 3 4 : 5 4 1 0 3 . 1 9 8 . 7 5 . 4 2 t c p   f l o o d 4 2 0 1 7 - 0 9 - 1 9   2 2 : 1 8 : 4 2 2 0 1 7 - 0 9 - 1 9   2 2 : 2 7 : 4 7 4 3 . 2 2 7 . 2 1 6 . 3 6 t c p   f l o o d 1 2 0 1 7 - 0 9 - 1 9   2 0 : 2 9 : 2 5 2 0 1 7 - 0 9 - 1 9   2 0 : 2 9 : 2 5 w x . h f r a z y y . c o m c c   f l o o d 、 h t t p   f l o o d 2 2 0 1 7 - 0 9 - 1 9   2 0 : 2 2 : 5 8 2 0 1 7 - 0 9 - 1 9   2 0 : 2 2 : 5 2 4 3 . 2 2 5 . 1 2 3 . 1 6 8 t c p   f l o o d 1 2 0 1 7 - 0 9 - 1 9   1 9 : 1 7 : 5 6 2 0 1 7 - 0 9 - 1 9   1 9 : 1 7 : 5 6 4 5 . 1 2 6 . 1 2 3 . 1 1 1 t c p   f l o o d 7 2 0 1 7 - 0 9 - 1 9   1 8 : 5 2 : 2 0 2 0 1 7 - 0 9 - 1 9   1 9 : 0 9 : 3 4   图 图   8   发 起 攻 击 时 间 分 布 四 、 四 、   J e n k i   发 展 态 势 预 测 发 展 态 势 预 测 J e n k i 家 族 能 在 如 此 短 的 时 间 内 实 现 如 此 大 的 功 能 和 版 本 变 异 ， 相 信 后 面 必 定 有 一 个 长 期 从 事 黑 产 工 具 开 发 的 强 大 技 术 团 队 支 撑 。 因 此 ， J e n k i   b o t n e t 后 期 继 续 变 异 已 是 毋 庸 置 疑 的 ， 而 后 期   J e n k i   b o t n e t 将 会 向 哪 些 方 向 完 善 和 功 能 拓 展 值 得 考 究 和 预 测 。 对 此 ， 我 们 将 从 被 控 端 木 马 功 能 和 他 “ 抓 鸡 ” 部 署 b o t n e t 两 个 角 度 进 行 预 测 ： 被 控 端 功 能 预 测 ： 被 控 端 功 能 预 测 ： J e n k i   b o t n e t 在 D D o S 攻 击 模 式 上 已 经 相 对 完 善 和 成 熟 （   6 种 D D o S 攻 击 类 型 ） ， 但 在 其 他 方 面 上 就 略 显 欠 缺 ， 例 如 ： 缺 失 R e m o t e   S h e l l 和     U p d a t e   F i l e s 等 功 能 类 型 。 因 此 ， 预 测 J e n k i   b o t n e t 后 期 的 变 异 版 本 将 会 实 现 R e m o t e   S h e l l 和     U p d a t e   F i l e s 等 功 能 ， 因 为 R e m o t e   S h e l l   可 以 进 一 步 实 现 对 “ 肉 鸡 ” 远 程 控 制 和 数 据 窃 取 ； U p d a t e   F i l e s 可 以 实 现 快 速 部 署 新 的 被 控 端 木 马 同 时 也 可 以 植 入 其 他 家 族 的 新 木 马 实 现 “ 一 鸡 多 用 ” ， 就 像 N i t o l 和 B i l l g a t e s 等 b o t n e t ， 可 以 分 别 通 过 U p d a t e   F i l e s 、 R e m o t e   S h e l l 进 行 快 速 部 署 J e n k i   b o t n e t   的 新 样 本 ， 而 J e n k i   b o t n e t 为 了 摆 脱 对 其 他 b o t n e t 的 依 赖 ， 后 期 应 该 会 在 这 两 方 面 进 行 完 善 。 “ 抓 鸡 抓 鸡 ” 功 能 预 测 ： 功 能 预 测 ： 目 前 J e n k i 家 族 的 被 控 端 木 马 已 经 横 跨 W i n d o w s 、 L i n u x   、 I o T 三 大 领 域 ， 而 各 领 域 的 高 危 漏 洞 及 其 p o c 频 繁 被 公 开 ， J e n k i   幕 后 黑 客 团 队 应 该 不 会 轻 易 放 弃 这 些 存 在 漏 洞 且 基 数 庞 大 的 潜 在 “ 肉 鸡 ” 设 备 。 通 过 自 动 化 批 量 漏 洞 利 + 自 动 化 被 控 端 木 马 植 入 实 现 自 动 化 批 量 快 速 “ 抓 鸡 ” ， 应 该 是 J e n k i   b o t n e t 后 续 变 异 版 本 的 功 能 拓 展 方 向 之 一 。 然 而 ， 自 动 化 “ 抓 鸡 ” 功 能 是 通 过 专 用 自 动 化 漏 洞 工 具 实 现 还 是 直 接 将 漏 洞 利 用   p o c 代 码 嵌 入 被 控 端 木 马 呢 ？ 预 测 将 会 根 据 不 同 环 境 领 域 的 被 控 端 木 马 使 用 不 同 的 自 动 化 “ 抓 鸡 ” 方 式 。 W i n d o w s 领 域 应 该 会 直 接 利 用 目 前 地 下 黑 产 流 行 的 “ 永 恒 之 蓝 ” 和 s t 2   两 种 自 动 化 漏 洞 利 用 工 具 实 现 J e n k i   b o t n e t 快 速 “ 抓 鸡 ” 部 署 ； L i n u x 领 域 因 为 地 下 黑 产 存 在 的 自 动 化 漏 洞 利 用 “ 抓 鸡 ” 工 具 并 不 多 （ 目 前 没 有 发 现 ） ， 所 以 可 能 仍 然 延 续 使 用 其   b o t n e t 实 现 快 速 “ 抓 鸡 ” ； 境 内 地 下 黑 产 已 经 存 在 对 某 些 厂 商 的 摄 像 头 的 自 动 化 漏 洞 利 用 “ 抓 鸡 ” 工 具 和 s s h 、 t e l n e t   爆 破 工 具 ， 因 此 J e n k i   b o t n e t 后 续 变 异 版 本 也 可 能 会 通 过 这 种 方 法 快 速 抓 取 I o T 领 域 的 “ 肉 鸡 ” 。 五 、 五 、   “ 肉 鸡 肉 鸡 ” 情 报 情 报
通 过 电 信 云 堤 在 骨 干 网 关 设 置 C 2 过 滤 筛 查 ， 仅 在 2 0 1 7 - 0   9 - 1 9   便 捕 获 到 1 3 8 7 0 + “ 肉 鸡 ” 与 C 2 存 在 通 信 ， 从 “ 肉 鸡 ” 量 相 较 于 其 他 D D o S   b o t n e t 家 族   略 少 ， 可 能 是 因 为 新 家 族 尝 试 部 署 ， 正 处 于 b o t n e t   部 署 发 展 前 期 。 然 而 ， J e n k i   b o t n e t 可 以 在 L i n u x 、 W i n d o w s 、 I o T 三 大 领 域 进 行 “ 抓 鸡 ” ， 后 期 的 J e n k i   b o t n e t 将 会 类 似 D o f l o o   b o t n e t 那 样 每 个 b o t n e t 都 拥 有 庞 大 的 “ 肉 鸡 ” 群 ， 而 且 这 一 刻 应 该 会 在 不 久 出 现 ！ 六 、 六 、   总 结 总 结 安 天 威 胁 情 报 自 动 化 监 控 系 统 捕 获 了 发 现 存 在 B i l l g a t e s （ S e t a g   ） b o t n e t 被 控 端 木 马 样 本 ， 结 合 最 近 监 控 到 的 B i l l g a t e s b o t n e t 攻 击 情 报 数 据 并 不 多 ， 以 及 通 过 B i l l g a t e s   b o t n e t   部 署 挖 矿 木 马 （ b 2 4 5 3 6 2 a a 3 6 4 f 9 4 4 9 6 3 8 0 c f d 2 f 0 0 2 4 9 3 ） 现 象 猜 测 ， 幕 后 黑 客 团 队 可 能 考 虑 到 B i l l g a t e s   b o t n e t 的 老 旧 以 及 安 全 性 ， 开 始 逐 渐 放 弃 使 用   B i l l g a t e s 家 族 并 研 发 出 新 型 且 具 有 一 定 免 杀 能 力 的 J e n k i   b o t n e t 替 代 。 J e n k i   b o t n e t 黑 客 团 队 以 惊 人 的 速 度 实 现 对   J e n k i   b o t n e t 被 控 端 的 功 能 优 化 和 平 台 环 境 拓 展 ， J e n k i   b o t n e t 对 互 联 网 的 安 全 威 胁 已 是 不 能 忽 视 ， 因 此 也 提 醒 广 大 安 全 友 商 重 视 新 家 族 J e n k i   b o t n e t   的 存 在 及 其 威 胁 ， 也 提 醒 广 大 互 联 网 用 户 安 全 、 健 康 上 网 ， 安 装 杀 毒 、 防 毒 软 件 并 及 时 修 补 设 备 漏 洞 ！ 如 果 有 用 户 感 染 J e n k i b o t n e t   的 被 控 端 木 马 ， 请 及 时 使 用 安 天 智 甲 工 具 或 者 安 天 l i n u x   版 取 证 工 具 进 行 木 马 清 除 [ 5 ] 。 参 考 ： [ 1 ]   h t t p : / / b o b a o . 3 6 0 . c n / l e a r n i n g / d e t a i l / 4 1 9 9 . h t m l   — 一 款 国 产   L i n u x   D D o S 僵 尸 网 络 家 族 J e n k i 分 析 [ 2 ]   h t t p : / / w w w . a n t i y . c n / b a o g a o / 4 8 5 . h t m l   — 安 天 透 过 北 美 D D o S 事 件 解 读 l o T 设 备 安 全 [ 3 ]   h t t p : / / w w w . a n t i y . c o m   — 安 天 官 网 [ 4 ]   h t t p : / / w w w . a v l s e c . c o m   — 安 天 移 动 官 网 [ 5 ]   h t t p : / / w w w . a n t i y . c o m / t o o l s . h t m l   —   安 天 免 费 工 具 包 * 本 文 作 者 ： 放 牛 娃 ， 转 载 请 注 明 F r e e B u f   C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理