搜索

[11878] 2017-10-10_逆天而行：我们如何在云中发掘僵尸网络

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-10-10_逆天而行：我们如何在云中发掘僵尸网络 逆 天 而 行 ： 我 们 如 何 在 云 中 发 掘 僵 尸 网 络 百 度 安 全 实 验 室   F r e e B u f   2 0 1 7 - 1 0 - 1 0 1   前 言 前 言 远 控 远 控 ( R A T ) 的 历 史 源 远 流 长 的 历 史 源 远 流 长 , ” 文 能 提 笔 安 天 下 ， 武 能 马 上 定 乾 坤 文 能 提 笔 安 天 下 ， 武 能 马 上 定 乾 坤 ” 。 远 控 既 能 用 于 正 规 用 途 比 如 远 程 协 作 软 件 。 远 控 既 能 用 于 正 规 用 途 比 如 远 程 协 作 软 件 t e a m v i e w e r   等 等 , 亦 能 用 于 非 法 活 动 比 如 亦 能 用 于 非 法 活 动 比 如   C & C   攻 击 。 今 天 我 们 要 谈 的 就 是 用 于 非 攻 击 。 今 天 我 们 要 谈 的 就 是 用 于 非 ( 黑 黑 ) 法 法 ( 产 产 ) 活 动 的 远 控 。 活 动 的 远 控 。 国 内 远 控 命 名 五 花 八 门 , 既 有 ” 养 鸡 场 ” 、 ” 大 灰 狼 ” 等 接 地 气 的 名 字 , 也 有 ” 假 面 骑 士 ” 、 ” 金 戈 铁 马 ” 等 颇 具 武 侠 风 的 名 字 。 在 我 们 的 样 本 库 中 , ” 刑 天 ” 、 ” 天 羽 ” 、 ” 天 罚 ” 、 ” 天 劫 ” 等 几 款 远 控 用 名 独 树 一 帜 , 因 为 包 含 了 中 国 传 统 文 化 推 崇 的 ” 天 ” 字 , 故 统 一 命 名 为 ” 天 字 号 ” 。 2   远 控 介 绍 远 控 介 绍 科 普 , 犹 如 剥 洋 葱 般 需 要 由 浅 入 深 由 易 到 难 , 我 们 在 这 一 节 对 远 控 进 行 表 层 的 介 绍 。 2 . 1   远 控 家 族 远 控 家 族 “ 野 火 烧 不 尽 , 春 风 吹 又 生 ” , 这 句 诗 形 容 远 控 家 族 正 合 适 。 安 全 的 博 弈 与 对 抗 经 久 不 息 , 远 控 在 各 种 杀 软 厂 商 的 合 力 围 剿 下 仍 然 能 够 存 活 甚 至 繁 衍 生 息 , 说 明 黑 色 产 业 链 对 黑 产 从 业 者 诱 惑 之 大 。 为 了 躲 避 围 剿 , 远 控 程 序 也 一 直 在 升 级 换 代 , 并 逐 步 扩 大 战 场 。 肉 鸡 程 序 利 用 白 利 用 躲 避 杀 软 主 动 防 御 查 杀 ,   远 控 由 P C 发 展 到 安 卓 平 台 , 都 是 远 控 在 逐 步 发 展 的 印 证 。 出 于 不 同 的 原 因 , 不 同 的 主 控 可 能 在 通 信 协 议 、 S e r v e r 端 运 行 机 制 等 方 面 极 其 相 似 , 我 们 将 这 些 相 似 的 主 控 划 作 一 个 家 族 , 方 便 分 析 和 统 计 。 同 家 族 的 主 控 大 多 是 其 中 一 个 主 控 程 序 的 变 种 , 为 了 躲 避 检 测 会 采 取 修 改 指 令 结 构 、 变 化 指 令 I D 、 更 换 加 密 方 法 等 手 段 。 由 于 远 控 作 者 的 编 码 水 平 参 差 不 齐 , 有 的 新 手 会 简 单 修 改 他 人 写 好 的 远 控 代 码 , 这 样 也 会 造 成 不 同 远 控 隶 属 同 一 家 族 的 情 况 。 2 . 2   横 向 对 比 横 向 对 比 我 们 对 每 个 天 字 号 远 控 均 做 了 分 析 , 从 通 信 加 密 、 是 否 包 含 系 统 监 控 模 块 、 是 否 包 含 D D o s 攻 击 模 块 、 D D o s 攻 击 类 型 的 多 样 性 等 四 个 纬 度 进 行 横 向 对 比 , 详 情 如 下 表 所 示 ： 分 析 时 我 们 发 现 一 件 有 意 思 的 事 情 , ” 天 劫 ” 的 通 信 协 议 与 ” 刑 天 ” 完 全 相 同 隶 属 于 同 一 家 族 并 且 操 作 界 面 高 度 相 似 , 这 着 实 令 人 尴 尬 。 ” 天 劫 ” 增 加 了 注 册 登 录 充 值 等 模 块 用 于 售 卖 ,   在 山 寨 的 道 路 上 越 走 越 远 , 无 法 想 象 ” 刑 天 ” 的 开 发 者 会 是 怎 样 的 心 情 。 由 于 ” 刑 天 ” 的 通 信 协 议 没 有 加 密 便 于 抓 包 分 析 并 且 攻 击 类 型 比 较 丰 富 , 比 较 适 合 进 行 常 规 的 科 普 , 所 以 本 文 选 择 ” 刑 天 ” 作 为 天 字 号 的 典 型 拿 出 来 分 析 。
2 . 3   测 试 环 境 部 署 测 试 环 境 部 署 分 析 ” 刑 天 ” 的 通 信 协 议 方 法 比 较 简 单 , 我 们 使 用 虚 拟 机 搭 建 测 试 环 境 进 行 抓 包 分 析 , 这 种 未 加 密 通 信 协 议 的 情 况 对 于 对 不 擅 长 逆 向 的 同 学 来 说 是 种 福 音 。 我 们 在 内 网 中 使 用 2 台 w i n d o w s   7   、 1 台 C e n t o s 虚 拟 机 为 基 础 部 署 了 简 单 的 测 试 环 境 。 一 台 W i n d o w s   7 虚 拟 机 A 用 作 主 控 端 ,   一 台 W i n d o w s   7 虚 拟 机 B 用 作 肉 鸡 , 而 C e n t o s 虚 拟 机 C 架 设 T C P 、 U D P 服 务 用 作 测 试 靶 机 。 部 署 结 构 如 下 图 所 示 : 我 们 以 ” 刑 天 ” 为 例 给 出 部 署 过 程 。 首 先 在 A 中 使 用 刑 天 生 成 肉 鸡 程 序 : 然 后 在 B 中 运 行 肉 鸡 程 序 , 并 开 启 w i r e s h a r k 抓 取 数 据 包 。 之 后 我 们 在 A 中 会 看 到 B 上 线 :
通 过 主 控 界 面 下 方 的 功 能 区 设 定 攻 击 信 息 : 在 C 中 我 们 可 以 简 单 的 使 用 P y t h o n 的 S i m p l e H T T P S e r v e r 启 动 一 个 W e b 服 务 作 为 T C P 攻 击 的 目 标 , 这 样 做 的 好 处 是 可 以 在 b a s h   s h e l l 中 看 到 T C P 攻 击 的 攻 击 载 荷 并 使 用 > & 等 重 定 向 攻 击 载 荷 。 当 然 我 们 完 全 可 以 写 一 个 U D P 服 务 来 捕 获 攻 击 数 据 。 3   通 信 协 议 通 信 协 议 有 人 质 疑 说 许 多 文 章 在 分 析 远 控 时 主 要 针 对 远 控 生 成 的 s e r v e r 端 的 运 行 机 制 , 没 见 过 写 通 信 协 议 的 , 你 这 属 于 耍 流 氓 。 不 得 不 承 认 , 分 析 s e r v e r 的 运 行 机 制 固 然 重 要 , 但 是 我 的 观 点 历 来 是 不 分 场 景 的 操 作 都 是 耍 流 氓 。 我 们 对 远 控 分 析 的 利 用 场 景 是 在 全 流 量 中 发 现 C 2   信 道 以 及 检 出 恶 意 主 机 , 丰 富 威 胁 情 报 , 从 而 对 云 的 安 全 态 势 做 到 了 然 于 胸 、 知 己 知 彼 。 因 此 , 掌 握 各 种 远 控 家 族 的 通 信 协 议 对 于 上 面 的 场 景 来 说 至 ( j i n g ) 关 ( s h u o ) 重 ( f e i ) 要 ( h u a ) 。 为 了 分 析 的 有 理 有 据 有 节 , 下 面 分 别 从 首 包 与 C & C 指 令 两 方 面 来 分 析 。 3 . 1   首 包 首 包 首 包 即 上 线 包 , 指 肉 鸡 第 一 次 连 接 主 控 时 发 送 的 数 据 包 , 可 以 理 解 为 肉 鸡 向 主 控 表 明 自 身 存 在 并 要 求 注 册 的 一 道 凭 据 。 主 控 在 收 到 首 包 后 会 认 为 新 的   B O T   上 线 并 要 求 注 册 。 ” 刑 天 ” 远 控 会 在 首 包 附 带 操 作 系 统 类 型 、 内 存 大 小 、 C P U   核 心 数 及 主 频 、 网 络 带 宽 等 信 息 。 这 样 的 信 息 方 便 ” 牧 马 人 ” 在 进 行 任 务 下 发 时 对 机 器 条 件 的 考 量 ( 比 如 s y n c   f l o o d 攻 击 需 要 w i n d o w s   s e r v e r 系 统 而 不 能 是 w i n   x p 等 个 人 p c ) 。 在 测 试 中 抓 取 肉 鸡 上 线 的 首 包 如 下 图 所 示 :
“ 刑 天 ” 远 控 的 首 包 长 度 为 1 8 4 B y t e s ,   在 w i n d o w s   7 与 w i n d o w   x p 环 境 测 试 中 首 包 的 认 证 标 识 为 b 0 0 0 0 0 0 0 7 7 0 0 0 0 0 0 0 4 0 8 0 0 0 0 ， 首 包 结 构 如 下 表 所 示 : 3 . 2   攻 击 分 类 攻 击 分 类 “ 刑 天 ” D D o S 功 能 分 为 5 大 类 ， 每 个 大 类 分 为 若 干 细 分 功 能 , 分 类 细 节 如 下 表 所 示 :
3 . 3   C & C 指 令 指 令 3 . 3 . 1   攻 击 参 数 攻 击 参 数 在 肉 鸡 上 线 之 后 , 我 们 关 心 的 是 主 控 如 何 给 肉 鸡 下 发 攻 击 命 令 。 设 定 攻 击 参 数 是 D D o S 型 主 控 必 要 的 功 能 。 通 过 分 析 多 款 D D o S 主 控 , 攻 击 参 数 主 要 包 括 以 下 字 段 : 攻 击 目 标 、 目 标 端 口 、 持 续 时 间 、 线 程 数 量 、 攻 击 方 式 等 。
3 . 3 . 2   指 令 结 构 指 令 结 构 刑 天 远 控 指 令 结 构 比 较 简 单 , 分 为 两 个 部 分 : 指 令 标 识   +   指 令 载 荷 。 肉 鸡 程 序 提 取 指 令 标 识 确 定 具 体 的 任 务 类 型 , 根 据 指 令 载 荷 填 充 任 务 载 荷 。 3 . 3 . 2 . 1   指 令 标 识 指 令 参 数 长 度 标 识 与 指 令 大 类 标 识 均 为   4   字 节 整 形 , 采 用 小 端 模 式 而 非 网 络 字 节 序 。 3 . 3 . 2 . 2   指 令 载 荷 根 据 是 否 需 要 D D o S 攻 击 参 数 , 我 们 将 指 令 载 荷 分 为 两 类 :   D D o S 攻 击 指 令 载 荷 、 非 D D o S 攻 击 指 令 载 荷 。 参 照 攻 击 分 类 , 批 量 操 作 大 类 属 于 非   D D o S 攻 击 指 令 载 荷 , 剩 余 大 类 均 属 于 D D o S 攻 击 指 令 载 荷 。 需 要 注 意 的 是 , 在 网 站 测 试 大 类 中 会 出 现 针 对 游 戏 方 式 、 完 全 穿 透 方 式 、 变 参 的 起 始   I D 等 扩 展 细 分 指 令 , 刑 天 远 控 为 了 统 一 指 令 载 荷 的 结 构 加 入 了   8   字 节 的 扩 展 字 段 以 兼 容 不 同 大 类 。 通 过 分 析 每 个 细 分 指 令 , 我 们 总 结 D D o S 攻 击 指 令 载 荷 结 构 如 下 表 所 示 : “ 其 它 字 节 ” 包 含 了 攻 击 目 标 、 自 定 义 攻 击 载 荷 之 类 的 参 数 , 其 长 度 为 指 令 载 荷 长 度 减 去   2 4   字 节 。 非 D D o S 攻 击 指 令 载 荷 结 构 相 对 简 单 , 分 为 两 种 情 况 。 对 于 下 载 下 载 地 址 、 弹 窗 地 址 、 更 新 地 址 等 3 个 指 令 , 地 址 就 是 载 荷 。 而 对 于 关 机 、 重 启 、 卸 载 等 3 个 不 需 要 实 际 载 荷 的 指 令 , 用 0 x 3 1 字 节 填 充 。 通 过 进 一 步 分 析 每 种 细 分 攻 击 的 数 据 包 , 我 们 总 结 了 细 分 指 令 I D 如 下 表 ：

3 . 3 . 3   C & C 指 令 结 构 汇 总 通 过 上 述 分 析 , 我 们 汇 总 ” 刑 天 ” C & C 指 令 结 构 如 下 ： 以 上 就 是 ” 刑 天 ” 远 控 的 通 信 协 议 , 包 括 首 包 结 构 、 C & C 指 令 结 构 等 。 在 掌 握 了 主 控 通 信 协 议 的 情 况 下 , 我 们 就 可 以 用 匹 配 的 方 法 在 全 流 量 中 抓 取 使 用 了 明 文 通 信 协 议 的 C 2 信 道 流 量 , 进 而 锁 定 肉 鸡 及 主 控 并 丰 富 威 胁 情 报 库 。 4   攻 击 行 为 分 析 攻 击 行 为 分 析 现 在 我 们 可 以 用 已 知 通 信 协 议 捕 获 匹 配 流 量 , 但 是 不 能 止 步 于 此 。 通 信 协 议 匹 配 的 方 法 无 法 解 决 感 知 未 知 主 控 通 信 协 议 的 问 题 , 因 此 我 们 需 要 通 过 总 结 肉 鸡 在 攻 击 时 的 行 为 特 征 来 检 出 攻 击 流 量 。 在 攻 击 流 量 分 析 过 程 中 , 我 们 发 现 肉 鸡 程 序 的 发 包 策 略 很 有 特 点 , 是 一 个 很 好 的 切 入 点 。 我 们 分 析 总 结 了 ” 刑 天 ” 主 控 发 包 时 的 动 作 特 点 , 如 下 所 示 ： 4 . 1   T C P 发 包 策 略 发 包 策 略
  从 分 析 结 果 可 以 发 现 其 中 的 几 种 细 分 攻 击 类 型 是 一 些 变 种 攻 击 , 推 测 这 样 做 的 目 的 是 为 了 适 应 不 同 的 攻 击 目 标 和 对 肉 鸡 配 置 的 考 虑 。 4 . 2   U D P 发 包 策 略 发 包 策 略
4 . 3   I C M P 发 包 策 略 发 包 策 略 I C M P 发 包 策 略 会 持 续 发 送 载 荷 超 过 4 0 0 0 字 节 的 I C M P 数 据 包 。 4 . 4   行 为 分 析 总 结 行 为 分 析 总 结 有 必 要 再 结 合 我 们 的 场 景 说 明 一 下 , 分 析 肉 鸡 程 序 的 发 包 策 略 并 不 是 说 我 们 要 做 抗 D ,   我 们 的 目 的 是 根 据 发 包 策 略 筛 选 出 口 流 量 中 的 可 疑 流 量 进 而 锁 定 云 中 的 可 疑 主 机 。 熟 悉 主 控 的 发 包 策 略 有 助 于 我 们 总 结 规 律 、 形 成 方 法 , 从 云 主 机 的 流 量 中 及 时 发 现 可 疑 流 量 。 这 对 我 们 探 测 未 知 主 控 家 族 的 通 信 协 议 是 一 个 很 大 的 帮 助 。 5   总 结 总 结 本 文 从 科 普 的 角 度 出 发 介 绍 了 在 机 房 全 流 量 中 挖 掘 僵 尸 网 络 的 方 法 。 我 们 首 先 介 绍 了 一 种 典 型 的 主 控 通 信 协 议 , 然 后 对 主 控 的 攻 击 行 为 做 了 分 析 总 结 。 主 控 通 信 协 议 与 主 控 攻 击 特 点 是 我 们 建 立 僵 尸 网 络 信 道 发 现 的 基 石 。 在 实 际 工 作 中 , 我 们 将 持 续 收 集 到 的 数 百 种 主 控 家 族 的 通 信 协 议 , 结 合 威 胁 情 报 部 门 提 供 的 恶 意 I P 域 名 情 报 , 在 云 中 检 出 受 感 染 主 机 及 主 控 。 从 威 胁 情 报 的 角 度 来 看 , 企 业 间 远 控 家 族 情 报 交 换 有 助 于 扩 大 僵 尸 网 络 挖 掘 的 广 度 , 对 于 维 护 网 络 安 全 有 积 极 的 意 义 。 * 本 文 作 者 ： 百 度 安 全 实 验 室 ， 转 载 请 注 明 来 自   F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理