搜索

[14302] 2019-07-03_DotaCampaign：分析一款挖矿与后门并存的木马

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2019-07-03_DotaCampaign：分析一款挖矿与后门并存的木马 D o t a   C a m p a i g n ： 分 析 一 款 挖 矿 与 后 门 并 存 的 木 马 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 7 - 0 3 就 在 前 不 久 ， 我 自 己 部 署 的 一 个 蜜 罐 受 到 了 一 次 特 别 严 重 的 攻 击 ， 其 中 涉 及 到 了 两 个 远 程 访 问 工 具 和 一 个 加 密 货 币 恶 意 挖 矿 文 件 。 接 下 来 ， 我 将 在 这 篇 文 章 中 跟 大 家 分 析 一 下 这 一 波 攻 就 在 前 不 久 ， 我 自 己 部 署 的 一 个 蜜 罐 受 到 了 一 次 特 别 严 重 的 攻 击 ， 其 中 涉 及 到 了 两 个 远 程 访 问 工 具 和 一 个 加 密 货 币 恶 意 挖 矿 文 件 。 接 下 来 ， 我 将 在 这 篇 文 章 中 跟 大 家 分 析 一 下 这 一 波 攻 击 ， 并 看 看 攻 击 者 所 使 用 的 攻 击 技 术 。 值 得 一 提 的 是 ， 现 在 的 互 联 网 中 这 类 攻 击 每 秒 钟 都 会 发 生 一 次 。 击 ， 并 看 看 攻 击 者 所 使 用 的 攻 击 技 术 。 值 得 一 提 的 是 ， 现 在 的 互 联 网 中 这 类 攻 击 每 秒 钟 都 会 发 生 一 次 。 初 始 感 染 初 始 感 染 根 据 攻 击 文 件 的 内 容 ， 我 将 此 次 攻 击 命 名 为 了 “ D o t a   C a m p a i g n ” 。 在 此 攻 击 活 动 中 ， 攻 击 者 通 过 弱 S S H 凭 证 获 取 到 了 目 标 设 备 的 初 始 访 问 权 。 我 的 S S H 蜜 罐 所 使 用 的 用 户 名 和 密 码 均 为 s a l v a t o r e ， 下 面 给 出 的 是 我 S S H 日 志 的 初 始 登 录 数 据 ： 完 成 认 证 之 后 ， 攻 击 者 立 刻 通 过 S S H 执 行 了 系 统 命 令 ， 而 且 所 有 命 令 都 是 通 过 实 际 的 S S H 命 令 传 递 进 来 的 ， 因 为 我 的 系 统 是 一 个 安 装 了 自 定 义 O p e n S S H 版 本 的 蜜 罐 ， 所 以 我 们 可 以 查 看 到 攻 击 者 执 行 的 命 令 ： 首 先 ， 攻 击 者 通 过 H T T P 向 主 机 5 4 . 3 7 . 7 0 [ . ] 2 4 9 请 求 了 一 个 名 为 . x 1 5 c a c h e 的 文 件 ， 然 后 在 等 待 了 1 0 秒 钟 之 后 执 行 了 该 文 件 。 除 此 之 外 ， 攻 击 者 还 将 用 户 密 码 修 改 为 了 一 个 随 机 字 符 串 。 . x 1 5 c a c h e 文 件 的 内 容 如 下 ： 由 此 看 来 ， . x 1 5 c a c h e 文 件 应 该 只 是 一 个 负 责 设 置 环 境 的 D r o p p e r ， 它 还 会 获 取 主 机 5 4 . 3 7 . 7 0 [ . ] 2 4 9 中 的 其 他 文 件 。 第 二 个 文 件 名 叫 d o t a 2 . t a r . g z ， 这 个 t a r 文 件 包 含 的 是 一 段 恶 意 代 码 ， 目 录 名 为 . r s y n c 。 我 用 我 的 文 件 检 测 脚 本 提 取 了 该 文 件 中 的 部 分 内 容 ： . x 1 5 c a c h e 脚 本 会 切 换 到 这 个 . r s y n c 目 录 中 ， 然 后 尝 试 执 行 . / c r o n 和 . / a n a c r o n 文 件 。 攻 击 者 使 用 了 “ | | ” 或 语 句 来 让 . / c r o n 文 件 先 执 行 ， 如 果 执 行 失 败 则 执 行 . / a n a c r o n 。 . r s y n c 目 录 中 还 有 一 个 文 件 ， 这 个 文 件 似 乎 从 来 不 会 运 行 ， 我 们 一 起 看 一 看 ： i 6 8 6 架 构 针 对 的 是 3 2 位 环 境 ， x 8 6 _ 6 4 架 构 针 对 的 是 6 4 位 环 境 。 如 果 c r o n 是 6 4 位 代 码 ， 那 么 a n a c r o n 就 是 3 2 位 的 了 。 运 行 之 后 我 们 也 证 实 了 这 一 点 ： 因 为 这 两 个 文 件 其 实 做 的 是 同 一 件 事 情 ， 所 以 我 们 只 需 要 分 析 其 中 一 个 就 可 以 了 。 分 析 分 析 c r o n 代 码 代 码 我 们 先 通 过 s t r i n g s 命 令 收 集 一 些 基 本 信 息 ， 其 中 的 “ c r y p t o n i g h t ” 字 符 串 吸 引 了 我 的 注 意 ：
实 际 上 ， C r y p t o N i g h t 是 一 种 工 作 量 证 明 算 法 ， 它 可 以 适 用 于 普 通 P C 的 C P U ， 但 它 不 适 用 于 专 门 的 挖 矿 设 备 ， 所 以 C r y p t o N i g h t 暂 时 只 能 用 C P U 挖 矿 。 得 知 它 跟 挖 矿 有 关 之 后 ， 我 们 看 看 s t r i n g s 命 令 还 能 找 到 些 什 么 ： 上 图 为 x m r i g 命 令 的 帮 助 页 面 ， 而 它 是 一 款 针 对 门 罗 币 的 C P U 挖 矿 软 件 。 除 此 之 外 ， 我 们 还 捕 捉 到 了 编 译 时 间 信 息 ： 2 0 1 9 年 5 月 3 日 ， 也 就 是 上 个 月 。 接 下 来 ， 我 们 一 起 分 析 一 下 网 络 流 量 。 我 们 可 以 看 到 代 码 跟 新 的 主 机 5 . 2 5 5 . 8 6 [ . ] 1 2 9 : 8 0 建 立 了 连 接 ： 运 行 t c p d u m p 捕 捉 流 量 后 ， 我 们 用 W i r e s h a r k 对 其 进 行 了 分 析 ： 客 户 端 会 向 服 务 器 发 送 一 些 j s o n 数 据 ， 而 且 这 里 还 包 含 了 X M r i g 参 数 以 及 c n 参 数 （ C r y p t o N i g h t ） 。 攻 击 第 二 阶 段 攻 击 第 二 阶 段 在 运 行 了 上 述 命 令 之 外 ， 攻 击 者 还 会 在 几 秒 钟 之 后 运 行 另 一 波 命 令 ： 这 一 次 ， 攻 击 者 的 操 作 目 录 为 / d e v / s h m ， 并 从 之 前 的 主 机 5 4 . 3 7 . 7 0 [ . ] 2 4 9 获 取 r p 和 . s a t a n 这 两 个 文 件 ， 。 接 下 来 ， 攻 击 者 会 尝 试 运 行 s u d o 命 令 来 获 取 r o o t 权 限 ， 然 后 以 r o o t 权 限 感 染 . s a t a n 脚 本 。 . s a t a n 文 件 内 容 如 下 ：
这 个 s a t a n 脚 本 首 先 会 创 建 一 个 名 为 s r s y n c 的 系 统 服 务 文 件 ， 然 后 自 动 运 行 。 s r s y n c 服 务 会 调 用 脚 本 / u s r / l o c a l / b i n / s r s y n c . s h ， 而 s r s y n c . s h 脚 本 会 运 行 r s y n c . p l 在 这 个 p e r l 脚 本 以 及 p s . b i n 代 码 文 件 。 r s y n c . p l 脚 本 来 自 于 / d e v / s h m / r p ， 会 跟 . s a t a n 脚 本 一 起 从 服 务 器 传 送 过 来 ， 并 使 用 w g e t 命 令 获 取 p s . b i n 代 码 文 件 （ 来 自 于 主 机 5 4 . 3 7 . 7 0 [ . ] 2 4 9 ） 。 需 要 注 意 的 是 ， 在 恶 意 挖 矿 软 件 中 ， 攻 击 者 使 用 了 c r u l 作 为 w g e t 的 备 用 命 令 ， 分 析 分 析 p s . b i n 文 件 文 件 简 单 分 析 后 ， 我 发 现 p s . b i n 是 实 际 上 是 一 个 3 2 位 代 码 文 件 ： 使 用 s t r i n g s 搜 索 之 后 ， 我 发 现 代 码 提 到 了 s s h ， 所 有 我 又 用 g r e p 命 令 搜 索 了 “ s s h ” ： 我 首 先 注 意 到 的 是 一 个 用 于 向 ~ / a u t h o r i z e d _ k e y s 文 件 添 加 R S A 密 钥 的 系 统 命 令 ， 实 际 上 这 就 是 在 创 建 一 个 S S H 后 门 ， 因 为 攻 击 者 可 以 使 用 关 联 的 R S A 私 钥 来 实 现 账 号 认 证 。 随 后 我 还 发 现 了 大 量 跟 s s h 有 关 的 内 容 ， 原 来 这 些 都 属 于 函 数 名 称 ： 就 此 看 来 ， 我 们 面 对 的 就 是 一 个 纯 S S H 后 门 了 。 代 码 分 析 代 码 分 析 首 先 ， 我 们 看 一 看 后 门 代 码 中 的 I P 地 址 ： 而 且 变 量 名 明 显 为 西 班 牙 语 ， e m m m m … . . 接 下 来 ， 定 位 到 软 件 主 函 数 的 循 环 ：
它 主 要 负 责 持 续 监 听 I R C 服 务 器 发 送 过 来 的 命 令 ， p a r s e 函 数 用 来 判 断 命 令 内 容 ： 我 还 注 意 到 了 一 个 针 对 s h e l l 函 数 的 调 用 ： $ c o m a n d o 指 的 就 是 系 统 命 令 了 ， 看 来 这 又 是 第 二 个 后 门 ， 而 这 个 后 门 基 于 的 是 I R C 信 道 。 我 们 可 以 通 通 过 n e t s t a t 命 令 来 查 看 信 道 的 连 接 和 建 立 ： 设 置 好 t c p d u m p 命 令 后 ， 运 行 p e r l 脚 本 ， 然 后 通 过 W i r e S h a r k 分 析 流 量 ， 下 面 给 出 的 是 完 整 的 T C P 数 据 流 ：
这 是 标 准 的 I R C 流 量 ， 客 户 端 会 持 续 获 取 用 户 名 ， 成 功 之 后 便 会 加 入 一 个 # # r o o t 信 道 ， 而 且 服 务 器 端 还 是 2 0 1 9 年 5 月 7 日 创 建 的 。 值 得 一 提 的 是 ， 这 里 面 似 乎 还 嵌 入 了 一 部 分 D o S 攻 击 代 码 ： 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C - 哈 希 （ 哈 希 （ M D 5 ） ） * 参 考 来 源 ： 参 考 来 源 ： k i n d r e d s e c ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 . s a t a n :   3 6 e 6 9 2 c 1 e 5 8 b 5 3 f 5 4 a e 4 9 6 6 d 1 5 f d f a 8 4 r s y n c . p l :   5 2 a 4 2 2 7 2 2 c 4 7 9 d 8 c 5 4 8 3 d 2 d b 9 2 6 7 e 4 c d p s . b i n :   0 4 d 0 6 5 8 a f a e 3 e a 7 b 0 f d a f 6 a 5 1 9 f 2 e 2 8 c d o t a 2 . t a r . g z :   2 c f b 1 a d 3 0 4 9 4 0 a e 7 e 3 a f 9 5 4 d 5 c 1 d 1 3 6 3 . x 1 5 c a c h e
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理