搜索

[14461] 2019-08-12_WatchBog新型变种分析

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-08-12_WatchBog新型变种分析 W a t c h B o g 新 型 变 种 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 8 - 1 2 概 述 概 述 近 日 发 现 新 版 本 的 近 日 发 现 新 版 本 的 W a t c h B o g ： 自 ： 自 2 0 1 8 年 底 开 始 运 行 的 加 密 货 币 挖 掘 僵 尸 网 络 。 自 年 底 开 始 运 行 的 加 密 货 币 挖 掘 僵 尸 网 络 。 自 6 月 初 开 始 已 有 超 过 月 初 开 始 已 有 超 过 4 , 5 0 0 台 台 L i n u x 机 器 遭 到 破 坏 。 在 新 的 机 器 遭 到 破 坏 。 在 新 的 L i n u x 漏 洞 利 用 中 ， 该 版 本 漏 洞 利 用 中 ， 该 版 本 W a t c h B o g 实 现 了 实 现 了 B l u e K e e p   R D P 协 议 漏 洞 扫 描 模 块 ， 协 议 漏 洞 扫 描 模 块 ， 这 表 明 这 表 明 W a t c h B o g 正 在 记 录 所 有 有 漏 洞 的 系 统 正 在 记 录 所 有 有 漏 洞 的 系 统 i p ， 以 便 将 来 进 行 攻 击 或 出 售 给 第 三 方 获 取 利 润 。 ， 以 便 将 来 进 行 攻 击 或 出 售 给 第 三 方 获 取 利 润 。 目 前 ， 所 有 安 全 厂 商 都 未 检 测 到 恶 意 软 件 。 目 前 ， 所 有 安 全 厂 商 都 未 检 测 到 恶 意 软 件 。 简 介 简 介 W a t c h b o g 是 一 个 加 密 货 币 挖 掘 僵 尸 网 络 ， 早 在 2 0 1 8 年 1 1 月 就 被 发 现 。 已 知 攻 击 组 织 正 在 利 用 已 知 的 漏 洞 来 攻 击 L i n u x 服 务 器 。 阿 里 云 安 全 部 门 过 去 曾 对 该 组 织 进 行 过 备 案 。 自 上 一 次 发 表 关 于 该 组 织 分 析 报 告 以 来 ， 它 已 经 通 过 一 个 新 的 扩 展 模 块 来 增 加 其 植 入 方 式 ， 以 提 高 攻 击 服 务 器 的 覆 盖 率 。 我 们 检 测 到 一 个 新 版 本 w a t c h b o g ， 其 中 包 含 了 最 近 发 布 的 漏 洞 ： J I R A 的 C V E - 2 0 1 9 - 1 1 5 8 1 （ 在 漏 洞 发 布 后 1 2 天 内 增 加 ） 、 e x i m 的 C V E - 2 0 1 9 - 1 0 1 4 9 和 s o l r 的 C V E - 2 0 1 9 - 0 1 9 2 。 我 们 还 发 现 新 模 块 包 含 B l u e K e e p 扫 描 器 。 C V E – 2 0 1 9 - 0 7 0 8 ， 是 一 个 基 于 W i n d o w s 的 内 核 漏 洞 。 该 漏 洞 存 在 于 W i n d o w s 2 0 0 0 到 W i n d o w s   S e r v           e r   2 0 0 8 和 W i n d o w s   7 的 未 修 补 W i n d o w s 版 本 中 。 现 还 没 有 P o C 可 用 于 实 现 此 漏 洞 的 R C E ， 在 野 外 也 还 没 有 发 现 任 何 攻 击 行 为 。 该 扫 描 器 模 块 的 合 并 表 明 ， W a t c h b o g 正 在 为 以 后 针 对 含 有 B l u e k e e p 漏 洞 的 系 统 攻 击 做 准 备 。 此 外 ， J i r a 、 S o l r 和 B l u e k e e p 扫 描 仪 模 块 均 在 1 3 天 内 添 加 ， W a t c h b o g 正 在 加 速 新 功 能 的 整 合 。 安 全 厂 商 目 前 未 检 测 到 新 模 块 的 二 进 制 文 件 ： 将 此 文 件 上 载 到 i n t e z e r 分 析 后 ， 我 们 可 以 看 到 它 与 w a t c h b o g 共 享 代 码 ：
这 一 新 的 传 播 模 块 存 在 一 个 缺 陷 ， 它 允 许 我 们 发 起 “ 中 间 人 ” 攻 击 ， 以 帮 助 我 们 分 析 二 进 制 文 件 。 技 术 分 析 技 术 分 析 w a t c h b o g 在 感 染 目 标 时 运 行 初 始 部 署 脚 本 。 该 脚 本 通 过 c r o n t a b 持 久 控 制 ， 并 从 P a s t e b i n 下 载 更 多 的 M o n e r o   M i n e r 模 块 。 该 脚 本 末 尾 的 部 分 如 下 ： 根 据 w a t c h b o g 脚 本 传 统 操 作 方 式 ， 脚 本 会 从 p a s t e b i n 下 载 另 一 个 b a s e 6 4 编 码 的 有 效 p a y l o a d ， 然 后 执 行 ： 然 而 ， 下 载 的 不 是 另 一 个 挖 矿 模 块 ， 它 是 新 的 传 播 模 块 。 从 快 速 视 图 中 可 以 看 到 这 是 一 个 动 态 链 接 E L F 可 执 行 文 件 。 分 析 后 发 现 这 实 际 上 是 一 个 C y t h o n - c o m p i l e d 的 可 执 行 文 件 ， 需 要 进 一 步 进 行 分 析 。
如 关 于 C y t h o n 的 文 章 所 述 ： “ C y t h o n 是 一 个 优 化 的 静 态 编 译 器 ， 它 将 您 的 . p y 模 块 转 换 为 高 性 能 的 C 文 件 。 生 成 的 C 文 件 可 以 毫 不 费 力 地 编 译 到 二 进 制 库 中 。 编 译 完 成 后 就 无 法 将 已 编 译 的 库 反 向 转 换 为 可 读 的 P y t h o n 源 代 码 “ 。 不 过 ， 编 译 后 的 二 进 制 文 件 包 含 了 一 些 对 原 始 p y t h o n 模 块 的 信 息 ： 初 始 化 初 始 化 二 进 制 文 件 会 在 / t m p / . g o o o b b 处 创 建 文 件 ， 在 该 文 件 中 ， 它 将 其 p i d 作 为 恶 意 软 件 执 行 的 日 志 写 入 。 当 此 文 件 存 在 时 ， 后 续 启 动 传 播 模 块 都 会 失 败 。 然 后 二 进 制 文 件 从 P a s t e b i n 中 检 索 其 C 2 服 务 器 ： . o n i o n   C 2 服 务 器 地 址 以 硬 编 码 存 储 在 二 进 制 文 件 中 ， 并 用 作 后 备 。 我 们 可 以 根 据 对 P a s t e b i n 链 接 的 访 问 次 数 来 估 计 受 感 染 的 受 害 者 数 量 ：
如 上 所 示 ， 大 约 有 4 , 5 0 0 个 端 点 访 问 了 P a s t e b i n 链 接 。 由 于 已 知 W a t c h B o g 在 6 月 5 日 之 前 一 直 处 于 活 动 状 态 ， 其 中 一 些 机 器 可 能 点 击 了 较 旧 的 P a s t e b i n 链 接 受 到 感 染 。 二 进 制 文 件 首 先 尝 试 连 接 到 其 中 一 个 可 用 的 静 态 C 2 服 务 器 。 我 们 观 察 到 C 2 服 务 器 的 证 书 已 过 期 。 通 常 ， H T T P S 客 户 端 会 检 查 他 们 正 在 与 之 交 互 的 S S L 证 书 的 验 证 。 然 而 ， W a t c h B o g 的 植 入 方 式 并 非 如 此 。 这 导 致 W a t c h B o g 客 户 端 在 使 用 H T T P S 时 没 有 验 证 证 书 ， 否 则 它 将 拒 绝 与 C 2 通 信 。 这 个 漏 洞 允 许 我 们 使 用 自 己 的 证 书 设 置 H T T P S 代 理 ， 并 进 行 “ 中 间 人 ” 攻 击 以 分 析 W a t c h B o g   S S L   /   T L S 流 量 ： 然 后 ， 二 进 制 文 件 为 受 感 染 的 受 害 者 生 成 唯 一 密 钥 ， 并 在 此 密 钥 下 向 C 2 发 送 初 始 消 息 。 以 下 图 片 包 含 来 自 S S L   /   T L S 解 密 流 量 的 样 本 请 求 和 响 应 有 效 p a y l o a d ：
对 这 些 数 据 包 通 过 编 码 混 淆 其 内 容 。 在 分 析 过 程 中 ， 我 们 已 经 确 定 使 用 的 编 码 算 法 。 以 下 脚 本 可 以 解 码 p a y l o a d ： 初 始 消 息 包 含 受 攻 击 系 统 信 息 ： 这 些 信 息 将 被 合 并 和 取 h a s h 值 ， 以 构 建 其 C N C 中 W a t c h B o g   A P I 的 路 径 。 服 务 器 回 复 一 个 “ 任 务 ” ， 让 机 器 自 动 在 目 标 列 表 上 执 行 ： B l u e K e e p 扫 描 扫 描 在 较 新 版 本 的 W a t c h B o g 中 ， 已 经 集 成 了 一 个 R D P 扫 描 程 序 ， 以 便 找 到 易 受 攻 击 的 W i n d o w s 机 器 。   此 扫 描 程 序 是 来 自 g i t h u b 上 z i t h o s u m 0 x 0 的 p y t h o n 扫 描 程 序 。   我 们 可 以 根 据 函 数 名 称 的 相 似 性 进 行 评 估 ： 扫 描 器 将 尝 试 从 C N C 提 供 的 I P 列 表 中 查 找 易 受 攻 击 的 R D P 服 务 器 ： f i n a l   =   " " a r r   =   i n p u t ( ) f o r   a   i n   a r r :             s t r i   =   " b e g i n   6 6 6   n { 0 } n   n e n d n " . f o r m a t ( a )                           . d e c o d e ( " u u " ) . s t r i p ( ' x 0 0 ' )                           . d e c o d e ( " h e x " )                           . d e c o d e ( " b a s e 6 4 " )         f i n a l   + =   c h r ( i n t ( s t r i ) ) p r i n t ( f i n a l [ : : - 1 ] )
R D P 的 默 认 W i n d o w s 服 务 端 口 是 T C P   3 3 8 9 ， 可 以 利 用 “ C o o k i e ： m s t s h a s h   = ” 字 段 识 别 。 我 们 可 以 观 察 到 使 用 字 符 串 ' w a t c h b o g ' 作 为 R D P   m s t s h a s h 字 段 的 用 户 名 。 我 们 发 现 R D P 扫 描 的 I P 列 表 中 ， 一 些 I P 地 址 属 于   V o d a f o n e   A u s t r a l i a 和 T e n c e n t   C o m p u t e r   S y s t e m s 。 在 扫 描 结 束 之 后 ， W a t c h B o g 客 户 端 返 回 一 个 R C 4 加 密 的 结 果 I P 地 址 列 表 ， 编 码 为 十 六 进 制 字 符 串 ：
可 以 看 出 W a t c h B o g 正 在 收 集 易 受 攻 击 的 B l u e K e e p   W i n d o w s 列 表 以 供 将 来 使 用 ， 或 者 出 售 给 第 三 方 获 取 利 润 。 传 播 方 式 传 播 方 式 W a t c h B o g 利 用 如 下 几 个 漏 洞 进 行 传 播 ： C V E - 2 0 1 9 - 1 1 5 8 1   ( J i r a ) C V E - 2 0 1 9 - 1 0 1 4 9   ( E x i m ) C V E - 2 0 1 9 - 0 1 9 2   ( S o l r ) C V E - 2 0 1 8 - 1 0 0 0 8 6 1   ( J e n k i n s ) C V E - 2 0 1 9 - 7 2 3 8   ( N e x u s   R e p o s i t o r y   M a n a g e r   3 ) 此 外 还 有 C o u c h D B 和 R e d i s 实 例 模 块 与 代 码 一 起 实 现 R C E 。 所 有 被 利 用 的 “ p w n ” 模 块 都 允 许 攻 击 者 实 现 远 程 代 码 执 行 。 一 旦 发 现 易 受 攻 击 的 服 务 存 在 漏 洞 利 用 模 块 ， 二 进 制 文 件 就 会 调 用 对 应 漏 洞 并 安 装 P a s t e b i n 上 托 管 的 恶 意 b a s h 脚 本 来 进 行 传 播 。 我 们 能 够 找 到 上 传 到 H y b r i d A n a l y s i s 的 s p r e a d e r 模 块 的 早 期 测 试 版 本 ， 包 括 对 S o l r   C V E - 2 0 1 9 - 0 1 9 2 的 攻 击 ， 对 A c t i v e M Q   C V E - 2 0 1 6 - 3 0 8 8 的 攻 击 ， 以 及 R e d i s 实 例 ：
总 结 总 结 W a t c h B o g 通 过 整 合 最 近 发 布 的 漏 洞 并 使 用 新 攻 击 技 术 更 新 其 植 入 方 式 。 如 果 使 用 C y t h o n 等 引 擎 本 地 部 署 P y t h o n 恶 意 软 件 ， 它 就 会 变 得 更 难 分 析 。 这 与 其 他 P y t h o n 本 机 框 架 （ 如 p y i n s t a l l e r ） 形 成 对 比 ， C y t h o n 无 法 恢 复 P y t h o n 代 码 。 L i n u x 僵 尸 网 络 整 合 B l u e K e e p 扫 描 器 表 明 W a t c h B o g 开 始 在 不 同 的 平 台 上 探 索 获 利 机 会 。 目 前 ， 没 有 已 知 的 R C E B l u e K e e p   P o C 。 防 范 措 施 防 范 措 施 1 、 将 相 关 软 件 更 新 到 最 新 版 本 ： 2 、 W i n d o w s 用 户 参 考 M i c r o s o f t 的 客 户 指 南 ， 安 装 B l u e K e e p 漏 洞 补 丁 。 3 、 使 用 E x i m ， J i r a ， S o l r ， J e n k i n s 或 N e x u s   R e p o s i t o r y   M a n a g e r   3 的 L i n u x 用 户 更 新 到 最 新 版 本 。 4 、 使 用 R e d i s 或 C o u c h D B 的 L i n u x 用 户 确 保 没 有 在 受 信 任 网 络 之 外 开 放 端 口 。 5 、 怀 疑 自 己 感 染 了 W a t c h B o g 的 L i n u x 用 户 检 查 是 否 存 在 “ / t m p / . t m p l a s s s t g g g z z z q p p p p p p 1 2 2 3 3 3 3 3 ” 文 件 或 “ / t m p / . g o o o b b ” 文 件 。 线 上 代 码 分 析 线 上 代 码 分 析 W a t c h B o g 已 经 在 I n t e z e r 的 基 因 数 据 库 中 编 入 索 引 。 如 果 怀 疑 是 W a t c h B o g 的 可 疑 文 件 ， 可 以 将 其 上 传 到 I n t e z e r A n a l y z e ， 以 检 测 此 恶 意 软 件 的 代 码 重 用 情 况 。 I O C s b 1 7 8 2 9 d 7 5 8 e 8 6 8 9 1 4 3 4 5 6 2 4 0 e b d 7 9 b 4 2 0 f 9 6 3 7 2 2 7 0 7 2 4 6 f 5 d c 9 b 0 8 5 a 4 1 1 f 7 b 5 e 2 6 e b e a c 4 4 9 2 6 1 6 b a f 9 7 7 9 0 3 b b 8 d e b 7 8 0 3 b d 5 a 2 2 d 8 a 0 0 5 f 0 2 3 9 8 c 1 8 8 b 0 3 7 5 d f a 4 c d f 1 1 a 1 f a 7 e 5 5 1 f e 6 b e 1 f 1 7 0 b a 9 d e d e e 8 0 4 0 1 3 9 6 a d f 7 e 3 9 c c d e 5 d f 6 3 5 c 1 1 1 7 a 9
h t t p s : / / 9 d 8 4 2 c b 6 . n g r o k [ . ] i o h t t p s : / / 7 d c 5 f b 4 e . n g r o k [ . ] i o h t t p s : / / z 5 r 6 a n r j b c a s u i k p . o n i o n [ . ] t o h t t p s : / / p a s t e b i n [ . ] c o m / r a w / D j 3 J T t n j h t t p s : / / p a s t e b i n [ . ] c o m / r a w / p 3 m G d b p q h t t p s : / / p a s t e b i n [ . ] c o m / r a w / U e y n z X E r h t t p s : / / p a s t e b i n [ . ] c o m / r a w / M M C F Q M H 9 3 . 1 4 . 2 1 2 [ . ] 1 7 3 3 . 1 4 . 2 0 2 [ . ] 1 2 9 3 . 1 7 . 2 0 2 [ . ] 1 2 9 3 . 1 9 . 3 [ . ] 1 5 0 1 8 . 1 8 8 . 1 4 [ . ] 6 5 * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理