搜索

[15465] 2020-06-07_GoBrut僵尸网络新变种

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-06-07_GoBrut僵尸网络新变种 G o B r u t 僵 尸 网 络 新 变 种 A v e n g e r   F r e e B u f   2 0 2 0 - 0 6 - 0 7 使 用 使 用   G o   编 写 的 多 平 台 编 写 的 多 平 台   G o B r u t   僵 尸 网 络 最 近 部 署 了 新 变 种 进 行 传 播 ， 同 时 正 对 数 以 百 万 计 的 僵 尸 网 络 最 近 部 署 了 新 变 种 进 行 传 播 ， 同 时 正 对 数 以 百 万 计 的   W o r d P r e s s   网 站 网 站 进 行 爆 破 。 进 行 爆 破 。 2 0 1 9   年   3   月   G o B r u t   僵 尸 网 络 被 发 现 ， 在 此 前 的 分 析 文 章 中 分 析 了 该 僵 尸 网 络 使 用   G o   语 言 编 写 的   W i n d o w s   版 本 。 G o   语 言 的 使 用 使 得 代 码 具 有 极 高 的 可 移 植 性 ， 攻 击 者 可 以 只 编 写 一 次 代 码 然 后 在 各 种 不 同 的 操 作 系 统 中 编 译 运 行 。 所 以 最 近 也 发 现 了 针 对   L i n u x   平 台 的 新 版 本 部 署 。 这 已 经 不 是 第 一 次 在 野 发 现   G o B u r t   的   L i n u x   样 本 。 事 实 上 ， 2 0 1 9   年   4   月 时 有 其 他 研 究 人 员 发 现   2 . 2 4   版 本 的   G o B u r t 已 经 开 始 存 在   L i n u x   版 本 。 本 次 我 们 发 现 的 是 新 部 署 的 新 版 本   3 . 0 6 ， 同 样 也 是 针 对   L i n u x   平 台 的 。 技 术 分 析 技 术 分 析 在 我 们 的 情 报 监 控 运 营 时 发 现 的 一 个 失 陷 网 站 ， 其 中 包 含 大 量 的 可 疑 文 件 ， 这 些 文 件 实 际 上 是 同 一 个 文 件 的 副 本 。 字 段 字 段 值 值 哈 希 0 f 4 7 5 5 f 6 5 c 4 9 5 d 3 7 1 1 b f 2 2 2 7 1 f 8 5 f 1 e e 8 6 d a 8 b 7 a 4 8 7 e 7 7 0 f 7 6 9 a f 5 6 e 1 8 9 b e 4 8 c 威 胁 G o B r u t 简 要 描 述 G o B r u t   L i n u x   版 本   3 . 0 6 s s d e e p 9 8 3 0 4 : E E 1 b 8 0 T 1 M v 8 S z j L Z / Y J G 9 M M a 2 m e g m G 5 O F Z j 8 K I X : n 9 8 0 J p S z B s M a 2 a c 8 K 因 此 ， 我 们 比 较 了 这 个 最 新 的 样 本 与 前 述 文 章 中 提 到 的 样 本 ：
新 样 本 其 他 已 知 的   G o B r u t   样 本 之 间 存 在 许 多 相 似 之 处 ， 例 如 控 制 流 与 通 信 协 议 都 是 类 似 的 ， 校 验 与 任 务 的 检 索 没 有 大 幅 改 动 。 向 向   C & C   注 册 注 册 样 本 向   C & C   服 务 器 的   b o t s / k n o c k   路 径 发 送 注 册 请 求 ， 表 明 该 主 机 的 种 类 、 操 作 系 统 与 恶 意 软 件 的 版 本 。 服 务 器 响 应 1   作 为 应 答 。 检 查 更 新 检 查 更 新 样 本 向   C & C   服 务 器 发 送 其 版 本 与 主 机 的 体 系 结 构 ， C & C   服 务 器 使 用   Y e s / N o   响 应 是 否 存 在 更 新 。 检 索 要 执 行 的 任 务 检 索 要 执 行 的 任 务
样 本 向   C & C   服 务 器 发 送 查 询 要 执 行 的 任 务 的 请 求 ， 在 监 控 过 程 中 发 现 唯 一 的 执 行 任 务 是   w p B r t   即   W o r d P r e s s   B r u t e F o r c i n g （ W o r d P r e s s   爆 破 ） ， 样 本 使 用 字 典 攻 击 超 过   2 7   万 个 第 三 方 网 站 。 检 索 要 攻 击 的 目 标 检 索 要 攻 击 的 目 标 与 旧 版 本 相 同 ， 该 版 本 也 使 用   J S O N   格 式 检 索 要 攻 击 的 目 标 列 表 ， 并 尝 试 访 问 。 这 一 点 上 可 以 发 现   G o B r u t   的 行 为 特 征 ： 危 险 的 升 级 危 险 的 升 级 新 版 本 中 更 新 了 一 些 更 强 大 的 功 能 模 块 ， 如 ： S t e a l t h W o r k e r / W o r k e r Q n a p ： 针 对   Q n a p   的   N A S   服 务 登 录 页 S t e a l t h W o r k e r / W o r k e r _ W o o C h k ： 针 对 名 为   W O O   C o m m e r c e   的   C M S
S t e a l t h W o r k e r / W o r k e r _ w p M a g O c a r t ： 针 对   M a g e C a r t   的 电 商 登 录 页 面 S t e a l t h W o r k e r / W o r k e r _ W p I n s t a l l _ f i n d e r ： 针 对   W o r d P r e s s   的 安 装 目 录 的 侦 察 工 具 S t e a l t h W o r k e r / W o r k e r B a c k u p _ f i n d e r ： 用 于 检 索 暴 露 的 备 份 文 件 夹 的 实 用 工 具 S t e a l t h W o r k e r / W o r k e r H t p a s s w d ： 尝 试 从 错 误 配 置 的   h t p a s s w d   文 件 中 检 索 信 息 完 整 的 模 块 列 表 在 文 后 列 表 中 。 目 标 分 布 目 标 分 布 截 至 编 写 本 报 告 时 发 现 了 超 过 二 百 七 十 万 个 第 三 方 网 站 受 到 攻 击 。 除 了   . c o m 、 . o r g   和   . i n f o   大 多 数 域 名 都 归 属 于 中 东 欧 地 区 ， 几 乎 没 有 俄 罗 斯 的 域 名 存 在 。 可 能 是 由 于 僵 尸 网 络 的 运 营 者 没 有 打 算 对 俄 罗 斯 的 网 络 空 间 发 动 攻 击 ， 也 可 能 是 由 于 当 前 客 户 来 源 是 俄 罗 斯 。 此 外 ， 在 本 次 攻 击 行 动 中 发 现 了 超 过   4 5 0 0   个 意 大 利 的 域 名 。 大 多 数 都 是 中 小 型 公 司 的 网 站 ， 也 包 括 律 师 事 务 所 和 非 盈 利 组 织 。 这 些 实 体 更 容 易 被 犯 罪 分 子 利 用 其 关 系 与 声 誉 ， 攻 陷 更 高 价 值 的 目 标 ， 如 大 型 企 业 或 者 他 们 的   V I P   客 户 。 结 论 结 论 该 僵 尸 网 络 的 流 行 也 暗 示 着   G o   在 编 写 恶 意 软 件 时 正 在 变 得 越 来 越 受 欢 迎 。 这 一 趋 势 也 被   P a l o A l t o   U n i t 4 2   在   2 0 1 9   年 1   月 的 一 篇 文 章 中 提 到 ， 他 们 注 意 到 自 从   2 0 1 6   年 以 来 ， 使 用   G o   编 写 的 恶 意 软 件 数 量 大 幅 增 长 。 通 过 分 析 可 以 发 现 ， G o B r u t   正 在 扩 大 其 运 营 业 务 ， 努 力 支 持 更 多 技 术 模 块 。 攻 击 行 动 涉 及 数 百 万 量 级 的 网 站 ， 其 中 一 部 分 是 意 大 利 的 公 司 。 I O C 0 f 4 7 5 5 f 6 5 c 4 9 5 d 3 7 1 1 b f 2 2 2 7 1 f 8 5 f 1 e e 8 6 d a 8 b 7 a 4 8 7 e 7 7 0 f 7 6 9 a f 5 6 e 1 8 9 b e 4 8 c f o r m f a c t s e t . o r g : 8 0 8 2 模 块 列 表 模 块 列 表
S t e a l t h W o r k e r _ W o r k e r P M A _ c h e c k _ D e t e c t C M S S t e a l t h W o r k e r _ W o r k e r P M A _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r W P _ c h e c k _ u s e r E n u m e r a t e S t e a l t h W o r k e r _ W o r k e r W P _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r W P _ b r u t _ c h e c k B r u t O k S t e a l t h W o r k e r _ W o r k e r W P _ b r u t _ _ p t r _ W P _ L o g i n S t e a l t h W o r k e r _ W o r k e r W P _ b r u t _ _ p t r _ W P _ L o g i n S t e a l t h W o r k e r _ W o r k e r W P _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r W P _ b r u t _ _ p t r _ W P _ H t t p C l i e n t S t e a l t h W o r k e r _ W o r k e r W H M _ c h e c k _ D e t e c t C M S S t e a l t h W o r k e r _ W o r k e r W H M _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ c h e c k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r J o o m l a _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r J o o m l a _ c h e c k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r D r u p a l _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r D r u p a l _ c h e c k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r C p a n e l _ c h e c k _ D e t e c t C M S S t e a l t h W o r k e r _ W o r k e r C p a n e l _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r C p a n e l _ c h e c k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r F T P _ c h e c k _ S c a n P o r t S t e a l t h W o r k e r _ W o r k e r F T P _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r F T P _ c h e c k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r P M A _ b r u t _ _ p t r _ I n s t a n c e _ H t t p C l i e n t S t e a l t h W o r k e r _ W o r k e r P M A _ b r u t _ _ p t r _ I n s t a n c e _ T r y L o g i n S t e a l t h W o r k e r _ W o r k e r P M A _ b r u t _ _ p t r _ I n s t a n c e _ T r y L o g i n S t e a l t h W o r k e r _ W o r k e r P M A _ b r u t _ I n s t a n c e _ C h e c k S u c c e s s F u l l S t e a l t h W o r k e r _ W o r k e r P M A _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r P M A _ b r u t _ _ p t r _ I n s t a n c e _ C h e c k S u c c e s s F u l l S t e a l t h W o r k e r _ W o r k e r C p a n e l _ b r u t _ B r u t S t e a l t h W o r k e r _ W o r k e r C p a n e l _ b r u t _ W o r k e r
S t e a l t h W o r k e r _ W o r k e r W H M _ b r u t _ B r u t S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ b r u t _ b a s i c A u t h S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ b r u t _ B r u t R S S S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ b r u t _ B r u t P a n e l S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ b r u t _ B r u t D o w n l o a d e r S t e a l t h W o r k e r _ W o r k e r M a g e n t o _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r J o o m l a _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r D r u p a l _ b r u t _ _ p t r _ W P _ L o g i n S t e a l t h W o r k e r _ W o r k e r D r u p a l _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r S S H _ b r u t _ E x e _ c m d S t e a l t h W o r k e r _ W o r k e r S S H _ b r u t _ c h e c k _ h o n e y p o t S t e a l t h W o r k e r _ W o r k e r S S H _ b r u t _ B r u t S t e a l t h W o r k e r _ W o r k e r S S H _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r S S H _ b r u t _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r S S H _ b r u t _ E x e _ c m d _ f u n c 1 S t e a l t h W o r k e r _ W o r k e r F T P _ b r u t _ B r u t S t e a l t h W o r k e r _ W o r k e r F T P _ b r u t _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r F T P _ b r u t _ C h e c k F a l s e P o s i t i v e S t e a l t h W o r k e r _ W o r k e r F T P _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r F T P _ b r u t _ W o r k e r _ f u n c 1 S t e a l t h W o r k e r _ W o r k e r M y s q l _ b r u t _ B r u t S t e a l t h W o r k e r _ W o r k e r M y s q l _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r P o s t g r e s _ b r u t _ B r u t S t e a l t h W o r k e r _ W o r k e r P o s t g r e s _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r P o s t g r e s _ b r u t _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r B a c k u p _ f i n d e r _ H t t p C h e c k S t e a l t h W o r k e r _ W o r k e r B a c k u p _ f i n d e r _ W o r k e r S t e a l t h W o r k e r _ W o r k e r B i t r i x _ b r u t _ _ p t r _ W P _ L o g i n S t e a l t h W o r k e r _ W o r k e r B i t r i x _ b r u t _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r B i t r i x _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r B i t r i x _ b r u t _ _ p t r _ W P _ H t t p C l i e n t
S t e a l t h W o r k e r _ W o r k e r B i t r i x _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r O p e n c a r t _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r O p e n c a r t _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r O p e n c a r t _ b r u t _ n e w f i l e U p l o a d R e q u e s t S t e a l t h W o r k e r _ W o r k e r O p e n c a r t _ b r u t _ _ p t r _ W P _ H t t p C l i e n t S t e a l t h W o r k e r _ W o r k e r H t p a s s w d _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r H t p a s s w d _ b r u t _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r H t p a s s w d _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r A d m i n F i n d e r _ G e t P a g e S t e a l t h W o r k e r _ W o r k e r A d m i n F i n d e r _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r A d m i n F i n d e r _ W o r k e r S t e a l t h W o r k e r _ W o r k e r _ W p I n s t a l l _ f i n d e r _ W o r k e r S t e a l t h W o r k e r _ W o r k e r _ W p I n s t a l l _ f i n d e r _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r _ w p M a g O c a r t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r _ W o o C h k _ u s e r E n u m e r a t e S t e a l t h W o r k e r _ W o r k e r _ W o o C h k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r _ W o o C h k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r Q n a p _ c h e c k _ W o r k e r S t e a l t h W o r k e r _ W o r k e r Q n a p _ c h e c k _ s a v e G o o d S t e a l t h W o r k e r _ W o r k e r Q n a p _ b r u t _ S a v e G o o d S t e a l t h W o r k e r _ W o r k e r Q n a p _ b r u t _ W o r k e r S t e a l t h W o r k e r _ W o r k e r Q n a p _ b r u t _ n e w f i l e U p l o a d R e q u e s t S t e a l t h W o r k e r _ W o r k e r Q n a p _ b r u t _ H t t p C l i e n t * 参 考 来 源 ： 参 考 来 源 ： Y o r o i ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理