搜索

[16024] 2020-10-29_Rudeminer&Blacksquid&Lucifer恶意软件分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-10-29_Rudeminer&Blacksquid&Lucifer恶意软件分析 R u d e m i n e r & B l a c k s q u i d & L u c i f e r 恶 意 软 件 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 0 - 2 9 写 在 前 面 的 话 写 在 前 面 的 话 L u c i f e r 是 一 款 W i n d o w s 加 密 货 币 及 D D o S 恶 意 软 件 ， 就 在 三 个 月 前 ， 研 究 人 员 发 布 了 一 份 报 告 并 详 细 介 绍 了 该 恶 意 软 件 的 活 动 。 近 期 ， 我 们 发 现 该 活 动 背 后 的 攻 击 者 原 来 早 在 2 0 1 8 年 就 开 始 了 他 们 的 网 络 攻 击 活 动 。 早 期 的 L u c i f e r 只 是 一 个 以 W i n d o w s 系 统 为 目 标 的 能 够 自 我 传 播 的 挖 矿 软 件 ， 但 现 在 它 已 经 进 化 成 了 一 个 针 对 L i n u x 和 物 联 网 设 备 的 多 平 台 多 体 系 架 构 的 恶 意 软 件 了 。 从 T h r e a t C l o u d 收 集 的 数 据 来 看 ， 美 国 、 爱 尔 兰 、 荷 兰 、 土 耳 其 和 印 度 境 内 的 2 5 个 组 织 最 近 受 到 了 攻 击 ， 而 受 攻 击 的 组 织 来 自 于 多 个 领 域 ， 包 括 制 造 业 、 法 律 、 保 险 业 以 及 银 行 业 等 等 。 目 前 L u c i f e r 针 对 物 联 网 设 备 的 攻 击 主 要 是 通 过 利 用 漏 洞 C V E - 2 0 1 8 - 1 0 5 6 1 实 现 的 ， 主 要 目 标 就 是 未 安 装 补 丁 的 D a s a n   G P O N 路 由 器 设 备 。 这 款 恶 意 软 件 具 有 多 种 功 能 ， 比 如 说 执 行 多 种 类 型 的 D D o S 攻 击 ， 能 够 下 载 和 执 行 文 件 的 完 整 命 令 和 控 制 操 作 ， 执 行 远 程 命 令 ， 使 用 X m r i g   m i n e r 进 行 门 罗 币 挖 掘 以 及 通 过 各 种 攻 击 技 术 在 W i n d o w s 系 统 中 自 我 传 播 等 等 。 根 据 本 文 所 呈 现 的 技 术 细 节 来 看 ， 这 款 恶 意 软 件 还 将 会 继 续 升 级 更 新 ， 并 在 将 来 引 入 更 多 的 攻 击 功 能 以 提 升 其 盈 利 能 力 。 恶 意 活 动 分 析 恶 意 活 动 分 析 攻 击 一 开 始 是 由 攻 击 者 入 侵 的 服 务 器 来 发 起 的 ， 下 图 中 显 示 的 是 一 个 多 平 台 的 针 对 W i n d o w s 、 L i n u x 和 物 联 网 设 备 的 感 染 链 。 图 中 的 W i n d o w s 设 备 在 受 感 染 之 后 会 继 续 向 内 网 以 及 外 网 设 备 传 播 恶 意 软 件 ： 下 面 给 出 的 是 恶 意 软 件 中 一 些 有 趣 的 字 符 串 序 列 ： 在 对 这 些 字 符 串 进 行 深 入 分 析 之 后 ， 我 们 还 发 现 了 一 个 名 为 B l a s k S q u i d 和 一 个 名 为 R u d e m i n e r / S p r e a d m i n e r 的 攻 击 活 动 。 下 图 显 示 的 是 X M R 钱 包 跟 这 三 个 活 动 之 间 的 现 金 流 关 系 ， 这 也 表 明 了 这 两 个 恶 意 活 动 跟 L u c i f e r 之 间 的 关 系 ：
我 们 所 发 现 的 B l a c k S q u i d 样 本 使 用 了 上 图 中 的 第 一 个 钱 包 ， 而 另 一 个 样 本 则 使 用 了 另 一 个 钱 包 。 这 两 个 样 本 使 用 的 是 相 同 的 互 斥 模 式 ： 第 二 个 钱 包 在 其 他 L u c i f e r 样 本 中 也 有 使 用 到 ， 因 此 我 们 可 以 将 这 两 款 恶 意 软 件 联 系 起 来 。 除 此 之 外 ， 我 们 在 对 S p r e a d m i n e r 样 本 进 行 分 析 之 后 ， 发 现 它 也 使 用 了 一 个 自 定 义 的 X M R 矿 池 ， 并 且 绑 定 的 是 第 一 个 钱 包 。 B l a c k S q u i d 活 动 所 使 用 的 X M R 钱 包 可 以 追 溯 到 2 0 1 8 年 底 ， 这 也 可 以 表 明 攻 击 者 的 活 动 很 可 能 开 始 得 更 早 。 根 据 上 述 发 现 的 信 息 ， 我 们 可 以 创 建 下 列 时 间 轴 ： 我 们 在 该 恶 意 软 件 的 L i n u x 变 种 中 还 发 现 了 另 一 个 有 趣 的 字 符 串 ： 我 们 认 为 这 个 字 符 串 跟 一 款 名 叫 “ R u d e ” 的 恶 意 软 件 有 关 ， 这 也 表 明 该 活 动 背 后 的 攻 击 者 已 经 活 跃 超 过 一 年 半 了 ， 而 且 一 直 在 升 级 和 更 新 恶 意 软 件 代 码 库 。 公 开 数 据 显 示 ， L u c i f e r 活 动 大 约 涉 及 到 1 8 . 6 4 3 4 5 6 5 2 0 4 9 6 个 门 罗 币 ， 约 合 1 7 6 9 美 元 。 由 于 旧 的 X M R 钱 包 已 经 被 封 ， 所 以 我 们 无 法 判 断 B l a c k S q u i d 和 S p r e a d m i n e r 活 动 所 涉 及 到 的 金 钱 数 额 。 而 额 外 的 D D o S 攻 击 功 能 表 明 ， 攻 击 者 还 在 寻 求 其 他 的 恶 意 软 件 盈 利 方 式 。 W i n d o w s 版 本 的 自 我 传 播 功 能 主 要 依 赖 的 是 公 开 可 利 用 的 漏 洞 以 及 暴 力 破 解 技 术 。 随 着 时 间 的 推 移 ， W i n d o w s 版 本 的 自 我 传 播 功 能 也 进 行 了 改 进 。 新 活 动 的 首 个 样 本 于 2 0 2 0 年 2 月 份 被 上 传 到 了 V i r u s T o t a l ， 而 唯 一 一 个 A R M 样 本 也 在 2 0 2 0 年 5 月 1 0 日 上 传 到 了 V i r u s T o t a l ： 这 个 样 本 并 没 有 被 检 测 为 具 有 恶 意 性 ， 这 个 A R M 样 本 只 具 备 D D o S 功 能 ， 而 且 跟 L i n u x 样 本 的 行 为 有 很 大 区 别 ， 很 可 能 是 因 为 攻 击 者 只 是 相 对 物 联 网 设 备 进 行 攻 击 吧 。 C 2 服 务 器 有 一 个 公 开 可 访 问 的 H F S 服 务 器 ， 可 以 帮 助 我 们 了 解 攻 击 活 动 的 发 展 情 况 ： B l a c k s q u i d X M R s t r a t u m + t c p : / / [ M i n e r   p o o l   a d d r e s s ] : [ p o r t ]
攻 击 活 动 一 直 都 在 不 断 进 化 并 发 布 新 的 恶 意 软 件 ， 其 中 上 传 的 “ o f f i c e . e x e ” 和 ” s b 3 6 0 . . e x e ” 可 执 行 文 件 是 远 程 访 问 工 具 （ R A T ） g h 0 s t 的 变 种 版 本 ， 说 明 攻 击 者 仍 然 在 扩 展 恶 意 软 件 的 功 能 。 L i n u x 、 A R M 和 M I P S 版 本 的 恶 意 软 件 还 没 有 删 除 掉 调 试 符 号 ， 因 此 我 们 通 过 研 究 之 后 ， 我 们 将 代 码 跟 一 款 名 为 “ S t o r m   A t t a c k   T o o l   V I P   2 0 0 9 ” 的 中 文 版 D D o S 软 件 联 系 起 来 ， 而 这 款 软 件 是 可 以 直 接 在 很 多 中 文 开 源 网 站 中 直 接 获 取 到 的 。 值 得 一 提 的 是 ， 新 版 本 的 恶 意 软 件 所 执 行 的 所 有 D D o S 攻 击 都 是 通 过 这 款 软 件 实 现 的 。 总 结 总 结 正 如 我 们 在 本 文 中 介 绍 的 ， 这 个 攻 击 活 动 目 前 仍 在 发 展 进 化 之 中 ， 以 实 现 更 多 的 传 播 和 盈 利 方 式 。 由 于 很 多 设 备 并 不 会 进 行 及 时 更 新 ， 因 此 攻 击 者 仍 然 可 以 使 用 已 知 的 攻 击 来 感 染 机 器 和 实 现 自 我 传 播 ， 再 加 上 弱 密 码 的 问 题 ， 导 致 暴 力 破 解 攻 击 将 会 变 得 非 常 轻 松 有 效 。 本 文 发 稿 时 ， 最 新 版 本 恶 意 软 件 的 平 台 架 构 和 功 能 特 性 如 下 图 所 示 ： 入 侵 威 胁 指 标 入 侵 威 胁 指 标 I o C C 2 ： ： L i n u x 样 本 ： 样 本 ： A R M 样 本 ： 样 本 ： 门 罗 币 钱 包 ： 门 罗 币 钱 包 ： 精 彩 推 荐 精 彩 推 荐 1 2 2 [ . ] 1 1 2 [ . ] 1 7 9 [ . ] 1 8 9 g u y e y u y u [ . ] c o m q i a n d u o d u o [ . ] p w q f 2 0 2 0 [ . ] t o p t y z 2 0 2 0 [ . ] t o p 5 3 c 2 a 0 f 3 c 3 7 7 5 1 1 1 c b f 8 c 0 9 c d 6 8 5 e 4 4 a 4 3 4 b d d 2 d 4 d c 0 b 9 a f 1 8 2 6 6 0 8 3 f b 4 b 4 1 e 8   8 2 9 3 4 e d 1 f 4 2 9 8 6 b d a d 8 e 7 8 0 4 9 e 2 7 f c b 0 b 8 e 4 3 a 5 b 0 b 9 3 3 2 a a 9 1 3 b 9 0 1 c 7 3 4 4 c b c 6   e b c a e d 7 8 a a b 7 b 6 9 1 7 3 5 b b 3 3 d 5 c 3 3 d d 6 d d 4 4 7 a 0 a 5 3 8 f f 8 4 d 0 d 1 1 5 c 2 b 3 5 8 3 1 d 4 3 d   d 9 f 1 8 7 8 b 0 2 9 2 0 2 1 9 5 e 0 a e e f b 8 4 0 6 e a 1 3 d 1 e d 5 7 f 8 0 4 2 6 3 6 8 5 8 d f d 7 1 f 2 0 4 c a 0 b 0 5   7 c a f 6 f 6 7 3 d 2 2 4 e f f a 2 0 7 c 3 b 3 f 9 a 0 c e 6 5 e a b e 6 0 2 3 0 f b c 7 0 e 5 2 0 9 1 f 0 e 2 f 3 c 1 f 0 9 c   b c d a d f 4 9 3 0 a b a b 3 7 7 3 d f 1 c 1 8 4 f d 2 b 6 f a 3 4 b 5 c b 8 5 4 3 1 7 7 d 7 6 d a f 2 b 9 f 7 c 1 f 3 6 c 4 f   E C A 3 E 0 D E 0 A 9 F A 7 C A C 7 5 6 1 7 C 5 7 8 3 9 E 7 D 6 2 C 5 3 E 4 6 9 0 4 8 3 C 0 8 A 8 4 9 E 6 2 4 A 2 C 7 9 D 8 D 9   4 9 A 8 F 1 F 9 A 7 7 1 2 8 3 7 7 1 E 5 7 3 3 E F 0 5 C 3 D 5 2 5 8 0 6 3 1 8 E E C 7 C 8 2 A 0 4 9 E E 2 B 0 5 B 4 2 5 9 2 0 4 3 e a 5 6 b c f 8 9 7 c b 8 9 0 9 8 6 9 e 1 b f c 3 5 f 4 7 e 1 c 8 a 4 5 4 d d 8 9 1 c 5 3 9 6 9 4 2 c 1 2 5 5 a a 0 9 b 0 c e 4 4 y g o 7 V f w E Y d E b e 1 r u y Z N L f r V 1 9 s n k 3 R E Q p f b 5 L U 9 Y x f 9 8 z 7 W s 9 E Z P P b U g v o z Z y f Y X C b 3 v s R J R T 8 w T G e 3 F i p s L b 9 3 N a D U L N   4 5 s e p 7 9 A s u w c j z 8 d L T u 7 X t J B T X 7 y Y f 7 u o 6 q T 9 y m F B Q X v 8 g j Z s D P y d 4 6 H o h 6 D M 8 p A X k L n s w 9 U 7 v e Z W U 1 D q M j K R o r y A n 3 z E q 1   4 3 V q b H t u o o i N C 8 r M E e o i B 6 L z U T y B f P a u p 3 D x A U x R x m q o 2 f G R D G k y z x 6 8 e h d h 4 3 Z b n 5 L H w d F A c z t s k Q W 2 b A o x M t m - N w J D i 7 R   4 A f A d 5 h s d M W b u N y G b F J V Z j c M L e K H v r X n T 1 5 5 D W h 8 q G k Y R P b V G K B T 9 q 1 Z 5 g c F X q m w U u h 2 K h 6 t 2 s T n H X P y s Y r G f 2 m - K q B w z 9 e   4 8 S 6 v Z m W 2 6 k C c h f 4 4 d m b k Q Y 8 7 i V B Z 9 h k u V a R j y F n i W V c S 8 g S U K j c g P U W F U p 7 z 9 W w V x 7 F k M P 2 i G U E F L p G Q d T j i p 5 U 6 N E B p A 6
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理