搜索

[10705] 2016-11-11_一次XorDDos变种样本的分析实战记录(附工具下载）

文档创建者：s7ckTeam
浏览次数：22
最后更新：2025-01-18
2016-11-11_一次XorDDos变种样本的分析实战记录(附工具下载） 一 次 X o r D D o s 变 种 样 本 的 分 析 实 战 记 录 ( 附 工 具 下 载 ） 熊 猫 正 正   F r e e B u f   2 0 1 6 - 1 1 - 1 1 * 本 文 原 创 作 者 ： 熊 猫 正 正   ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 一 、 起 因 一 、 起 因 上 周 五 晚 上 ， 前 同 事 丢 给 我 一 个 样 本 ， 让 我 帮 他 分 析 一 下 ， 周 未 有 事 也 没 时 间 看 ， 只 是 把 样 本 丢 到 上 周 五 晚 上 ， 前 同 事 丢 给 我 一 个 样 本 ， 让 我 帮 他 分 析 一 下 ， 周 未 有 事 也 没 时 间 看 ， 只 是 把 样 本 丢 到 V T 上 扫 了 扫 ， 报 上 扫 了 扫 ， 报 X o r D D o s . 2 ， 原 来 是 ， 原 来 是 1 4 年 就 出 现 的 年 就 出 现 的 X o r D D o s 样 本 的 变 种 ， 晚 上 没 玩 样 本 的 变 种 ， 晚 上 没 玩 L O L ， 把 样 本 详 细 分 析 一 下 ， 写 了 这 篇 报 告 ， 欢 迎 学 习 交 流 ， 顺 ， 把 样 本 详 细 分 析 一 下 ， 写 了 这 篇 报 告 ， 欢 迎 学 习 交 流 ， 顺 便 赚 点 奶 粉 钱 ， 呵 呵 。 便 赚 点 奶 粉 钱 ， 呵 呵 。 二 、 样 本 简 介 二 、 样 本 简 介 X o r D D o s 类 型 样 本 主 要 特 点 ， 用 暴 力 猜 解 目 标 机 器 s s h 弱 密 码 的 方 式 ， 入 侵 目 标 机 器 ， 然 后 执 行 相 应 的 s h e l l 脚 本 ， 安 装 病 毒 到 目 标 机 器 ， 将 目 标 机 器 变 为 D D o s 肉 鸡 ， 然 后 病 毒 利 用 多 线 程 发 起 D D O S 攻 击 。 被 安 装 的 病 毒 会 通 过 f o r k 结 束 掉 父 进 程 ， 删 除 自 身 ， 并 拷 贝 自 身 到 各 个 系 统 目 录 下 执 行 创 建 多 个 守 护 进 程 ， 样 本 在 拷 贝 的 过 程 中 运 用 了 简 单 的 “ 多 态 ” 处 理 方 式 ， 随 机 生 成 相 应 的 文 件 名 ， 随 机 m d 5 变 换 等 。 拷 贝 完 成 之 后 加 载 自 启 动 服 务 ， 根 据 获 取 到 操 系 统 内 核 版 本 信 息 安 装 r o o t k i t , p 实 现 隐 藏 网 络 端 口 ， 文 件 等 ， 最 后 通 过 多 种 方 式 发 起 D D o s 攻 击 。
三 、 详 细 分 析 三 、 详 细 分 析 首 先 查 看 文 件 类 型 ， 如 下 ： 从 图 中 我 们 可 以 得 知 ， 文 件 是 l i n u x 3 2 位 可 执 行 程 序 ， 通 过 i d a 反 编 译 程 序 ， m a i n 函 数 如 下 ：         病 毒 首 先 设 置 相 应 环 境 变 量 ， 从 上 面 的 代 码 中 我 们 可 以 看 到 里 面 有 一 个 d e c _ c o n f 函 娄 ， 用 于 解 密 字 符 串 ， 得 到 相 应 的 文 件 路 径 ， 下 载 地 址 等 信 息 ， 解 密 函 数 如 下 ：
查 看 i d a 里 的 x o r k e y s ， 我 们 得 到 了 它 的 加 解 密 k e y 为 ： B B 2 F A 3 6 A A A 9 5 4 1 F 0 ， 我 们 来 用 e d b 动 态 调 试 一 下 看 看 ， 打 开 e d b 加 载 样 本 ， 跟 踪 到 m a i n 函 数 ， 如 图 所 示 ： 然 后 单 步 调 试 ， 解 密 相 应 的 字 符 串 ， 得 到 如 下 图 所 示 的 路 径 信 息 ：
将 m a i n 函 数 中 前 面 的 字 符 串 一 个 一 个 解 密 完 成 之 后 ， 得 到 如 下 的 解 密 字 符 串 列 表 ： 通 过 e d b 动 态 调 试 ， 我 们 将 下 面 的 一 些 字 符 串 全 部 解 密 完 成 ， 如 图 所 示 ： v 2 7   =   / u s r / b i n v 2 6   =   / b i n / v 2 5   =   / t m p / v 2 3   = / v a r / r u n / g c c . p i d v 2 2   = / l i b / l i b u d e v . s o v 2 1   =   / l i b / v 2 0   =   h t t p : / / w w w 1 . g g g t a t a 4 5 6 . c o m / d d . r a r
病 毒 通 过 解 密 d a e m o n n a m e 中 的 字 符 串 ， 得 到 如 下 命 令 行 列 表 ， 并 执 行 相 应 的 命 令 ： 然 后 病 毒 创 建 子 进 程 ， 结 束 到 父 进 程 ， 如 图 所 示 ： c a t   r e s l o v . c o n f s h b a s h s u p s   - e f l s l s   - l a n e t s t a t   - a n n e t s t a t   - a n t o p g r e p   " A " s l e e p   1 c d   / e t c e c h o " f i n d " i f c o n f i g   e t h 0 i f c o n f i g r o u t e   - n
复 制 自 身 到 相 应 的 目 录 ， 然 后 执 行 创 建 多 个 守 护 进 程 ， 并 删 除 到 自 身 ， 如 图 所 示 ：
通 过 e d b 动 态 调 试 如 下 ， 在 生 成 文 件 的 时 候 使 用 随 机 文 件 名 ， 病 毒 将 自 身 拷 贝 到 相 应 的 目 录 下 ， 如 图 所 示 ：
拷 贝 完 成 如 图 所 示 ： 病 毒 会 把 自 身 复 制 到 如 下 目 录 列 表 中 ： 复 制 完 成 之 后 ， 它 会 把 文 件 的 做 一 点 小 的 修 改 ， 使 每 个 复 制 之 后 的 m d 5 值 都 不 相 同 ， 实 现 简 单 的 多 态 变 型 ， 代 码 如 下 ： / u s r / b i n / , / l i b / l i b u d e v . s o , / b i n / , / l i b / , / t m p /
加 载 设 置 自 启 动 服 务 项 ， 如 图 所 示 ： 生 成 / e t c / i n i t . d / t m o o g s b , 文 件 内 容 如 下 ： 修 改 / e t c / c r o n . h o u r l y / g c c . s h 文 件 ， 将 下 面 的 脚 本 信 息 写 入 g c c . s h 文 件 中 ， 如 图 ：
同 时 将 / e t c / i n i t . d / t m o o g s b 文 件 拷 贝 生 成 到 相 应 的 目 录 下 ， 实 现 多 进 程 守 护 自 启 动 ， 通 过 e d b 调 试 如 下 ： 最 后 生 成 的 文 件 列 表 如 下 ： 增 加 系 统 服 务 ： c h k c o n f i g   – a d d   t m o o g s b ， 修 改 / e t c / c r o n t a b ， 修 改 后 的 c r o n t a b 内 容 如 下 ： / e t c / r c 1 . d / S 9 0 t m o o g s b / e t c / r c 2 . d / S 9 0 t m o o g s b / e t c / r c 3 . d / S 9 0 t m o o g s b / e t c / r c 4 . d / S 9 0 t m o o g s b / e t c / r c 5 . d / S 9 0 t m o o g s b / e t c / r c . d / r c 1 . d / S 9 0 t m o o g s b
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理