搜索

[12146] 2017-12-22_Linux下恶意文件大规模共性分析探讨

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-12-22_Linux下恶意文件大规模共性分析探讨 L i n u x 下 恶 意 文 件 大 规 模 共 性 分 析 探 讨 y y s e c u r i t y   F r e e B u f   2 0 1 7 - 1 2 - 2 2 * 本 文 作 者 ： 本 文 作 者 ： y y s e c u r i t y ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 有 别 于 金 融 、 政 府 环 境 使 用 w i n d o w s 及 其 配 套 设 施 ， 国 内 互 联 网 公 司 基 础 设 施 独 钟 情 于 l i n u x 系 统 ， 互 联 网 公 司 遭 遇 的 信 息 安 全 事 件 ， 如 数 据 泄 露 ， 黑 客 入 侵 ， 竞 争 对 手 行 为 等 ， 均 有 l i n u x 恶 意 文 件 的 身 影 作 祟 。 L i n u x 恶 意 文 件 在 分 析 处 置 过 程 中 ， 与 其 他 环 境 恶 意 文 件 分 析 思 路 大 体 相 同 ， 但 仍 有 其 一 些 特 有 的 特 点 困 扰 着 l i n u x 管 理 员 。 本 文 利 用 情 报 数 据 + 自 动 化 分 析 结 合 手 段 ， 为 安 全 人 员 贡 献 大 范 围 l i n u x 恶 意 文 件 的 通 用 的 ， 相 似 的 行 为 特 征 ， 了 解 背 后 黑 产 的 模 式 ， 为 净 化 网 络 环 境 贡 献 自 己 的 一 分 力 量 。 根 据 国 家 信 息 中 心 信 息 与 网 络 安 全 部 发 布 了 《 2 0 1 7 年 上 半 年 中 国 网 络 安 全 报 告 》 ， 报 告 显 示 2 0 1 7 年 1 至 6 月 已 截 获 L i n u x 病 毒 样 本 总 量 4 2 万 个 ， 远 远 超 过 了 2 0 1 3 年 、 2 0 1 4 年 和 2 0 1 5 年 的 总 和 ， 虽 然 数 量 远 差 w i n d o w s 平 台 ， 一 旦 安 装 l i n u x 的 服 务 器 遭 受 勒 索 或 被 远 控 成 为 肉 鸡 ， 预 计 造 成 的 影 响 和 经 济 损 失 将 会 非 常 惨 重 。 病 毒 文 件 的 相 似 性 分 析 检 测 手 段 由 来 已 久 ， 能 帮 助 从 已 知 的 病 毒 推 断 检 测 新 型 的 ， 变 种 的 病 毒 ， 但 由 于 L i n u x 环 境 中 的 传 播 感 染 途 径 更 为 曲 折 （ 系 统 定 制 化 程 度 更 高 ， 个 体 差 异 更 大 ） ， 黑 产 对 恶 意 代 码 可 能 针 对 性 加 入 加 壳 、 加 花 、 虚 拟 机 保 护 、 反 调 试 等 手 段 逃 避 检 测 ， 恶 意 代 码 片 段 本 身 的 相 似 性 分 析 受 到 很 多 因 素 干 扰 ， L i n u x 下 的 恶 意 文 件 查 杀 也 更 多 只 能 是 一 种 借 鉴 而 难 以 形 成 通 用 操 作 ， 如 何 有 效 度 量 恶 意 文 件 的 相 似 性 ， 提 取 出 能 协 助 用 于 预 警 和 查 杀 的 共 性 ， 也 是 本 文 关 心 的 问 题 。 0 x 0 0 .   准 备 工 作 准 备 工 作 要 实 现 本 文 的 目 的 ， 首 要 的 问 题 是 解 决 l i n u x 下 的 样 本 数 量 ， 由 于 l i n u x 恶 意 文 件 没 有   w i n d o w 的 广 泛 用 户 基 础 ， 因 此 l i n u x 环 境 下 样 本 数 量 及 种 类 相 对 较 少 ， 变 种 出 现 的 时 间 周 期 也 更 长 ， 病 毒 库 更 新 相 对 较 慢 。 得 益 于 安 全 社 区 的 努 力 ， 目 前 已 有 大 量 在 线 病 毒 库 提 供 各 类 恶 意 文 件 签 名 信 息 （ 部 分 提 供 样 本 下 载 ） ， 本 次 调 研 数 据 来 源 分 别 来 自 内 外 部 ， 收 集 下 外 部 网 站 恶 意 文 件 样 本 ： 内 部 来 源 则 从 蜜 罐 数 据 当 中 采 集 ： h t t p : / / w w w . v i r u s i g n . c o m / h t t p : / / m a l w a r e d b . m a l e k a l . c o m / h t t p s : / / v i r u s s h a r e . c o m / h t t p s : / / w w w . e x p l o i t - d b . c o m /
如 需 进 一 步 扩 大 样 本 范 围 ， 推 荐 采 用 c r i t i c a l   s t a c k   i n t e l 订 阅 m a l w a r e 相 关 f e e d   ， 收 集 更 多 的 m a l w a r e   h o s t 或 u r l ， 下 载 更 多 样 本 （ 具 体 c r i t i c a l - s t a c k - i n t e l   威 胁 情 报 订 阅 如 有 需 要 笔 者 将 另 起 文 章 介 绍 ） 最 终 整 合 内 外 部 数 据 ， 取 样 共 2 1 3 9 个 l i n u x 恶 意 文 件 样 本 ， 分 布 如 下 0 x 0 1 .   分 析 过 程 分 析 过 程 通 过 内 外 部 数 据 整 合 而 成 的 l i n u x 恶 意 文 件 库 固 然 是 服 务 管 理 员 的 福 音 ， 借 助 诸 如 M D 5 校 验 ， S s d e e p 相 似 度 计 算 等 ， 可 以 识 别 大 量 恶 意 文 件 ， 规 避 风 险 ， 但 同 时 我 们 注 意 到 两 点 ： 1 .   L i n u x 病 毒 正 呈 现 爆 发 式 的 趋 势 ， 变 种 或 新 型 病 毒 更 新 速 度 越 来 越 快 ， 对 于 多 数 非 专 业 分 析 团 队 或 公 司 而 言 ， 缺 乏 足 够 资 源 使 用 人 工 分 析 手 段 等 深 入 分 析 方 法 ； 2 .   另 一 方 面 ， 从 严 谨 的 角 度 出 发 ， 恶 意 软 件 的 定 义 并 不 存 在 唯 一 的 客 观 标 准 （ 典 型 的 例 子 ， 如 比 特 币 挖 恶 意 软 件 的 定 义 并 不 存 在 唯 一 的 客 观 标 准 （ 典 型 的 例 子 ， 如 比 特 币 挖 矿 程 序 ） ， 一 个 软 件 是 否 为 恶 意 软 件 ， 特 别 是 在 不 同 的 业 务 场 景 中 ， 仅 以 个 别 病 毒 分 析 人 员 静 态 分 析 矿 程 序 ） ， 一 个 软 件 是 否 为 恶 意 软 件 ， 特 别 是 在 不 同 的 业 务 场 景 中 ， 仅 以 个 别 病 毒 分 析 人 员 静 态 分 析 或 动 态 调 试 结 果 ， 结 论 不 够 充 分 或 动 态 调 试 结 果 ， 结 论 不 够 充 分 。 因 此 从 后 验 的 角 度 ， 只 有 当 一 个 文 件 被 确 认 做 出 了 对 系 统 完 整 性 （ 如 未 经 授 权 篡 改 系 统 文 件 ） ， 保 密 性 （ 如 非 法 提 升 权 限 ） ， 可 用 性 （ 如 非 法 发 包 占 用 资 源 ） ， 才 可 准 确 被 定 义 为 “ 恶 意 文 件 ” 。 要 使 用 后 验 判 断 的 方 式 ， 避 免 恶 意 文 件 执 行 造 成 的 风 险 ， 就 需 要 采 用 沙 箱 或 虚 拟 化 技 术 ， 本 文 综 合 使 用 了 c u c k o o ,   H a b o ,   N o r i b e n 三 种 沙 箱 ， 沙 箱 的 部 署 使 用 方
法 不 在 本 文 赘 述 。 由 于 使 用 了 沙 箱 技 术 ， 自 动 化 的 特 征 提 取 甚 至 自 动 化 检 测 成 为 可 能 ， 整 个 过 程 几 乎 不 需 要 人 工 介 入 ， 而 该 类 型 分 析 针 对 目 标 文 件 的 最 终 行 为 ， 因 此 误 判 / 漏 判 率 相 对 前 置 检 测 更 准 确 ， 对 安 全 运 维 工 作 当 中 的 恶 意 文 件 查 杀 起 到 很 好 的 补 充 作 用 。 文 件 的 执 行 行 为 ， 从 大 的 方 面 可 以 划 分 为 本 机 + 网 络 ， 在 本 机 当 中 的 行 为 又 可 进 一 步 细 分 为 读 、 写 操 作 ， 具 有 共 性 的 行 为 包 括 ： a .   进 程 几 乎 都 具 备 自 我 复 制 功 能 ， 如 进 程 几 乎 都 具 备 自 我 复 制 功 能 ， 如 c l o n e   s y s c a l l ,   f o r k 或 或 v f o r k 等 行 为 等 行 为 b .   在 可 执 行 文 件 目 录 当 中 ， 生 成 随 机 在 可 执 行 文 件 目 录 当 中 ， 生 成 随 机 1 0 位 字 母 组 成 的 文 件 位 字 母 组 成 的 文 件 c .   自 删 除 或 自 锁 定 行 为 ， 多 见 于 自 删 除 或 自 锁 定 行 为 ， 多 见 于 B a c k d o o r .   L i n u x 家 族 ， 如 把 自 己 伪 装 成 正 常 文 件 移 动 到 家 族 ， 如 把 自 己 伪 装 成 正 常 文 件 移 动 到   / U b u n t u   , / u b u n t u / f r e e B S D 或 或 / u s r / b i n / b s d - p o r t 目 录 下 目 录 下 e .   T r o j a n - D D o S   家 族 的 病 毒 把 它 们 对 外 发 包 攻 击 所 需 要 的 库 写 入 家 族 的 病 毒 把 它 们 对 外 发 包 攻 击 所 需 要 的 库 写 入 / l i b / l i b u d e v 4 . s o 文 件 当 中 文 件 当 中 e .   替 换 系 统 命 令 ， 高 频 的 包 括 替 换 系 统 命 令 ， 高 频 的 包 括 p s ,   n e t s t a t ,   g e t t y f .   为 确 保 病 毒 进 程 逃 避 查 杀 ， 定 时 唤 起 ， 新 增 定 时 任 务 为 确 保 病 毒 进 程 逃 避 查 杀 ， 定 时 唤 起 ， 新 增 定 时 任 务 / e t c / c r o n . h o u r l y / g c c 4 . s h 网 络 上 ， 恶 意 文 件 执 行 后 马 上 通 过 恶 意 文 件 执 行 后 马 上 通 过 8 . 8 . 8 . 8   D N S 请 求 解 析 域 名 ， 尝 试 对 外 建 立 请 求 解 析 域 名 ， 尝 试 对 外 建 立 c o n n e c t ， 截 获 域 名 示 例 如 下 ： h t t p s : / / c u c k o o s a n d b o x . o r g / h t t p s : / / g i t h u b . c o m / T e n c e n t / H a b o M a l H u n t e r / h t t p s : / / g i t h u b . c o m / R u r i k / N o r i b e n / u s r / b i n / a j n e f f q s d g / u s r / b i n / v w e m u j h r e c / u s r / b i n / a d r w p s j z g x / u s r / b i n / y n j d o z z w i x / u s r / b i n / t k e l z u j b z v / u s r / b i n / e a k s k m x j t m / u s r / b i n / p d c o f x m o w w / u s r / b i n / q g a z k i a j s p / u s r / b i n / f s r l j y q b m w / u s r / b i n / p d c o f x m o w w / u s r / b i n / k y d n b a z o p w / u s r / b i n / w q e w c y g w t d / u s r / b i n / l a r m f z c g p c / u s r / b i n / b k g b d d c v g r / u s r / b i n / g v n m f h f v t x / u s r / b i n / r l w z a z m i s e . . .   . . .
经 进 一 步 核 查 ， 连 接 域 名 均 为 恶 意 域 名 ， 虽 然 恶 意 域 名 服 务 商 、 对 应 I P 存 在 为 数 不 少 的 国 外 服 务 商 及 国 外 I P ， 但 手 工 抽 查 大 量 样 本 背 后 发 现 注 册 信 息 均 为 中 国 身 份 ， 其 中 不 乏 登 记 注 册 信 息 为 x x 科 技 ， x x 信 息 有 限 公 司 等 ， 印 证 了 中 国 黑 产 势 力 的 蓬 勃 ， 及 经 营 上 呈 现 规 模 化 ， 产 业 化 的 趋 势 。 * 特 别 鸣 谢 微 步 在 线 特 别 鸣 谢 微 步 在 线   （ （ h t t p s : / / x . t h r e a t b o o k . c n / ） ）   提 供 安 全 情 报 提 供 安 全 情 报   根 据 已 建 立 起 的 部 分 连 接 可 以 发 现 ， 远 控 端 有 可 能 采 用 的 是 一 种 通 用 管 理 信 息 协 议 （ C M I S / C M I P ） 对 僵 尸 网 络 进 行 管 理 和 指 令 发 布 ， 由 于 远 控 端 连 接 的 是 1 6 4 端 口 ， 猜 测 远 控 端 只 是 黑 客 控 制 链 中 的 一 环 ， 而 非 真 实 操 作 环 境 ， 增 加 了 溯 源 的 难 度 。 因 此 恶 意 域 名 的 解 析 请 求 数 量 将 会 是 有 价 值 的 指 标 ， 对 恶 意 域 名 的 解 析 请 求 数 量 的 飙 升 ， 可 能 预 示 着 入 侵 或 攻 击 事 g h . d s a j 2 a 1 . o r g 0 o 5 5 7 . c o m s y n . 1 2 3 n a t . c o m w w w . j k x 3 . c o m 6 6 . 1 0 2 . 2 5 3 . 3 0 4 3 . 2 5 4 . 2 1 8 . 6 4 w w w . s y n u . t o p q u a n q i u z h u a n s h u . t o p g e t l i n u u x . w i n v 1 n s . 9 k p k . c o m d d o s . k h q y . n e t . w e i k e 7 7 . c o m w w w . 3 z g i . c o m h . m 0 6 6 2 . c o m g a m e 8 2 2 8 . c n q i a n g j i a n n i d e a i . t o p . . .   . . .
件 。 值 得 注 意 的 是 ， 部 分 带 有 值 得 注 意 的 是 ， 部 分 带 有 S p y w a r e 属 性 的 病 毒 家 族 ， 如 属 性 的 病 毒 家 族 ， 如 L i n u x .   G o r a m ,   L i n u x .   E n c P k . B E 等 ， 还 会 自 动 随 机 地 对 等 ， 还 会 自 动 随 机 地 对 内 网 地 址 或 二 层 地 址 进 行 横 向 渗 透 ， 针 对 端 口 包 括 内 网 地 址 或 二 层 地 址 进 行 横 向 渗 透 ， 针 对 端 口 包 括 5 3 ， ，   1 2 3 ， ， 1 3 7 ， ， 1 3 8 ， ， 1 3 9 ， ， 3 8 9 等 。 等 。 0 x 0 2 .   建 议 及 后 续 工 作 笔 者 从 事 安 全 运 维 工 作 ， 安 全 运 维 中 的 恶 意 文 件 防 范 和 防 病 毒 公 司 的 病 毒 分 析 工 作 ， 两 者 的 性 质 和 工 作 重 心 还 是 存 在 明 显 的 差 异 。 从 安 全 运 维 角 度 而 言 ， 特 别 是 L i n u x 服 务 器 反 恶 意 文 件 ， 在 技 术 的 基 础 上 需 要 考 虑 更 多 的 管 理 因 素 ， 对 快 速 响 应 的 能 力 要 求 也 更 高 ， 本 文 发 现 带 来 的 启 发 包 括 ： （ 1 ） 建 立 自 身 的 黑   /   白 名 单 库 （ 含 恶 意 文 件 及 恶 意 域 名 ） ； （ 2 ） 对 关 键 系 统 命 令 ， 关 键 目 录 ， 定 时 任 务 进 行 完 整 性 校 验 （ 3 ） 监 控 异 常 文 件 命 名 （ 4 ） 关 注 D N S 请 求 ， 判 断 是 否 有 可 疑 域 名 （ 5 ） 来 自 内 网 的 扫 描 流 量 既 可 能 来 自 别 有 用 心 的 用 户 ， 也 可 能 来 自 恶 意 文 件 ， 应 予 以 重 视 * 本 文 作 者 ： 本 文 作 者 ： y y s e c u r i t y ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理