搜索

[14197] 2019-06-06_一起僵尸网络进行大规模DDoS攻击的样本分析

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2019-06-06_一起僵尸网络进行大规模DDoS攻击的样本分析 一 起 僵 尸 网 络 进 行 大 规 模 D D o S 攻 击 的 样 本 分 析 S a m p s o n   F r e e B u f   2 0 1 9 - 0 6 - 0 6 一 、 背 景 一 、 背 景 最 近 突 然 发 现 服 务 器 出 现 流 量 异 常 ， 十 分 卡 顿 ， 通 过 最 近 突 然 发 现 服 务 器 出 现 流 量 异 常 ， 十 分 卡 顿 ， 通 过 t o p 命 令 查 看 内 存 使 用 情 况 ， 发 现 可 疑 的 进 程 ： 命 令 查 看 内 存 使 用 情 况 ， 发 现 可 疑 的 进 程 ： 通 过 k i l l   - 9   p i d ( 1 1 6 2 1 8 ) 命 令 杀 掉 后 又 启 动 新 的 进 程 ， 名 字 更 换 了 ： 查 看 e t c / c r o n t a b 定 时 任 务 发 现 定 时 任 务 / 3   *   r o o t   e t c / c r o n . h o u r l y / g c c . s h ， 每 3 分 钟 执 行 一 次 以 下 脚 本 ： 查 看 g c c . s h 脚 本 ， 可 以 看 到 脚 本 内 容 ， 该 脚 本 的 功 能 是 打 开 网 卡 ， 然 后 启 动 l i b u d e v . s o ， 并 启 动 多 个 进 程 来 监 控 l i b u d e v . s o 进 程 是 否 被 查 杀 ， 如 果 被 杀 掉 了 ， 会 再 次 拷 贝 l i b u d e v . s o 执 行 ， 而 且 每 次 启 动 都 会 更 换 进 程 名 ， 给 查 杀 带 来 了 难 度 。 二 、 样 本 介 绍 二 、 样 本 介 绍 样 本 基 本 信 息 ： 样 本 名 称 样 本 名 称 l i b u d e v . s o 样 本 类 型 样 本 类 型 E L F   3 2 - b i t   L S B   e x e c u t a b l e ,   I n t e l   8 0 3 8 6 ,   v e r s i o n   1   ( S Y S V ) ,   s t a t i c a l l y   l i n k e d ,   f o r   G N U / L i n u x   2 . 6 . 9 ,   n o t   s t r i p p e d 样 本 大 小 样 本 大 小 6 6 2 8 4 0 M D 5 7 d 4 4 7 5 7 d 8 0 9 6 4 1 6 4 6 e 0 2 a b 7 6 e d 9 3 e d e 8 S H A 2 5 6 0 9 7 2 6 8 8 7 1 1 1 6 1 e 3 4 7 d 0 8 c e 1 c 9 3 1 e b 4 1 9 0 4 f c 6 f 4 e 4 7 6 4 5 4 8 e 1 f 1 4 d a 1 3 2 a 0 d 1 b 5 d 传 播 方 式 传 播 方 式 S S H 爆 破 ， 远 程 下 载 执 行 所 属 家 族 所 属 家 族 X o r D D o S 三 、 详 细 分 析 三 、 详 细 分 析
i 3 3 0 6 m 样 本 运 行 后 ， 首 先 通 过 g e t _ s e l f 调 用 r e a d l i n k 来 获 取 当 前 样 本 的 运 行 路 径 ： 该 样 本 内 置 了 一 个 X O R 加 解 密 算 法 ， 对 字 符 串 进 行 解 密 ： X O R 解 密 密 钥 为 “ B 2 F A 3 6 A A A 9 5 4 1 F 0 ” ： 通 过 I D A 动 态 调 试 监 听 参 数 a 1 ， 获 取 解 密 字 符 串 ： 解 密 的 字 符 串 如 下 ， h t t p : / / w w w . s 9 x k 3 2 c . c o m / c o n f i g . r a r 为 配 置 文 件 ： 解 密 出 来 的 l i n u x 系 统 命 令 如 下 ， 这 些 字 符 串 会 在 后 面 用 于 创 建 文 件 、 拷 贝 文 件 盒 系 统 命 令 等 ：
D e l S e r v i c e ( ) 函 数 的 功 能 是 删 除 病 毒 自 启 动 服 务 ， 并 且 删 除 / e t c / r c . d /   的 S 9 0 文 件 都 是 指 向 / e t c / i n i t . d / 里 的 启 动 脚 本 的 软 链 接 ， 从 r c 1 . d 一 直 到 r c 5 . d 。 创 建 / u s r / b i n / ， / b i n / ， / t m p / 三 个 目 录 。 在 之 前 解 密 出 的 系 统 路 径 / u s r / b i n / ， / b i n / ， / t m p / 下 复 制 自 身 并 执 行 ， 并 通 过 在 尾 部 添 加 1 0 个 随 机 字 符 的 方 式 ， 使 得 自 身 的 h a s h 值 每 次 都 不 同 ， 用 于 对 抗 检 查 h a s h 值 这 一 类 的 扫 描 。 A d d S e r v i c e ( ) 函 数 代 码 尝 试 将 自 身 作 为 服 务 写 入 到 系 统 启 动 目 录 下 ， 使 每 次 样 本 都 能 随 着 系 统 自 启 动 。
远 程 服 务 器 上 下 载 的 g c c . s h 脚 本 ， 写 入 本 地 c r o n t a b ， 作 为 定 时 任 务 执 行 ， 每 3 分 钟 检 测 程 序 是 否 运 行 ， 如 果 不 存 在 就 继 续 执 行 拷 贝 并 运 行 。 样 本 自 身 还 携 带 了 一 个 r o o t k i t 模 块 ， 通 过 H i d e P i d P o r t 、 H i d e F i l e 对 端 口 、 文 件 进 行 隐 藏 。 然 后 创 建 3 个 线 程 ， 分 别 执 行 不 同 的 任 务 ： k i l l _ p r o c e s s 线 程 的 功 能 是 监 听 配 置 文 件 c o n f i g . r a r 是 否 下 载 成 功 ， 如 果 下 载 完 成 ， 读 取 每 行 的 内 容 ， 根 据 判 断 条 件 对 相 应 进 程 进 行 查 杀 。
t c p _ t h r e a d 线 程 的 功 能 是 获 取 受 控 主 机 的 信 息 ， 然 后 发 送 回 来 ： d a e m o n _ g e t _ k i l l _ p r o c e s s 线 程 的 功 能 是 通 过 h t t p _ d o w n l o a d _ m e m ( ) 函 数 下 载 配 置 文 件 k i l l _ c f g ， 然 后 解 密 配 置 文 件 ， 休 眠 1 8 0 0 s ， 继 续 执 行 该 操 作 ： 在 t c p _ t h r e a d 线 程 中 ， 有 一 个 e x e c _ p a c k e t 函 数 ， 控 制 肉 鸡 向 目 标 主 机 发 起 D D o S 攻 击 ， 更 具 不 同 的 参 数 设 置 ， 可 以 控 制 肉 鸡 进 行 各 种 威 胁 操 作 ， 包 括 创 建 多 个 线 程 发 起 D D o S 攻 击 ， 下 载 恶 意 脚 本 并 执 行 ， 发 送 恶 意 信 息 到 指 定 服 务 器 等 操 作 。
样 本 更 新 ： 四 、 处 理 以 及 加 固 措 施 四 、 处 理 以 及 加 固 措 施 病 毒 查 杀 脚 本 和 加 固 方 法 如 下 ：
* 本 文 原 创 作 者 ： S a m p s o n ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理