搜索

[14334] 2019-07-11_两起僵尸网络Mirai样本分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-11_两起僵尸网络Mirai样本分析 两 起 僵 尸 网 络 M i r a i 样 本 分 析 S a m p s o n   F r e e B u f   2 0 1 9 - 0 7 - 1 1 2 0 1 9 年 年 6 月 月 2 6 日 蜜 罐 系 统 监 控 到 两 起 日 蜜 罐 系 统 监 控 到 两 起 M i r a i 的 物 联 网 蠕 虫 活 动 情 况 ， 自 的 物 联 网 蠕 虫 活 动 情 况 ， 自 2 0 1 7 年 年 1 1 月 月 2 3 日 日 C h e c k   P o i n t 研 究 人 员 发 研 究 人 员 发 现 华 为 家 用 路 由 器 现 华 为 家 用 路 由 器 H G 5 3 2 存 在 存 在 0 d a y 漏 洞 （ 漏 洞 （ C V E - 2 0 1 7 - 1 7 2 1 5 ） ， 可 以 远 程 执 行 任 意 代 码 ， ） ， 可 以 远 程 执 行 任 意 代 码 ， M i r a i 蠕 虫 病 毒 就 利 用 蠕 虫 病 毒 就 利 用 该 漏 洞 进 行 大 肆 传 播 ， 本 文 会 结 合 蜜 罐 捕 获 的 攻 击 证 据 对 该 蠕 虫 进 行 技 术 分 析 ， 重 点 分 析 该 蠕 虫 是 如 何 利 用 该 该 漏 洞 进 行 大 肆 传 播 ， 本 文 会 结 合 蜜 罐 捕 获 的 攻 击 证 据 对 该 蠕 虫 进 行 技 术 分 析 ， 重 点 分 析 该 蠕 虫 是 如 何 利 用 该 漏 洞 进 行 传 播 的 。 整 个 攻 击 流 程 如 下 ： 漏 洞 进 行 传 播 的 。 整 个 攻 击 流 程 如 下 ： 一 、 样 本 介 绍 一 、 样 本 介 绍 两 起 样 本 基 本 信 息 ， 样 本 一 的 信 息 如 下 ： 样 本 样 本 M D 5 内 容 内 容 s s h . s h a a 8 2 e b d a b 1 c a 5 d b 0 1 e 8 3 9 2 4 5 6 a 6 6 d 1 7 3 该 脚 本 下 载 蠕 虫 病 毒 k o w a i . a r m 5 5 4 2 0 6 7 0 3 b 7 d a 4 3 e b 3 1 1 0 3 d 2 2 6 0 8 0 4 f f a a r m 平 台 蠕 虫 病 毒 k o w a i . a r m 6 4 1 7 c 5 2 6 5 0 f e b 2 b c e 7 0 9 6 6 c 0 b 6 a 2 9 e 9 f 9 a r m 平 台 蠕 虫 病 毒 k o w a i . a r m 7 6 a 6 8 8 f 8 0 1 8 f 1 c 5 a a 5 d 2 b 7 6 2 c e 4 5 d 5 f 0 8 a r m 平 台 蠕 虫 病 毒 k o w a i . m 6 8 k a e f e d 5 8 7 3 7 b 6 7 8 0 0 7 8 d 5 b 8 d 9 b 9 5 a 4 a 6 e m 6 8 k 平 台 蠕 虫 病 毒 k o w a i . m i p s 4 c 7 d 7 2 1 1 0 b 2 1 c 4 d 9 6 e 1 a 5 d d 1 d d 3 d 8 1 6 2 m i p s 平 台 蠕 虫 病 毒 k o w a i . m p s l 5 0 c a f 8 5 9 e 3 3 6 9 2 8 c b 0 3 8 6 7 b 6 a 1 f b 3 0 7 d m p s l 平 台 蠕 虫 病 毒 k o w a i . p p c 1 b 3 3 1 3 b 9 d 2 7 3 2 6 9 5 a 5 4 f 9 2 2 d 6 1 7 9 1 9 b 8 m p s l 平 台 蠕 虫 病 毒 k o w a i . s h 4 0 b 5 1 a 8 6 9 b 5 8 0 a f 0 1 0 5 5 8 3 7 8 6 e d c f 9 d 5 a s h 4 平 台 蠕 虫 病 毒 k o w a i . x 8 6 2 8 9 f 4 5 c f b 3 5 f 8 8 0 e 2 a 5 7 6 3 8 0 1 9 3 7 6 9 9 7 x 8 6 平 台 蠕 虫 病 毒 样 本 二 的 信 息 如 下 ： 样 本 样 本 M D 5 内 容 内 容 s h a 7 e f b 8 5 b 7 3 d c e b b 7 1 f e 3 0 1 3 1 2 3 e 5 d 3 4 8 该 脚 本 下 载 挖 矿 程 序 包 m a u i . a r m 1 6 7 6 1 5 d 6 c 3 6 a 8 d d e c d 8 0 8 3 5 b 8 f 9 d 0 c c 0 a r m 平 台 蠕 虫 病 毒 m a u i . a r m 5 b 5 b 0 4 7 3 b c 3 e a f 7 4 b f f d 8 5 1 5 3 7 f 5 1 6 a d b a r m 平 台 蠕 虫 病 毒 m a u i . a r m 6 4 3 e d 8 0 8 6 3 5 8 0 1 4 4 3 5 2 b 5 d 7 e 1 8 4 8 0 6 3 1 3 a r m 平 台 蠕 虫 病 毒 m a u i . i 5 8 6 c a 8 c 6 7 f a 2 7 3 5 2 4 6 3 4 6 d e f 7 5 0 d e 0 8 b c 0 f i 5 8 6 平 台 蠕 虫 病 毒 m a u i . m i p s 8 a 3 e b 3 1 a 6 d 8 7 c 3 6 8 e 3 8 5 8 d 6 a b 0 3 2 f a 5 d m i p s 平 台 蠕 虫 病 毒 m a u i . m p s l 4 7 4 d a d 2 5 f 5 7 7 d f 9 e 8 c 2 0 a 6 a 9 b 5 a c 2 8 8 f m p s l 平 台 蠕 虫 病 毒
二 、 详 细 分 析 二 、 详 细 分 析 捕 获 到 两 个 脚 本 ， h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / s h 脚 本 如 下 ， 主 要 作 用 是 下 载 a r m 、 i 5 8 6 、 m i p s 、 m p s l 各 种 I o T 平 台 的 M i r a i 蠕 虫 。 h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / s s h . s h 对 应 的 脚 本 如 下 ， 主 要 作 用 是 下 载 a r m 、 x 8 6 、 i 5 8 6 、 m i p s 、 m p s l 、 p p c 各 种 I o T 平 台 的 M i r a i 蠕 虫 ， 并 伪 装 S S H 进 行 运 行 。 攻 击 服 务 器 包 含 了 很 多 相 关 的 文 件 ， 各 个 操 作 系 统 平 台 上 的 ， 不 同 版 本 的 蠕 虫 文 件 。 该 蠕 虫 病 毒 的 工 作 原 理 非 常 简 单 ， 主 要 意 图 是 伪 造 U D P 和 T C P 对 目 标 发 起 泛 洪 攻 击 ， 在 此 ， 选 取 其 中 的 一 个 蠕 虫 样 本 k o w a i . a r m 5 进 行 分 析 ， 通 过 I D A 逆 向 分 析 发 现 ， 该 样 本 在 传 播 和 攻 击 过 程 中 用 了 3 个 P a y L o a d ， 丢 失 正 对 路 由 器 进 行 攻
击 ， 下 面 相 关 的 P O C ： 华 为   H G 5 3 2 系 列 路 由 器 远 程 命 令 执 行 漏 洞 （ C V E - 2 0 1 7 - 1 7 2 1 5 ） ， 该 漏 洞 对 应 的 端 口 号 是 5 2 8 6 9 ， 对 应 的 P O C ： 漏 洞 分 析 ： 使 用 了 一 个 古 老 的 漏 洞 （ C V E - 2 0 1 4 - 8 3 6 1 ） ， 该 漏 洞 针 对 的 是 R e a l t e k   S D K 中 的 U P n P 服 务 （ 5 2 8 6 9 端 口 ） 。 由 于 该 漏 洞 暴 露 的 时 间 比 较 旧 ， 下 图 是 样 本 中 的 P O C 。 该 样 本 依 然 保 留 着 弱 口 令 爆 破 ， 向 随 机 地 址 的 2 3 端 口 发 送 t e l n e t 数 据 包 ， 尝 试 进 行 弱 密 码 爆 破 。
S c a n M o n 平 台 显 示 端 口 2 3 的 扫 描 流 量 排 名 第 一 ， 远 超 2 2 端 口 。 发 现 攻 击 源 占 据 前 几 位 的 都 来 自 美 国 。 此 外 ， 该 样 本 会 随 机 的 扫 描 端 口 3 7 2 1 5 和 5 2 8 6 9 ， 下 面 是 通 过 w i r e s h a r k 抓 包 的 流 量 中 提 取 的 扫 描 信 息 。
查 看 w h o i s 信 息 ， 在 i p i p . n e t 显 示 该 攻 击 来 自 美 国 弗 吉 尼 亚 州 阿 什 本 。 三 、 相 关 三 、 相 关 I O C M D 5 a a 8 2 e b d a b 1 c a 5 d b 0 1 e 8 3 9 2 4 5 6 a 6 6 d 1 7 3 5 4 2 0 6 7 0 3 b 7 d a 4 3 e b 3 1 1 0 3 d 2 2 6 0 8 0 4 f f a
4 1 7 c 5 2 6 5 0 f e b 2 b c e 7 0 9 6 6 c 0 b 6 a 2 9 e 9 f 9 6 a 6 8 8 f 8 0 1 8 f 1 c 5 a a 5 d 2 b 7 6 2 c e 4 5 d 5 f 0 8 a e f e d 5 8 7 3 7 b 6 7 8 0 0 7 8 d 5 b 8 d 9 b 9 5 a 4 a 6 e 4 c 7 d 7 2 1 1 0 b 2 1 c 4 d 9 6 e 1 a 5 d d 1 d d 3 d 8 1 6 2 5 0 c a f 8 5 9 e 3 3 6 9 2 8 c b 0 3 8 6 7 b 6 a 1 f b 3 0 7 d 1 b 3 3 1 3 b 9 d 2 7 3 2 6 9 5 a 5 4 f 9 2 2 d 6 1 7 9 1 9 b 8 0 b 5 1 a 8 6 9 b 5 8 0 a f 0 1 0 5 5 8 3 7 8 6 e d c f 9 d 5 a 2 8 9 f 4 5 c f b 3 5 f 8 8 0 e 2 a 5 7 6 3 8 0 1 9 3 7 6 9 9 7 a 7 e f b 8 5 b 7 3 d c e b b 7 1 f e 3 0 1 3 1 2 3 e 5 d 3 4 8 1 6 7 6 1 5 d 6 c 3 6 a 8 d d e c d 8 0 8 3 5 b 8 f 9 d 0 c c 0 b 5 b 0 4 7 3 b c 3 e a f 7 4 b f f d 8 5 1 5 3 7 f 5 1 6 a d b 4 3 e d 8 0 8 6 3 5 8 0 1 4 4 3 5 2 b 5 d 7 e 1 8 4 8 0 6 3 1 3 c a 8 c 6 7 f a 2 7 3 5 2 4 6 3 4 6 d e f 7 5 0 d e 0 8 b c 0 f 8 a 3 e b 3 1 a 6 d 8 7 c 3 6 8 e 3 8 5 8 d 6 a b 0 3 2 f a 5 d 4 7 4 d a d 2 5 f 5 7 7 d f 9 e 8 c 2 0 a 6 a 9 b 5 a c 2 8 8 f C 2 1 4 7 . 1 3 5 . 1 1 6 . 6 5 : 8 0 U R L h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . x 8 6 h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . m i p s h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . m p s l h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . a r m 4 h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . a r m 5 h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . a r m 6 h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . a r m 7 h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . p p c h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . m 6 8 k h t t p : / / 1 4 7 . 1 3 5 . 1 1 6 . 6 5 / b i n s / k o w a i . s h 4 h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / s h h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / m a u i . a r m h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / m a u i . a r m 5
h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / m a u i . a r m 6 h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / m a u i . i 5 8 6 h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / m a u i . m i p s h t t p : / / h o s t . m i n e k r a f t . c l u b / b i n s / m a u i . m p s l * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： S a m p s o n ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理