搜索

[15242] 2020-04-12_Mirai新变体Mukashi分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-04-12_Mirai新变体Mukashi分析 M i r a i 新 变 体 M u k a s h i 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 4 - 1 2 C V E - 2 0 2 0 - 9 0 5 4   P o C 于 上 个 月 公 开 发 布 后 立 即 被 用 来 感 染 于 上 个 月 公 开 发 布 后 立 即 被 用 来 感 染 Z y x e l   N A S 设 备 。 设 备 。 M i r a i 新 变 体 新 变 体 M u k a s h i 暴 力 使 用 不 同 暴 力 使 用 不 同 组 合 的 默 认 凭 据 强 制 登 录 ， 将 登 录 成 功 结 果 发 送 到 命 令 和 控 制 （ 组 合 的 默 认 凭 据 强 制 登 录 ， 将 登 录 成 功 结 果 发 送 到 命 令 和 控 制 （ C 2 ） 服 务 器 。 ） 服 务 器 。 Z y x e l   N A S 产 品 固 件 版 本 低 于 产 品 固 件 版 本 低 于 5 . 2 1 容 易 受 到 此 预 身 份 验 证 命 令 注 入 漏 洞 的 攻 击 。 本 文 包 括 整 个 攻 击 图 文 分 析 和 容 易 受 到 此 预 身 份 验 证 命 令 注 入 漏 洞 的 攻 击 。 本 文 包 括 整 个 攻 击 图 文 分 析 和 I o C 。 。 漏 洞 分 析 漏 洞 分 析 可 执 行 文 件 w e b l o g i n . c g i 在 验 证 过 程 中 未 正 确 清 除 u s e r n a m e 参 数 。 攻 击 者 可 以 使 用 单 引 号 分 号 实 现 命 令 注 入 。 w e b l o g i n . c g i 接 受 H T T P   G E T 和 P O S T 请 求 ， 攻 击 者 可 以 将 恶 意 有 效 负 载 嵌 入 H T T P 请 求 并 进 行 代 码 执 行 。 在 野 利 用 在 野 利 用 第 一 次 事 件 发 生 在 2 0 2 0 年 3 月 1 2 日 1 9 : 0 7 ， 如 下 图 1 和 2 所 示 ， 攻 击 者 试 图 将 S h e l l 脚 本 下 载 到 t m p 目 录 ， 执 行 脚 本 并 删 除 设 备 上 的 攻 击 痕 迹 。 执 行 后 脚 本 下 载 不 同 体 系 结 构 的 M i r a i   b o t ， 运 行 下 载 的 二 进 制 文 件 ， 然 后 删 除 。 新 新 M i r a i 变 体 ： 变 体 ： M u k a s h i M u k a s h i 是 一 个 自 动 化 程 序 ， 它 扫 描 随 机 主 机 的 T C P 端 口 2 3 ， 使 用 不 同 的 默 认 凭 据 组 合 强 行 强 登 录 ， 并 向 其 C 2 服 务 器 报 告 成 功 的 登 录 。 像 其 他 M i r a i 变 体 一 样 ， M u k a s h i 也 能 够 接 收 C 2 命 令 并 发 起 D D o S 攻 击 。 执 行 后 ， M u k a s h i 将 显 示 “ P r o t e c t i n g   y o u r   d e v i c e   f r o m   f u r t h e r   i n f e c t i o n s ” 。 然 后 该 恶 意 软 件 将 其 进 程 名 改 为 d v r h e l p e r ， 这 表 明 M u k a s h i 可 能 会 继 承 其 前 身 的 某 些 特 征 。
在 执 行 操 作 之 前 ， M u k a s h i 绑 定 到 T C P 端 口 2 3 4 4 8 ， 确 保 在 受 感 染 的 系 统 上 仅 有 一 个 实 例 运 行 。 恶 意 软 件 在 初 始 化 期 间 会 即 时 解 码 字 符 串 。 如 下 表 所 示 ， 这 些 解 码 后 的 字 符 串 包 括 凭 据 以 及 C 2 命 令 。 M u k a s h i 使 用 自 定 义 解 密 函 数 对 这 些 命 令 和 凭 据 进 行 加 密 。 附 录 中 提 供 了 解 密 脚 本 。 当 恶 意 软 件 执 行 凭 据 暴 力 攻 击 时 ， M u k a s h i 将 使 用 默 认 密 码 ， 例 如 t 0 t a l c 0 n t r 0 l 4 ! 和 t a Z z @ 2 3 4 9 5 8 5 9 ， 以 及 在 扫 描 阶 段 前 已 解 码 的 凭 据 。 图 3 显 示 了 M u k a s h i 扫 描 随 机 主 机 时 捕 获 的 流 量 ， 图 4 显 示 了 恶 意 软 件 暴 力 身 份 验 证 尝 试 。
成 功 登 录 后 ， M u k a s h i 将 有 效 凭 据 报 告 给 C 2 服 务 器 4 5 . 8 4 . 1 9 6 . 7 5 。 该 消 息 具 有 以 下 格 式 ： 2 3   ： 。 下 图 显 示 了 此 类 消 息 的 示 例 。 恶 意 软 件 启 动 并 初 始 化 ， 将 信 标 发 送 回 C 2 服 务 器 4 5 . 8 4 . 1 9 6 . 7 5 ， 监 听 端 口 4 8 6 4 ， 通 知 其 C 2 服 务 器 已 准 备 好 执 行 命 令 。 信 标 示 例 如 图 6 中 显 示 ， 具 有 以 下 格 式 ： < 名 称 > . < 输 入 参 数 > . ，   如 果 成 功 创 建 了 套 接 字 ， 则 为 r o o t ， 否 则 为 默 认 值 。   子 字 符 串 是 执 行 二 进 制 文 件 时 的 参 数 。 如 果 未 提 供 输 入 参 数 ， 则 字 符 串 为 “ 无 ” 。 M u k a s h i 的 D D o S 功 能 与 M i r a i 及 其 变 体 的 D D o S 攻 击 机 制 （ 例 如 U D P ， T C P ， U D P 绕 过 和 T C P 绕 过 ） 相 同 。 M u k a s h i 包 含 d v r h e l p e r 变 体 的 某 些 功 能 ， 还 具 有 抵 抗 D D o S 防 御 功 能 。 下 表 显 示 了 M u k a s h i 支 持 的 C 2 命 令 。
A t t a c k _ p a r s i n g 函 数 负 责 处 理 M u k a s h i 从 C 2 服 务 器 接 收 的 命 令 。 除 了 命 令 类 型 和 目 标 地 址 之 外 还 包 括 其 他 相 关 信 息 ， 如 S Y N 标 志 ， A C K 标 志 ， U R G 标 志 ， P S H 标 志 ， R s t 标 志 ， 时 间 字 段 ， 目 标 端 口 ， 数 据 包 长 度 等 。 如 果 目 标 端 口 不 可 用 ， M u k a s h i 将 选 择 一 个 随 机 端 口 。 如 果 未 指 定 数 据 包 的 长 度 ， 则 M u k a s h i 将 使 用 默 认 值 1 4 5 8 。 下 图 显 示 了 x 8 6 版 本 与 a r m 7 版 本 的 区 别 。
建 议 用 户 更 新 固 件 ， 使 用 复 杂 登 录 密 码 。 I o C s F i l e   ( S h a 2 5 6 ) 8 c 0 c 4 d 8 d 7 2 7 b f f 5 e 0 3 f 6 b 2 a a e 1 2 5 d 3 e 3 6 0 7 9 4 8 d 9 d f f 5 7 8 b 1 8 b e 0 a d d 2 f f f 3 4 1 1 c   ( a r m . b o t ) 5 f 9 1 8 c 2 b 5 3 1 6 c 5 2 c b b 5 6 4 2 6 9 b 1 1 6 c e 6 3 9 3 5 6 9 1 e e 6 d e b e 0 6 c e 1 6 9 3 a d 2 9 d b b 5 7 4 0   ( a r m 5 . b o t ) 8 f a 5 4 7 8 8 8 8 5 6 7 9 e 4 6 7 7 2 9 6 f c a 4 f e 4 e 9 4 9 c a 8 5 7 8 3 a 0 5 7 7 5 0 c 6 5 8 5 4 3 6 4 5 f b 8 6 8 2 f   ( a r m 6 . b o t ) 9 0 3 9 2 a f 3 f d c 7 a f 9 6 8 c c 6 d 0 5 4 f c 1 a 9 9 c 5 1 5 6 d e 5 b 1 8 3 4 d 6 4 3 2 0 7 6 c 4 0 d 5 4 8 2 8 3 c 2 2   ( a r m 7 . b o t ) 6 7 5 f 4 a f 0 0 5 2 0 9 0 5 e 3 1 f f 9 6 e c e f 2 d 4 d c 7 7 1 6 6 4 8 1 f 5 8 4 d a 8 9 a 3 9 a 7 9 8 e a 1 8 a e 2 1 4 4   ( m i p s . b o t ) 4 6 2 2 8 1 5 1 b 5 4 7 c 9 0 5 d e 9 7 7 2 2 1 1 c e 5 5 9 5 9 2 4 9 8 e 0 c 8 8 9 4 3 7 9 f 1 4 a d b 1 e f 6 c 4 4 f 8 9 3 3   ( m p s l . b o t ) 7 5 3 9 1 4 a a 3 5 4 9 e 5 2 a f 2 6 2 7 9 9 2 7 3 1 c a 1 8 e 7 0 2 f 6 5 2 3 9 1 c 1 6 1 4 8 3 f 5 3 2 1 7 3 d a e b 0 b b d   ( s h 4 . b o t ) c e 7 9 3 d d e c 5 4 1 0 c 5 1 0 4 d 0 e a 2 3 8 0 9 a 4 0 d d 2 2 2 4 7 3 e 3 d 9 8 4 a 1 e 5 3 1 e 7 3 5 a e b f 4 6 c 9 d c   ( x 8 6 . b o t ) a 0 5 9 e 4 7 b 4 c 7 6 b 6 b b d 7 0 c a 4 d b 6 b 4 5 4 f d 9 a a 1 9 e 5 a 0 4 8 7 c 8 0 3 2 f e 5 4 f a 7 0 7 b 0 f 9 2 6 d   ( z i ) N e t w o r k 4 5 [ . ] 8 4 [ . ] 1 9 6 [ . ] 7 5 : 3 4 8 3 4   ( R e p o r t   S u c c e s s f u l   L o g i n   A t t e m p t ) 4 5 [ . ] 8 4 [ . ] 1 9 6 [ . ] 7 5 : 4 8 6 4   ( C o m m a n d   a n d   C o n t r o l ) 0 [ . ] 0 [ . ] 0 [ . ] 0 : 2 3 4 4 8   ( S i n g l e t o n ) I D A p y t h o n   6 . x - 7 . 3   S c r i p t i m p o r t   i d a _ k e r n w i n f r o m   i d c   i m p o r t   * f r o m   i d a u t i l s   i m p o r t   * f r o m   i d a a p i   i m p o r t   * d e f   d e c o d e _ s t r ( e n c o d e d _ s t r ) : i f   l e n ( e n c o d e d _ s t r )   = =   0 : r e t u r n   “ ” b u f   =   l i s t ( e n c o d e d _ s t r ) r e s u l t   =   ” b u f [ 0 ]   =   c h r ( o r d ( b u f [ 0 ] )   –   2 ) s l e n   =   l e n ( e n c o d e d _ s t r ) v 1   =   s l e n   /   2 ; i f   v 1   >   0 : i   =   v 1 w h i l e   T r u e : i f   i   > =   s l e n : b r e a k ;
b r e a k ; b u f [ i ]   =   c h r ( o r d ( b u f [ i ] )   –   1 ) ; i   + =   1 v 2   =   s l e n   /   4 ; i f   v 2   >   0 : j   =   v 2 w h i l e   T r u e : i f   j   > =   s l e n : b r e a k ; b u f [ j ]   =   c h r ( o r d ( b u f [ j ] )   –   1 ) j   + =   1 f o r   k   i n   x r a n g e ( 0 ,   s l e n ) :                             b u f [ k ]   =   c h r ( o r d ( b u f [ k ] )   –   1 ) v 3   =   0 i f   s l e n   >   2 4 : i f   s l e n   >   9 9 : v 3   =   s l e n   /   5   –   3 ; e l s e :                                               v 3   =   s l e n   /   5   –   1 ;           e l s e : v 3   =   s l e n   /   5 ; l   =   v 3           w h i l e   T r u e :                           i f   l   > =   s l e n :                                       b r e a k                           b u f [ l ] =   c h r ( 0 ) ;                           l   + =   1 r e s u l t   =   “ ” . j o i n ( b u f )           r e t u r n   r e s u l t d e f   m a i n ( ) : f o r   a d d r   i n   X r e f s T o ( 0 x 0 8 0 4 8 2 A 0 ,   f l a g s = 0 ) : p r i n t ( “ [ * ]   a d d r . f r m   { 0 } ” . f o r m a t ( h e x ( a d d r . f r m ) ) )                   p r e v _ a d d r   =   P r e v H e a d ( a d d r . f r m ) e n c o d e d _ s t r   =   “ ” i f   G e t M n e m ( p r e v _ a d d r )   = =   “ p u s h ” : s t r _ a d d r   =   G e t O p e r a n d V a l u e ( p r e v _ a d d r ,   0 )                   e l i f   G e t M n e m ( p r e v _ a d d r )   = =   “ m o v ” :                             s t r _ a d d r   =   G e t O p e r a n d V a l u e ( p r e v _ a d d r ,   1 ) p r i n t ( “ t s t r _ a d d r :   { 0 } ” . f o r m a t ( h e x ( s t r _ a d d r ) ) ) e n c o d e d _ s t r   =   G e t S t r i n g ( s t r _ a d d r ) p r i n t ( “ t e n c o d e d _ s t r :   { 0 } ” . f o r m a t ( e n c o d e d _ s t r ) ) d e c o d e d _ s t r   =   d e c o d e _ s t r ( e n c o d e d _ s t r ) p r i n t ( “ t d e c o d e d _ s t r :   { 0 } ” . f o r m a t ( d e c o d e d _ s t r ) )
I D A p y t h o n   7 . 4   S c r i p t * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M p r i n t ( “ t d e c o d e d _ s t r :   { 0 } ” . f o r m a t ( d e c o d e d _ s t r ) ) i f   _ _ n a m e _ _   = =   ‘ _ _ m a i n _ _ ’ : m a i n ( ) d e f   d e c r y p t _ s t r i n g ( e n c _ s t r ) : s t r l e n   =   l e n ( e n c _ s t r ) s t r   =   c h r ( o r d ( e n c _ s t r [ 0 ] ) - 2 )   +   e n c _ s t r [ 1 : ] v 1   =   s t r l e n / 2 i f   v 1 > 0 : s t r   =   s t r [ 0 : v 1 ]   +   ” . j o i n ( [ c h r ( o r d ( x ) - 1 )   f o r   x   i n   s t r [ v 1 : ] ] ) v 2   =   s t r l e n / 4 i f   v 2 > 0 : s t r   =   s t r [ 0 : v 2 ]   +   ” . j o i n ( [ c h r ( o r d ( x ) - 1 )   f o r   x   i n   s t r [ v 2 : ] ] ) s t r   =   ” . j o i n ( [ c h r ( o r d ( x ) - 1 )   f o r   x   i n   s t r ] ) i f   s t r l e n > 2 4 : i f   s t r l e n > 9 9 : v 9   =   s t r l e n / 5   –   3 e l s e : v 9   =   s t r l e n / 5   –   1 e l s e : v 9   =   s t r l e n / 5 s t r   =   s t r [ : v 9 ]   +   c h r ( 0 )   +   s t r [ v 9 + 1 : ] r e t u r n   s t r d e f   m a i n ( ) : s t r r e f s   =   [ ] f o r   a d d r   i n   X r e f s T o ( 0 x 0 8 0 4 8 2 a 0 ,   f l a g s = 0 ) : p r e v _ i n s   =   p r e v _ h e a d ( a d d r . f r m ) r e f   =   g e t _ o p e r a n d _ v a l u e ( p r e v _ i n s ,   1 ) i f   r e f > 0 :                                                                                       s t r r e f s . a p p e n d ( r e f ) f o r   r e f   i n   s t r r e f s : e n c _ s t r   =   g e t _ s t r l i t _ c o n t e n t s ( r e f ) p r i n t   “ E n c r y p t e d   s t r i n g :   % s ”   % e n c _ s t r d e c _ s t r   =   d e c r y p t _ s t r i n g ( e n c _ s t r ) p r i n t   “ D e c r y p t e d   s t r i n g :   % s ”   % d e c _ s t r i f   _ _ n a m e _ _   = =   ‘ _ _ m a i n _ _ ’ : m a i n ( )
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理