搜索

[28775] 2021-02-22_Kobalos–对高性能计算基础架构的复杂Linux威胁

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-19
2021-02-22_Kobalos–对高性能计算基础架构的复杂Linux威胁 K o b a l o s   – 对 高 性 能 计 算 基 础 架 构 的 复 杂 L i n u x 威 胁 O t s 安 全   2 0 2 1 - 0 2 - 2 2 E S E T 研 究 人 员 分 析 了 针 对 高 性 能 计 算 （ H P C ） 集 群 的 恶 意 软 件 ， 以 及 其 他 引 人 注 目 的 目 标 。 我 们 对 这 种 小 型 但 复 杂 的 恶 意 软 件 进 行 了 反 向 工 程 ， 该 恶 意 软 件 可 移 植 到 许 多 操 作 系 统 （ 包 括 L i n u x ， B S D ， S o l a r i s ， 甚 至 可 能 是 A I X 和 W i n d o w s ） 中 。 我 们 将 其 命 名 为 K o b a l o s 恶 意 软 件 ， 是 因 为 它 的 代 码 量 很 小 且 有 许 多 技 巧 。 在 希 腊 神 话 中 ， 科 巴 罗 斯 人 是 个 顽 皮 的 小 动 物 。 今 天 ， 我 们 发 表 了 一 篇 题 为 的 论 文 ， 描 述 了 这 种 威 胁 的 内 在 作 用 。 也 许 与 涉 及 K o b a l o s 的 事 件 无 关 ， 在 过 去 的 一 年 中 发 生 了 涉 及 H P C 群 集 的 多 个 安 全 事 件 。 他 们 中 的 一 些 人 受 到 了 媒 体 的 关 注 ， 并 在 欧 洲 网 格 基 础 设 施 （ E G I ） C S I R T 的 咨 询 中 公 开 了 有 关 部 署 加 密 货 币 矿 工 的 案 例 的 详 细 信 息 。 E G I   C S I R T 咨 询 显 示 ， 这 些 攻 击 使 用 了 波 兰 ， 加 拿 大 和 中 国 的 受 感 染 服 务 器 。 新 闻 报 道 还 提 到 A r c h e r ， 这 是 一 台 在 英 国 遭 到 破 坏 的 超 级 计 算 机 ， 其 中 S S H 凭 据 被 盗 ， 但 没 有 包 含 使 用 哪 种 恶 意 软 件 的 详 细 信 息 （ 如 果 有 ） 。 我 们 已 经 与 C E R N 计 算 机 安 全 团 队 以 及 其 他 参 与 缓 解 科 研 网 络 攻 击 的 组 织 合 作 。 根 据 他 们 的 说 法 ， 使 用 K o b a l o s 恶 意 软 件 的 行 为 要 早 于 其 他 事 件 。 尽 管 我 们 知 道 K o b a l o s 入 侵 了 大 型 H P C 集 群 ， 但 没 人 能 将 K o b a l o s 事 件 与 加 密 货 币 恶 意 软 件 的 使 用 联 系 起 来 。 这 些 其 他 攻 击 中 描 述 的 恶 意 软 件 和 技 术 是 不 同 的 。 我 们 还 知 道 K o b a l o s 并 非 仅 针 对 H P C ： 我 们 发 现 一 家 大 型 亚 洲 I S P ， 北 美 端 点 安 全 供 应 商 （ 不 是 我 们 ） 以 及 一 些 个 人 服 务 器 也 受 到 了 这 种 威 胁 的 威 胁 。 微 小 的 代 码 ， 大 目 标 微 小 的 代 码 ， 大 目 标 全 面 分 析 K o b a l o s 后 发 现 ， 有 时 可 以 通 过 使 用 特 定 T C P 源 端 口 连 接 到 S S H 服 务 器 来 远 程 确 定 系 统 是 否 受 到 威 胁 。 E S E T 研 究 人 员 利 用 这 些 知 识 扫 描 了 互 联 网 ， 以 寻 找 潜 在 的 受 害 者 。 我 们 能 够 确 定 K o b a l o s 的 多 个 目 标 ， 包 括 H P C 系 统 。 图 1 . 受 感 染 组 织 的 行 业 和 区 域 我 们 通 知 了 所 有 确 定 的 受 害 者 ， 并 与 他 们 一 起 进 行 补 救 。 后 门 后 门 从 某 种 意 义 上 讲 ， K o b a l o s 是 一 个 通 用 的 后 门 ， 因 为 它 包 含 了 无 法 揭 示 攻 击 者 意 图 的 广 泛 命 令 。 简 而 言 之 ， K o b a l o s 授 予 对 文 件 系 统 的 远 程 访 问 权 限 ， 提 供 了 生 成 终 端 会 话 的 功 能 ， 并 允 许 代 理 与 其 他 受 K o b a l o s 感 染 的 服 务 器 的 连 接 。 “ 狂 野 的 K o b a l o s ： T r i c k s y   L i n u x 恶 意 软 件 追 随 H P C     h t t p s : / / w w w . w e l i v e s e c u r i t y . c o m / w p - c o n t e n t / u p l o a d s / 2 0 2 1 / 0 1 / E S E T _ K o b a l o s . p d f ”
图 2 .   K o b a l o s 功 能 概 述 和 访 问 方 式 操 作 员 有 多 种 方 法 可 以 感 染 受 K o b a l o s 感 染 的 机 器 。 我 们 最 常 看 到 的 方 法 是 将 K o b a l o s 嵌 入 O p e n S S H 服 务 器 可 执 行 文 件 （ s s h d ） 中 ， 如 果 连 接 来 自 特 定 的 T C P 源 端 口 ， 它 将 触 发 后 门 代 码 。 还 有 其 他 一 些 未 嵌 入 s s h d 的 独 立 变 体 。 这 些 变 体 要 么 连 接 到 将 充 当 中 间 人 的 C ＆ C 服 务 器 ， 要 么 等 待 给 定 T C P 端 口 上 的 入 站 连 接 。 K o b a l o s 独 特 之 处 在 于 ， 运 行 C ＆ C 服 务 器 的 代 码 在 K o b a l o s 本 身 中 。 通 过 操 作 员 发 送 单 个 命 令 ， 任 何 由 K o b a l o s 入 侵 的 服 务 器 都 可 以 转 变 为 C ＆ C 服 务 器 。 由 于 C ＆ C 服 务 器 I P 地 址 和 端 口 被 硬 编 码 到 可 执 行 文 件 中 ， 因 此 操 作 员 可 以 生 成 使 用 此 新 C ＆ C 服 务 器 的 新 K o b a l o s 示 例 。 搭 档 搭 档 在 K o b a l o s 破 坏 的 大 多 数 系 统 中 ， S S H 客 户 端 被 破 坏 以 窃 取 凭 据 。 此 凭 据 窃 取 不 同 于 任 何 我 们 以 前 见 过 的 恶 意 的 O p e n S S H 的 客 户 ， 我 们 已 经 看 了 几 十 的 他 们 在 过 去 的 八 年 。 该 组 件 的 复 杂 性 与 K o b a l o s 本 身 不 同 ： 没 有 努 力 混 淆 凭 证 窃 取 者 的 早 期 变 体 。 例 如 ， 字 符 串 未 加 密 ， 被 盗 的 用 户 名 和 密 码 仅 写 入 磁 盘 上 的 文 件 。 但 是 ， 我 们 发 现 了 较 新 的 变 体 ， 其 中 包 含 一 些 混 淆 并 且 可 以 通 过 网 络 泄 露 凭 据 。 该 凭 证 窃 取 者 的 存 在 可 能 部 分 回 答 了 K o b a l o s 的 传 播 方 式 。 使 用 受 感 染 计 算 机 的 S S H 客 户 端 的 任 何 人 都 将 捕 获 其 凭 据 。 然 后 ， 攻 击 者 可 以 使 用 这 些 凭 据 在 新 发 现 的 服 务 器 上 安 装 K o b a l o s 。 它 如 何 隐 藏 它 如 何 隐 藏 分 析 K o b a l o s 并 不 像 大 多 数 L i n u x 恶 意 软 件 那 样 琐 碎 ， 因 为 它 的 所 有 代 码 都 保 存 在 一 个 函 数 中 ， 该 函 数 递 归 地 调 用 自 身 来 执 行 子 任 务 。
图 3 .   K o b a l o s 的 控 制 流 程 图 这 使 得 分 析 更 具 挑 战 性 。 此 外 ， 所 有 字 符 串 均 已 加 密 ， 因 此 与 静 态 查 看 样 本 相 比 ， 查 找 恶 意 代 码 更 加 困 难 。 使 用 后 门 需 要 一 个 5 1 2 位 私 有 R S A 密 钥 和 一 个 3 2 字 节 长 的 密 码 。 一 旦 通 过 身 份 验 证 ， 便 会 交 换 R C 4 密 钥 ， 并 用 它 们 加 密 其 余 的 通 信 。 序 列 图 概 述 了 网 络 协 议 。
图 4 . 概 述 K o b a l o s 网 络 协 议 的 序 列 图 整 治 整 治 E S E T 产 品 将 K o b a l o s 恶 意 软 件 检 测 为 L i n u x   /   K o b a l o s 或 L i n u x   /   A g e n t . I V 。 S S H 凭 据 窃 取 程 序 被 检 测 为 L i n u x   /   S S H D o o r . E V ， L i n u x   /   S S H D o o r . F B 或 L i n u x   /   S S H D o o r . F C 。 G i t H u b 上 E S E T 的 恶 意 软 件 - i o c 存 储 库 中 也 提 供 Y A R A 规 则 。 从 网 络 角 度 来 看 ， 可 以 通 过 在 归 属 于 S S H 服 务 器 的 端 口 上 查 找 非 S S H 流 量 来 检 测 K o b a l o s 。 当 K o b a l o s 后 门 与 操 作 员 进 行 通 信 时 ， 客 户 端 和 服 务 器 均 未 交 换 S S H 标 语 （ S S H - 2 . 0 ‑ … ） 。 我 们 建 议 在 设 置 用 于 连 接 到 S S H 服 务 器 的 两 因 素 身 份 验 证 （ 2 F A ） 之 前 。 K o b a l o s 是 2 F A 可 以 缓 解 威 胁 的 另 一 种 情 况 ， 因 为 使 用 被 盗 凭 据 似 乎 是 它 能 够 传 播 到 不 同 系 统 的 方 法 之 一 。 结 论 结 论 我 们 无 法 确 定 K o b a l o s 运 营 商 的 意 图 。 受 到 感 染 的 计 算 机 的 系 统 管 理 员 没 有 发 现 除 S S H 凭 据 窃 取 程 序 以 外 的 其 他 恶 意 软 件 。 我 们 也 无 法 访 问 正 在 运 行 的 运 营 商 的 网 络 流 量 捕 获 。 将 K o b a l o s 紧 密 地 包 含 在 单 个 功 能 中 的 方 式 以 及 使 用 现 有 开 放 端 口 来 访 问 K o b a l o s 的 方 式 使 这 种 威 胁 更 难 找 到 。 希 望 我 们 今 天 在 新 出 版 物 中 揭 示 的 细 节 将 有 助 于 提 高 人 们 对 这 种 威 胁 的 认 识 ， 并 将 其 活 动 放 在 显 微 镜 下 。 这 种 复 杂 性 仅 在 L i n u x 恶 意 软 件 中 很 少 见 。 考 虑 到 它 比 平 均 水 平 还 先 进 ， 并 且 损 害 了 相 当 大 的 组 织 ， 因 此 K o b a l o s 可 能 会 运 行 一 段 时 间 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理