搜索

[28901] 2021-05-01_Linux服务器ssH被劫持挂马分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-05-01_Linux服务器ssH被劫持挂马分析 L i n u x 服 务 器 s s H 被 劫 持 挂 马   分 析 A s h e   L a n g t o n   O t s 安 全   2 0 2 1 - 0 5 - 0 1 瞻 博 网 络 的 威 胁 实 验 室 观 察 到 的   攻 击 企 图 编 到 我 n j e c t 中 的 恶 意 代 码 ， 以   安 全 S h e l l （ S S H ）   在 L i n u x 服 务 器 上 。 攻 击 始 于 对 C   o n t r o l W e b   P a n e l   （ C W P ， 以 前 称 为 C e n t o s   W e b   P a n e l ） 服 务 器 管 理 W e b 应 用 程 序 的 攻 击 ， 通 过 L D _ P R E L O A D 注 入 代 码 ， 并 使 用 自 定 义 的 加 密 二 进 制 命 令 和 控 制 协 议 来 泄 露 凭 证 和 机 器 功 能 。 撰 写 本 文 时 ， 恶 意 软 件 命 令 和 控 制 服 务 器 仍 处 于 活 动 状 态 。   图 1 . 攻 击 链 开 发 开 发   钍 é 攻 击 的 命 令 开 始   对 控 制 网 络 面 板 注 ：   图 2 . 来 自 初 始 攻 击 的 H T T P 请 求 C W P 一 直 受 到 安 全 问 题 的 困 扰 ， 其 中 包 括   2 0 2 0 年 “ 零 日 倡 议 ” （ Z e r o   D a y   I n i t i a t i v e ） 披 露 的 3 7 个 0 天 漏 洞 。 这 些 是 没 有 消 毒 S E R V I C E _ R E S T A R T   P A R A M E T 呃 ， 它 遵 循 一 套 类 似 的 脆 弱 性 在 2 0 1 8 年 。   因 为 漏 洞 的 数 量 在 C W P 中 ， 故 意 加 密 和 的 模 糊 I R 源 代 码 ， 表 面 上 是 ˚ F 或 安 全 原 因 ， 和 C W P 的 失 败 对 Z D I 最 近 披 露 的 回 应 ， 就 很 难 确 定 哪 些 C W P 的 版 本 或 维 持 弱 势 这 次 袭 击 。 到 2 0 2 0 年 ， 可 通 过 开 放 式 互 联 网 访 问 的 C W P 安 装 量 超 过 2 1 5 k ， 因 此 在 此 活 动 中 受 到 损 害 的 计 算 机 数 量 可 能 很 大 。     安 装 安 装   成 功 利 用 W e b 面 板 后 ， 将 执 行 以 下 命 令 。  
图 3 . 通 过 C W P 漏 洞 执 行 的 命 令 首 先 ， 检 索 ， 执 行 和 删 除 “   s s h i n s ” 安 装 程 序 二 进 制 文 件 。 然 后 清 除 C W P 日 志 中 所 有 提 及 的 s s h i n s ， 并 清 除 s h e l l 历 史 记 录 。     s s h i n s 二 进 制 文 件 是 6 4 位 L i n u x   E L F 可 执 行 文 件 。 它 是 挤 满 了 U P X 和 T 他 打 包 文 件 字 节 垃 圾 追 加 到 它 试 图 阻 碍 自 动 拆 包 。 它 做 三 件 事 ：   1 .   将 L i n u x 共 享 库 拖 放 到 特 定 于 体 系 结 构 的 位 置 （ 在 本 例 中 为 / l i b 6 4 / l i b s . s o ） 。   2 .   将 已 删 除 文 件 的 名 称 写 入 / e t c / l d . s o . p r e l o a d 中 的 文 本 文 件   3 .   重 新 启 动 O p e n S S H 服 务 。   图 4 . 安 装 程 序 的 控 制 台 输 出 劫 持 劫 持 O p e n S S H 服 务 器 进 程 服 务 器 进 程   注 入 恶 意 代 码 注 入 恶 意 代 码   该 文 件 / e t c / l d . s o . p r e l o a d 中 包 含 一 个 指 令 ， 该 动 态 链 接 程 序 ， 告 诉 它 加 载 指 定 的   共 享 库 第 一 ， 并 给 予 优 先 于 来 自 L D - 预 装 库 中 导 出 的 函 数 。 由 于 恶 意 的 l i b s . s o 库 将 导 出 其 自 己 的 b i n d   （ ） 函 数 版 本 ， 因 此 应 用 程 序 将 使 用 此 函 数 的 后 门 版 本 ， 而 不 是 L i n u x 系 统 库 中 的 标 准 实 现 。   当 O p e n - S S H 服 务 器 守 护 程 序 （ s s h d   ） 重 新 启 动 时 ， l i b s . s o 将 在 加 载 库 时 首 先 执 行 初 始 化 函 数 ， 然 后 每 当 s s h d 调 用 b i n d （ ） 时 便 可 以 注 入 自 己 的 代 码 。 s s h d 的 服 务 器 进 程 使 用 这 个 钩 子 以 周 期 性 的 信 标 到 命 令 和 控 制 （ C 2 ） 服 务 器 和 至 e x f i l t r a t e 数 据 ， 包 括 诸 如 C P U 的 系 统 信 息 的 列 表 和 O S 细 节 ，   R A M 量 ，   可 用 磁 盘 空 间 ， 并 O p e n S S H 配 置 ：  
图 5 . 来 自 反 汇 编 库 的 字 符 串 ， 指 示 要 窃 取 的 数 据 。 另 外 ， 以 连 续 茹 n n i n g 服 务 器 进 程 ， s s h d 的   叉 （ ） 一 对 新 的 过 程 E S 来 处 理 每 个 登 录 连 接 。 从 这 些 特 定 于 会 话 的 进 程 中 ， 恶 意 的 b i n d （ ） 函 数 启 动 了 一 个 额 外 的 临 时 s s h d 进 程 ， 该 进 程 泄 漏 了 传 入 用 户 的 登 录 凭 据 。   图 6 . 恶 意 软 件 泄 露 的 用 户 凭 据 和 计 算 机 标 识 符 。 C 2 通 讯 通 讯   所 述 C 2 通 信 涉 及 的 服 务 器 1 7 6 。 ]   1 1 1 . 1 7 4 . 2 6 端 口 4 4 3 端 口 4 4 3 通 常 用 于 H T T P S 但 这 里 的 流 量 是 原 始 T C P   ， 隐 藏 在 众 目 睽 睽 公 共 端 口 上 。 该 服 务 器 具 有 与 保 加 利 亚 虚 拟 主 机 提 供 商 关 联 的 俄 语 I P 地 址 。   客 户 端   使 用 一 个 简 单 的 指 令 启 动 通 信 ， 该 指 令 填 充 为 8 个 字 节 。 （ 正 如 我 们 将 在 下 面 讨 论 ， 恶 意 软 件 使 用 的 加 密 算 法 与 8 字 节 的 块 大 小 ， 但 即 使 未 加 密 的 消 息 总 是 的 8 的 倍 数 的 长 度 。 ） 以 下 是 T C P 握 手 之 后 发 送 到 服 务 器 的 第 一 个 分 组 ， 与 8 字 节 的 消 息 突 出 显 示 。  
图 7 . 到 C 2 服 务 器 的 初 始 T C P 数 据 包 ， 突 出 显 示 了 有 效 负 载 。 C 2 服 务 器 回 复 以 下 消 息 （ 为 清 楚 起 见 ， 省 略 了 T C P 数 据 包 ） ：   图 8 . 服 务 器 响 应 。 响 应 包 括 具 有 有 效 载 荷 长 度 （ 2 4 个 字 节 ） 的 标 头 ， 一 条 命 令 （ 0 x 0 2 0 1 ） 和 有 效 载 荷 的 C R C 3 2 校 验 和 。 在 2 4 个 字 节 的 有 效 载 荷 用 于 将 e x f i l t r a t e d 数 据 进 行 加 密 是 我 当 时 的 发 回 给 C 2 服 务 器 ， 我 们 将 在 下 一 节 中 看 到 。   密 码 学 密 码 学   数 据 发 送 回 C 2 服 务 器 使 用 的 变 体 进 行 加 密 B l o w f i s h 加 密 算 法 ，   这 是 用 来 安 全 的 游 戏 资 源 的 宁 天 童   和 ， 最 近 ， I N C O R P   Ø 额 定 为 卡 巴 斯 基 实 验 室 的 反 向 工 程 挑 战 。 以 下 是 公 开 可 用 的 加 密 代 码 ， 这 是   从 反 向 工 程 的 D S   ：  
图 9 . 反 向 工 程 的 N i n t e n d o   D S 加 密 例 程 ， 来 自 h t t p s : / / g i t h u b . c o m / R o c k e t R o b z / N T R _ L a u n c h e r _ 3 D / b l o b / m a s t e r / t w l n a n d - s i d e / B o o t L o a d e r / s o u r c e / e n c r y p t i o n . c 。 然 后 ， 我 们 从 预 加 载 的 库 中 获 得 了 反 编 译 的 加 密 例 程 ：  
图 1 0 . 来 自 恶 意 软 件 的 相 应 加 密 例 程 。 特 别 要 注 意 ， 使 用 常 量 0 x 1 2 、 0 x 1 1 2 、 0 x 2 1 2 和 0 x 3 1 2   ， 这 与 标 准 的 B l o w f i s h 实 现 不 同 。 （ 分 解 后 的 代 码 在 功 能 上 与 G a m e b o y 例 程 相 同 ， 只 是 由 于 循 环 展 开   和 其 他 编 译 器 优 化 而 不 同 。 ）   虽 然 底 层 的 加 密 例 程 直 接 来 自 可 公 开 获 得 的 代 码 ， 但 恶 意 软 件 作 者 采 用 了 一 些 其 他 技 巧 来 阻 止 分 析 和 解 密 。 B l o w f i s h 和 N i n t e n d o 变 体 都 需 要 一 个 n   S 盒 查 找 表 ， 该 表 在 整 个 加 密 和 解 密 过 程 中 保 持 不 变 。 但 你 n l i k e 任 天 堂 执 行 ， 恶 意 软 件 发 生 变 异 š   它 的 S - b o x 后 才 能 使 用 。 首 先 ， 由 于 该 表 是 从 程 序 存 储 器 中 加 载 的 ， 因 此 要 进 行 几 次 静 态 转 换 ， 这 使 得 将 存 储 的 表 与 用 于 加 密 的 表 之 间 的 关 联 变 得 更 加 困 难 。 然 后 加 密 算 法 针 对 其 自 己 的 S - b o x 的 一 部 分 运 行 ， 并 在 每 个 步 骤 对 其 进 行 转 换 。 使 用 从 C 2 服 务 器 接 收 到 的 2 4 字 节 有 效 负 载 的 一 部 分 来 初 始 化 此 过 程 。   修 复 该 表 后 ， 便 开 始 实 际 的 加 密 。 Ť 他 的 恶 意 软 件 时 提 高 了 任 天 堂   通 过 增 加 实 现   密 码 块 链 （ C B C ）   。 与 C B C ， 每 8 字 节 的 明 文 块 是 第 一 X O R   Ë   d 对 来 自 先 前 块 的 加 密 输 出 ， 然 后 该 值 被 加 密 。 结 果 是 一 条 链 ， 其 中 每 个 块 的 加 密 值 取 决 于 前 一 个 块 的 值 。 为 了 开 始 该 过 程 ， 将 第 一 块 与 初 始 化 向 量 （ I V ） 进 行 异 或 。 这 里 ，   I V 本 身 是 来 自 C 2 服 务 器 的 有 效 载 荷 的 前 8 个 字 节 和 后 8 个 字 节 的 X O R 。     如 果 没 有 C B C ， 则 对 称 加 密 算 法 m 会 在 块 大 小 较 小 以 及 其 他 一 般 情 况 下 的 攻 击 时 容 易 受 到 频 率 分 析   的 影 响   。 看 来 ， 牛 逼 他 这 个 恶 意 软 件 的 作 者 去 的 麻 烦 数 量 惊 人 ， 以 加 强 任 天 堂 D S 加 密 ， 形 成 鲜 明 对 比 的 喧 闹 的 行 为 I R   s s h i n s 安 装 程 序 。     结 论 结 论   如 果 不 让 我 们 受 损 的 测 试 机 保 持 与 互 联 网 的 连 接 并 用 于 恶 意 目 的 ， 就 很 难 确 定 作 者 的 确 切 动 机 。 但 是 ， 由 于 该 恶 意 软 件 会 编 录 详 细 的 系 统 信 息 和 凭 证 ， 但 不 会 立 即 开 始 挖 掘 加 密 货 币 或 通 过 尝 试 进 一 步 传 播 来 扩 大 攻 击 范 围 ， 因 此 我 们 怀 疑 对 受 感 染 机 器 的 访 问 将 作 为 僵 尸 网 络 的 一 部 分 出 售 或 出 租 。  
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理