搜索

[3376] 2016-12-15_Mirai出现新变种，内置有域名生成算法

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-16
2016-12-15_Mirai出现新变种，内置有域名生成算法 M i r a i 出 现 新 变 种 ， 内 置 有 域 名 生 成 算 法 原 创   E 安 全   E 安 全   2 0 1 6 - 1 2 - 1 5 E 安 全 安 全 1 2 月 月 1 5 日 讯 日 讯   新 近 被 发 现 的 新 近 被 发 现 的 M i r a i 僵 尸 网 络 变 种 包 含 有 域 名 生 成 算 法 （ 简 称 僵 尸 网 络 变 种 包 含 有 域 名 生 成 算 法 （ 简 称 D G A ） ， 安 全 研 究 人 员 警 告 称 这 一 特 性 与 此 前 任 何 已 ） ， 安 全 研 究 人 员 警 告 称 这 一 特 性 与 此 前 任 何 已 发 现 的 发 现 的 M i r a i 样 本 皆 存 在 显 著 区 别 。 样 本 皆 存 在 显 著 区 别 。 横 行 物 联 网 的 “ M i r a i ” 恶 意 软 件 出 现 于 几 个 月 前 ， 但 其 凭 借 着 今 年 9 月 末 指 向 安 全 博 主 B r i a n   K r e b s 多 个 网 站 以 及 托 管 服 务 商 O V H 的 数 波 规 模 巨 大 的 分 布 式 拒 绝 服 务 （ 简 称 D D o S ） 攻 击 而 广 为 人 知 。 然 而 更 令 人 震 惊 的 是 ， 就 在 今 年 1 0 月 初 源 代 码 被 正 式 公 布 后 ， M i r a i 又 掀 起 了 新 一 波 威 胁 浪 潮 。 截 至 1 0 月 末 ， 研 究 人 员 发 现 M i r a i 已 经 感 染 了 全 球 1 6 4 个 国 家 的 设 备 。 同 样 是 在 今 年 1 0 月 ， M i r a i 据 称 被 用 于 组 织 针 对 D N S 服 务 商 D y n 公 司 的 大 规 模 D D o S 攻 击 ， 并 直 接 导 致 美 国 众 多 高 人 气 网 站 无 法 为 用 户 正 常 访 问 。 不 出 所 料 ， M i r a i 源 代 码 的 公 开 直 接 导 致 众 多 新 型 恶 意 软 件 变 种 被 创 造 出 来 ， 其 中 包 括 一 款 利 用 T R - 0 6 4 协 议 向 受 感 染 设 备 发 送 指 令 的 M i r a i 类 蠕 虫 病 毒 。 根 据 3 6 0 网 络 安 全 研 究 实 验 室 研 究 人 员 的 说 法 ， 着 眼 于 其 从 6 台 托 管 服 务 器 处 利 用 蜜 罐 捕 捉 到 的 数 据 ， 目 前 至 少 存 在 5 3 种 独 特 的 M i r a i 样 本 。 更 重 要 的 是 ， 研 究 人 员 发 现 新 的 M i r a i 样 本 通 过 T C P 端 口 7 5 4 7 与 5 5 5 5 进 行 传 播 。 另 外 ， 研 究 人 员 还 发 现 该 恶 意 软 件 的 作 者 所 使 用 的 d l i n c h k r a v i t z [ a t ] g m a i l [ d o t ] c o m 邮 箱 还 注 册 了 多 个 新 的 域 名 。 根 据 安 全 研 究 人 员 的 说 法 ， 各 经 过 分 析 的 恶 意 软 件 样 本 采 用 3 类 顶 级 域 名 （ 简 称 T L D ） ， 分 别 为 . o n l i n e 、 . t e c h 以 及 . s u p p o r t ， 且 各 自 配 合 由 1 2 个 字 符 组 成 的 二 级 域 名 ， 其 中 各 字 符 从 a 到 z 这 2 6 个 字 母 中 随 机 选 择 。 安 全 研 究 人 员 们 还 提 醒 称 ， 其 生 成 的 域 名 是 由 月 、 日 外 加 硬 编 码 子 字 符 串 所 构 成 。 然 而 ， 现 在 来 看 这 些 新 的 M i r a i 变 种 只 会 在 硬 编 码 命 令 与 控 制 （ 简 称 C & C ） 域 名 无 法 解 析 时 才 会 使 用 这 些 D G A 域 名 。 另 外 ， 该 恶 意 软 件 每 天 只 会 生 成 一 个 域 名 ， 这 意 味 着 其 每 年 的 最 大 域 名 生 成 量 为 3 6 5 个 。 研 究 人 员 已 经 能 够 成 功 预 测 这 些 域 名 。 根 据 分 析 样 本 可 以 看 到 ， 恶 意 软 件 当 中 包 含 3 台 硬 编 码 C & C 控 制 器 ， 且 其 会 生 成 一 条 随 机 数 字 以 从 前 两 台 控 制 器 中 选 择 一 台 。 然 而 ， 如 果 选 定 的 域 名 无 法 解 析 ， 该 恶 意 软 件 会 根 据 当 前 日 期 重 试 并 利 用 D G A 或 者 尝 试 解 决 第 三 条 C & C 域 名 。
在 1 1 月 1 日 到 1 2 月 3 日 之 间 ， 该 恶 意 软 件 会 选 择 解 析 第 三 个 C & C 域 名 ， 但 在 其 它 时 段 其 会 执 行 D G A 分 支 。 基 本 上 ， 作 者 并 不 希 望 在 1 2 月 4 日 之 前 使 用 各 D G A 域 名 ， 这 与 各 域 名 的 注 册 日 期 完 全 吻 合 。 “ 该 域 名 基 于 子 编 号 及 当 前 日 期 生 成 。 其 子 编 号 会 通 过 调 用 s t r t o l ( ) 由 一 条 硬 编 码 H E X 格 式 客 串 转 换 得 出 。 其 中 配 置 的 一 条 x 9 0 x 9 1 x 8 0 x 9 0 x 9 0 x 9 1 x 8 0 x 9 0 字 符 串 似 乎 存 在 错 误 ， 因 为 其 会 始 终 令 s t r t o l ( ) 返 回 0 值 。 其 本 地 日 期 通 过 调 用 t i m e ( ) 及 l o c a l t i m e ( ) 两 项 C 库 函 数 获 得 。 这 里 只 使 用 月 与 日 两 个 数 值 ， ” 安 全 研 究 人 员 解 释 称 。 在 发 现 使 用 该 D G A 功 能 的 恶 意 软 件 样 本 之 后 ， 安 全 研 究 人 员 们 注 意 到 ， 其 全 部 共 享 具 有 同 样 子 字 符 串 与 算 法 形 式 的 D G A 。 相 关 阅 读 ： 相 关 阅 读 ： L i n u x / M i r a i   E L F   : 专 门 攻 击 物 联 网 设 备 的 恶 意 软 件 物 联 网 恶 意 软 件 “ M i r a i ” 几 乎 感 染 了 全 球 物 联 网 设 备 关 于 D y n / T w i t t e r 受 攻 击 情 况 的 说 明 和 M i r a i 僵 尸 网 络 的 回 顾 “ 菜 鸟 ” 黑 客 给 物 联 网 蠕 虫 M i r a i 新 添   “ 弱 智 ” 功 能 M i r a i 源 代 码 存 在 内 存 缓 冲 区 溢 出 漏 洞 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理