搜索

[3395] 2016-12-22_LinuxRakos威胁嵌入式设备与服务器的新型Linux恶意软件

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-16
2016-12-22_LinuxRakos威胁嵌入式设备与服务器的新型Linux恶意软件 L i n u x / R a k o s : 威 胁 嵌 入 式 设 备 与 服 务 器 的 新 型 L i n u x 恶 意 软 件 原 创   E 安 全   E 安 全   2 0 1 6 - 1 2 - 2 2 E 安 全 1 2 月 2 2 日 讯   一 种 被 称 为 L i n u x / R a k o s 的 新 型 L i n u x 恶 意 软 件 正 严 重 威 胁 各 类 设 备 与 服 务 器 ， 其 恶 意 代 码 以 G o 语 言 编 写 而 成 ， 且 二 进 制 文 件 通 常 使 用 标 准 U P X 工 具 进 行 压 缩 。 该 恶 意 软 件 通 过 S S H 扫 描 搜 索 攻 击 目 标 。 最 近 国 外 已 经 有 众 多 沮 丧 的 用 户 在 论 坛 上 抱 怨 其 嵌 入 式 设 备 已 经 被 大 量 计 算 与 网 络 任 务 所 吞 没 ， 怀 疑 是 被 恶 意 软 件 所 攻 击 感 染 。 据 研 究 人 员 分 析 ， 此 轮 攻 击 通 过 暴 力 破 解 S S H 登 录 凭 证 的 方 式 实 现 ， 这 一 点 与 其 它 L i n u x 恶 意 软 件 、 包 括 L i n u x / M o o s e 非 常 相 似 。 新 的 恶 意 软 新 的 恶 意 软 件 件 L i n u x / R a k o s 能 够 利 用 一 个 开 放 能 够 利 用 一 个 开 放 S S H 端 口 同 时 入 侵 嵌 入 式 设 备 及 服 务 器 ， 而 作 为 问 题 的 根 源 ， 该 开 放 端 口 仅 受 到 一 条 易 被 猜 到 的 密 端 口 同 时 入 侵 嵌 入 式 设 备 及 服 务 器 ， 而 作 为 问 题 的 根 源 ， 该 开 放 端 口 仅 受 到 一 条 易 被 猜 到 的 密 码 的 保 护 。 此 恶 意 软 件 一 旦 成 功 入 侵 设 备 ， 即 可 将 其 纳 入 僵 尸 网 络 并 用 于 实 现 规 模 更 大 的 恶 意 活 动 。 该 恶 意 软 件 基 于 一 份 特 定 码 的 保 护 。 此 恶 意 软 件 一 旦 成 功 入 侵 设 备 ， 即 可 将 其 纳 入 僵 尸 网 络 并 用 于 实 现 规 模 更 大 的 恶 意 活 动 。 该 恶 意 软 件 基 于 一 份 特 定 I P 地 地 址 列 表 对 互 联 网 进 行 扫 描 ， 而 后 逐 步 扩 散 至 更 多 目 标 处 。 址 列 表 对 互 联 网 进 行 扫 描 ， 而 后 逐 步 扩 散 至 更 多 目 标 处 。 在 某 些 情 况 下 ， 攻 击 者 甚 至 能 够 入 侵 受 到 强 密 码 保 护 的 设 备 — — 无 论 其 是 否 启 用 在 线 服 务 — — 并 通 过 恢 复 出 厂 设 置 的 方 式 将 其 还 原 为 默 认 密 码 。 这 套 攻 击 链 首 先 通 过 Y A M L 格 式 标 准 输 入 （ s t d i n ） 加 载 一 个 配 置 文 件 ， 该 文 件 中 包 含 命 令 与 控 制 服 务 器 （ 简 称 C & C ） 列 表 等 信 息 ， 且 列 表 中 的 全 部 凭 证 皆 可 用 于 对 目 标 设 备 进 行 暴 力 破 解 。
接 下 来 ， 该 恶 意 软 件 会 从 h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 1 3 1 4 启 动 一 项 本 地 H T T P 服 务 。 根 据 发 布 的 相 关 分 析 结 论 ， “ 此 项 服 务 的 安 装 理 由 有 二 ： 其 一 是 采 取 一 种 巧 妙 而 狡 猾 的 方 法 ， 即 通 过 调 用 其 一 是 采 取 一 种 巧 妙 而 狡 猾 的 方 法 ， 即 通 过 调 用 h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 1 3 1 4 / e t 利 用 该 利 用 该 b o t 的 未 来 版 本 关 闭 当 前 运 行 实 例 的 未 来 版 本 关 闭 当 前 运 行 实 例 — — 无 论 是 具 体 名 称 为 何 无 论 是 具 体 名 称 为 何 ; 其 二 是 尝 试 调 用 其 二 是 尝 试 调 用 h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 1 3 1 4 / e x 以 解 析 一 条 以 解 析 一 条 U R L 查 询 中 的 查 询 中 的 ‘ i p ’ 、 、 ‘ u ’ 以 及 以 及 ‘ p ’ 等 参 数 。 截 至 发 稿 之 时 ， 这 项 等 参 数 。 截 至 发 稿 之 时 ， 这 项 / e x   H T T P 资 源 的 目 的 仍 不 明 确 ， 而 且 其 在 代 码 的 其 余 部 分 中 并 未 再 次 得 到 引 用 。 资 源 的 目 的 仍 不 明 确 ， 而 且 其 在 代 码 的 其 余 部 分 中 并 未 再 次 得 到 引 用 。 ” 安 全 专 家 们 还 注 意 到 ， 此 此 L i n u x 恶 意 软 件 会 创 建 一 套 恶 意 软 件 会 创 建 一 套 W e b 服 务 器 以 监 听 全 部 接 口 。 服 务 器 以 监 听 全 部 接 口 。 C & C 服 务 器 会 对 多 个 I P 地 址 上 的 S S H 服 务 进 行 扫 描 。 恶 意 软 件 研 究 人 员 们 还 注 意 到 ， 该 木 马 的 其 它 早 期 版 本 原 本 会 扫 描 S M T P 服 务 ， 但 这 一 特 性 已 经 在 当 前 版 本 中 被 禁 用 。 当 该 恶 意 软 件 成 功 利 用 自 身 凭 证 接 入 目 标 设 备 时 ， 其 会 运 行 两 条 命 令 （ i d ， u n a m e - m ） 。 而 后 ， 该 恶 意 代 码 会 检 查 是 否 有 可 能 将 自 身 上 传 至 新 的 感 染 目 标 ， 并 周 而 复 始 。
这 项 后 门 能 够 更 新 该 配 置 文 件 （ 通 过 h t t p s : / / { C & C } / u p g r a d e / v a r s . y a m l ） 同 时 对 自 身 进 行 升 级 。 L i n u x / R a k o s 无 法 在 系 统 重 启 后 继 续 保 持 运 行 。 研 究 人 员 们 据 此 提 供 以 下 建 议 ， 用 以 清 理 受 感 染 的 设 备 ： · 使 用 S S H / T e l n e t 接 入 您 的 设 备 · 查 找 名 为 . j a v a x x x 的 进 程 · 在 运 行 n e s t a t 或 者 l s o f 等 命 令 时 配 合 - n 开 关 以 确 保 其 负 责 处 理 不 需 要 的 连 接 · （ 酌 情 ） 通 过 对 对 应 进 程 的 内 存 空 间 进 行 清 空 以 收 集 相 关 证 据 （ 例 如 使 用 g c o r e ） 。 大 家 亦 可 以 利 用 c p   / p r o c / { p i d } / e x e   { o u t p u t _ f i l e } 从 / p r o c 恢 复 被 删 除 的 示 例 · 使 用 － k i l l 结 束 该 进 程 感 兴 趣 的 E 安 全 读 者 可 以 通 过 以 下 链 接 查 看 此 G i t H u b 库 中 的 L i n u x / R a k o s 配 置 示 例 :   h t t p s : / / g i t h u b . c o m / e s e t / m a l w a r e - i o c / t r e e / m a s t e r / r a k o s 。 E 安 全 注 ： 本 文 系 本 文 系 E 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 安 全 独 家 编 译 报 道 ， 转 载 请 联 系 授 权 ， 并 保 留 出 处 与 链 接 ， 不 得 删 减 内 容 。 联 系 方 式 ： ①   微 信 号 z h u - g e l i a n g   ② 邮 箱 e a p p @ e a s y a q . c o m @ E 安 全 ， 最 专 业 的 前 沿 网 络 安 全 媒 体 和 产 业 服 务 平 台 ， 每 日 提 供 优 质 全 球 网 络 安 全 资 讯 与 深 度 思 考 ， 欢 迎 关 注 微 信 公 众 号 「 E 安 全 」 （ E A Q a p p ） ， 或 登 E 安 全 门 户 网 站 w w w . e a s y a q . c o m   ,   查 看 更 多 精 彩 内 容 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理