搜索

[9662] 2015-12-20_黑吃黑：鬼影DDoS黑客追踪

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2015-12-20_黑吃黑：鬼影DDoS黑客追踪 黑 吃 黑 ： 鬼 影 D D o S 黑 客 追 踪 安 天 追 影   F r e e B u f   2 0 1 5 - 1 2 - 2 0 0 x 0 0   概 述 概 述 安 天 追 影 小 组 通 过 威 胁 态 势 感 知 系 统 发 现 了 一 个 安 天 追 影 小 组 通 过 威 胁 态 势 感 知 系 统 发 现 了 一 个 D D o S 攻 击 控 制 事 件 。 从 一 个 控 制 事 件 开 始 进 行 了 一 次 黑 客 追 踪 之 攻 击 控 制 事 件 。 从 一 个 控 制 事 件 开 始 进 行 了 一 次 黑 客 追 踪 之 旅 。 经 过 关 联 分 析 找 到 控 制 旅 。 经 过 关 联 分 析 找 到 控 制 C 2 的 样 本 ， 该 样 本 是 采 用 暴 风 内 核 的 的 样 本 ， 该 样 本 是 采 用 暴 风 内 核 的 D D o S 家 族 变 种 ， 运 行 后 安 装 家 族 变 种 ， 运 行 后 安 装 . n e t   c l r   的 服 务 ， 释 放 的 服 务 ， 释 放 h r a 3 3 . d l l ， 进 行 局 域 网 弱 口 令 的 登 录 感 染 共 享 目 录 ， 接 受 黑 客 控 制 等 待 发 起 ， 进 行 局 域 网 弱 口 令 的 登 录 感 染 共 享 目 录 ， 接 受 黑 客 控 制 等 待 发 起 D D o S 攻 击 。 攻 击 。 通 过 黑 客 控 制 服 务 器 域 名 ， 追 踪 发 现 小 黑 客 “ 谭 X “   ， 其 搭 建 的 网 站 有 销 售 D D o S 攻 击 服 务   。 另 外 该 样 本 中 暗 藏 其 它 黑 客 的 后 门 ， 利 用 云 服 务 器 对 该 木 马 进 行 控 制 。 虽 然 没 有 进 行 h a c k i n g   b a c k ， 但 是 通 过 代 码 同 源 性 关 联 发 现 了 鬼 影 V I P 版 本 控 制 端 生 成 的 服 务 端 与 本 次 发 现 的 样 本 高 度 一 致 。 进 而 发 现 了 该 样 本 的 控 制 端 为 鬼 影 压 力 测 试 。 0 x 0 1   样 本 分 析 样 本 分 析 威 胁 感 知 系 统 发 现 一 起 暴 风 控 制 事 件 : 时 间 ： 2 0 1 5 - 1 1 - 1 8   1 4 : 4 3 : 3 5   ， 恶 意 代 码 名 称 :   T r o j a n / W i n 3 2 . S t o r m D D o S . g e n 源 I P :   * . 1 1 3 . 1 4 . 9 0   源 端 口 :   4 9 4 3 6 目 的 I P :   * . * . 5 6 . 8   目 的 端 口 :   8 0 8 0 经 过 关 联 发 现 了 一 些 相 关 的 样 本 ， 其 中 有 一 个 的 M D 5 为   8 B 2 3 9 2 2 A E 8 F A A 5 5 F C E D 2 E B 9 F 1 A 9 9 0 3 B 6 。 运 行 后 安 装 服 务 名 为 . n e t   c l r   的 服 务 ， 然 后 退 出 进 程 。 该 服 务 的 派 遣 例 程 主 要 是 释 放 h r a 3 3 . d l l 并 且 以 资 源 更 新 的 方 式 替 换 注 册 表 下 . n e t   c l r 服 务 对 应 的 镜 像 文 件 。 随 后 创 建 3 个 线 程 。   获 取 用 户 本 地 主 机 I P 地 址 和 端 口 ， 并 进 行 弱 口 令 的 登 录 测 试 以 尝 试 入 侵 到 本 地 主 机 服 务 器 上 。 若 入 侵 成 功 ， 则 在 服 务 器 上 创 建 病 毒 进 程 g f l d . e x e   （ 线 程 1 ） 其 中 进 行 弱 口 令 猜 解 的 登 录 名 及 密 码 以 感 染 整 个 网 段 。 样 本 首 先 获 取 本 机 i p 地 址 ， 假 设 为 1 9 2 . 1 6 8 . 0 . 1 1 ， 后 调 用 a p i   W N e t A d d C o n n e c t i o n 2 A 尝 试 对 整 个 网 段 （ 1 9 2 . 1 6 8 . 0 . 1 ~ 1 9 2 . 1 6 8 . 0 . 2 5 4 ） 进 行 弱 密 码 猜 解 连 接 , 若 成 功 ， 则 调 用 c o p y f i l e A 将 自 身 复 制 到 该 主 机 上 . 远 程 执 行 该 程 序 。 获 取 用 户 的 电 脑 的 操 作 系 统 的 版 本 信 息 、 C P U 处 理 的 频 率 和 数 目 信 息 、 系 统 的 内 存 信 息 、 使 用 的 网 络 流 量 的 信 息 以 及 用 户 电 脑 从 启 动 到 现 在 的 上 线 时 间 ， 将 用 户 的 这 些 信 息 发 送 给 病 毒 作 者 。 向 网 址 . x y z 发 起 连 接 ， 接 受 病 毒 作 者 命 令 控 制 。 . x y z 网 址 是 硬 编 码 到 服 务 端 代 码 中 的 ， 而 暴 风 D D o S 控 制 端 生 成 的 服 务 端 的 网 络 信 息 配 置 是 加 密 保 存 的 。 因 此 硬 编 码 明 文 这 个 网 址 是 一 个 黑 吃 黑 的 后 门 。
图   硬 编 码 C 2 域 名 图   加 密 配 置 域 名 信 息 样 本 8 B 2 3 9 2 2 A E 8 F A A 5 5 F C E D 2 E B 9 F 1 A 9 9 0 3 B 6 网 络 链 接 信 息 如 下 ： 域 名 I P 最 后 活 跃 时 间 操 作 系 统 控 制 端 口 样 本 位 置 h a c k e r 2 2 . c o m 代 码 p u s h 2 c 3 t n 3 a . s s d q p . x y z   阿 里 云 * 5 0 . 4   2 0 1 5 . 1 2   W i n d o w s   8 0 8 0 、 2 0 1 5   代 码 硬 编 码 * . * . 5 6 . 8 2 0 1 5 . 1 1 8 0 8 0 加 密 配 置
关 联 样 本 2 网 络 信 息 如 下 ： 域 名 I P 最 后 活 跃 时 间 操 作 系 统 控 制 端 口 样 本 位 置 h a c k e r 2 2 . c o m 代 码 p u s h a i q i n g . t x d d o s . c o m   * . * . 1 1 8 . 1 2 4   2 0 1 5 . 1 2   W i n d o w s   8 8 8 0 、 8 8 8 8   、 2 0 0 3 代 码 硬 编 码 9 8 s y n . c o m * . * . 2 0 2 . 9 2   2 0 1 5 . 1 1   W i n d o w s   8 0 8 0 、 1 0 7 7 1 、 9 8 5 1 加 密 配 置 0 x 0 2   黑 客 追 踪 黑 客 追 踪 小 黑 小 黑 1   通 过 安 全 事 件 的 I P   * . * . 5 6 . 8 找 到 关 联 的 历 史 域 名 ， 域 名 关 联 出 邮 箱 和 Q Q ， 在 其 空 间 里 面 的 描 述 可 以 确 认 这 个 “ x i a o q i “ 也 有 宣 传 D D o S 服 务 ， 包 括 “ D 单 打 死 付 款 ” ， 另 外 还 做 针 对 韩 国 的 木 马 免 杀 任 务 。 X i a o q i 这 个 名 字 是 其 姓 名 最 后 一 个 字 “ 琪 ” 的 拼 音 ， 人 称 “ 小 琪 ” 。 可 以 得 到 该 黑 客 的 一 个 整 体 信 息 ：
小 黑 小 黑 2 样 本 涉 及 多 个 域 名 ， 有 两 个 有 隐 私 保 护 。 H a c k e r 2 2 . c o m 关 联 了 Q Q 邮 箱 ， 该 邮 箱 还 申 请 了 多 个 域 名 ， 除 了 h a c k e r 外 ， 还 有 d d o s 等 计 算 机 威 胁 敏 感 词 汇 并 且 可 以 注 意 到 注 册 人 的 信 息 ， T a n   q i n g 。 其 中 一 个 域 名 ： * d d o s . c o m 为 该 黑 客 用 来 售 卖 服 务 器 攻 击 的 主 页 。   图   关 联 追 踪 黑 吃 黑 黑 吃 黑 在 黑 客 谭 x 使 用 的 多 个 样 本 中 发 现 的 后 门 至 少 有 两 个 ， 一 个 是 以 . x y z 域 名 采 用 云 服 务 器 ， 另 一 个 是 t x d d o s . c o m , 虽 然 隐 私 保 护 了 。 但 由 于 其 使 用 多 个 域 名 绑 定 一 个 I P ， 导 致 其 信 息 被 追 踪 到 。 号 称 “ 龙 哥 “ 的 幕 后 。
0 x 0 3   开 发 者 追 踪 开 发 者 追 踪 攻 击 者 追 踪 主 要 利 用 域 名 进 行 关 联 ， 特 别 是 非 免 费 域 名 ， 而 开 发 者 追 踪 则 需 要 代 码 同 源 性 的 关 联 ， 该 样 本 的 代 码 与 暴 风 D D o S 代 码 很 相 似 ， 但 是 还 是 有 很 多 变 化 ， 通 过 二 进 制 数 据 特 征 关 联 发 现 与 鬼 影 V I P 的 服 务 端 图 标 是 一 致 的 ， 整 个 程 序 文 件 也 是 高 度 相 似 。 鬼 影 防 火 墙 压 力 测 试 正 是 采 用 了 暴 风 D D o S 的 代 码 开 发 而 成 。 图   图 标 一 致 查 看
图   控 制 端 0 x 0 4   总 结 总 结 在 D D o S 这 种 黑 产 中 小 黑 客 泛 滥 ， 技 术 水 平 不 高 ， 黑 吃 黑 常 有 发 生 ， 攻 击 者 的 控 制 服 务 器 也 从 虚 拟 机 主 机 运 营 商 向 云 计 算 服 务 商 转 移 ， 云 计 算 服 务 商 应 该 在 保 护 自 身 防 御 D D o S 攻 击 的 同 时 也 应 该 担 负 其 发 现 并 阻 止 利 用 云 服 务 器 进 行 黑 客 D D o S 控 制 的 网 络 犯 罪 的 活 动 。 受 到 D D o S 攻 击 的 企 业 则 通 可 通 过 威 胁 情 报 平 台 及 时 获 取 威 胁 信 息 ， 对 D D o S 攻 击 除 了 进 行 防 御 还 可 以 进 行 追 踪 还 击 。 *   作 者 ： 安 天 追 影 （ 企 业 账 号 ） ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理