正文

快讯：使用21个漏洞传播的DDoS家族WSzero已经发展到第4个版本

admin
admin V管理员 /0 评论 /286 阅读
0110
此篇文章发布距今已超过618天，您需要注意文章的内容或图片是否可用！

概述

近期，我们的BotMon系统连续捕获到一个由Go编写的DDoS类型的僵尸网络家族，它用于DDoS攻击，使用了包括SSH/Telnet弱口令在内的多达22种传播方式。短时间内出现了4个不同的版本，有鉴于此，我们觉得该家族未来很可能继续活跃，值得警惕。下面从传播、样本和跟踪角度分别介绍。

传播分析

除了Telnet/SSH弱口令，我们观察到wszero还使用了如下21个漏洞进行传播：

VULNERABILITY AFFECTED
CVE_2014_08361 Realtek SDK
CVE_2017_17106 Zivif Webcams
CVE_2017_17215 Huawei HG532
CVE_2018_12613 phpMyAdmin 4.8.x before 4.8.2
CVE_2020_10987 Tenda AC15 AC1900
CVE_2020_25506 D-Link DNS-320 FW v2.06B01 Revision Ax
CVE_2021_35395 Realtek Jungle SDK
CVE_2021_36260 Hikvision DVR
CVE_2021_46422 Telesquare SDT CW3B1
CVE_2022_01388 F5 BIG-IP
CVE_2022_22965 Spring
CVE_2022_25075 TOTOLINK A3000RU
CVE_2022_26186 TOTOLINK N600R
CVE_2022_26210 TOTOLINK A830R
CVE_2022_30525 Zyxel Firewall
CVE_2022_34538 Digital Watchdog DW MEGApix IP cameras
CVE_2022_37061 FLIR AX8 thermal sensor cameras
DLINK D-Link DSL-2750B
CVE-2018-10561 Dasan GPON home router
SAPIDO RB-1732 command line execution SAPIDO RB-1732
PHP Backdoor PHP 8.1.0 dev Backdoor

样本分析

简单来说，wszero是一个Go语言编写的DDoS类型的僵尸网络家族，它被命名为wszero的原因是它的下载链接中的文件名多为zero.*这种形式，并且最新版本C2协议基于websocket，所以将其缩写为wszero。基于样本的C2协议、主机行为和C2加密等方面特征，我们把已经捕获的wszero分为4个大的版本，其捕获的时间线如下：

  • 2022年11月18日，首次捕获到wszero v1
  • 2022年11月21日，捕获到V2样本
  • 2022年11月24日，捕获到V3样本
  • 2022年11月26日，捕获到V3.x样本
  • 2022年11月29日，捕获到V4样本

下面是这4个版本一些具体特性的对比:

Version C2 Decryption Exploit Tel/SSH Crack Protocol Platform Persistence Instruction
v1 176.65.137.5:1401 SUB1 0 No TCP Linux YES print,attack,command
v2 176.65.137.5:80 NO 0 No WS Linux YES print,attack,command
v3 zero.sudolite.ml SUB 1 0 No WSS Linux YES print,attack,command
v3.x zero.sudolite.ml SUB1 21 YES WSS Linux/Windows YES kill,attack,update,ping,stop,command,enable_scan,disable_scan
v4 176.65.137.5:80 SUB1 21 YES WS Linux/Windows YES kill,attack,update,ping,stop,command,enable_scan,disable_scan

因为使用Go编写并且未作混淆，从wszero样本中能容易的恢复出函数符号和功能逻辑等，因此我们不做详细的样本分析，下面着重介绍下wszero的C2存储和通信。

C2存储和解密

V1和V3都使用了加密的方式存储C2，其中V1的C2保存在样本的rodata段中，而V3则存放在局部变量中，如下图所示。

它们的解密方法相同，都为SUB 1算法，即逐字节减一。上图中将V3的局部变量拼接后，再进行解密就得到了C2以及URI。

C2协议

Wszero的C2消息使用了一个自定义的JSON串，不同版本间有几个JSON字段的微小差别。最初版本的底层传输协议使用TCP，后续版本换成了WEBSOCKET，以及TLS保护的WEBSOCKET，下面分别介绍。

上线包格式

当C2连接建立后，C2会主动向BOT发送Banner信息提示输入用户名，BOT首先向C2发送硬编码的用户名，接着再发送JSON格式的BotInfo，形如 {"platform": "%s", "gcc": "%s", "cpu": %d, "payload": "%s"} ，其中payload指的是分组信息。

底层传输协议的变化

V1版本采用了TCP，V2和V4基于WEBSOCKET，V3同样基于WEBSOCKET，但强制使用TLS对WEBSOCKET进行保护。

以V2为例，BOT和C2首先进行建立ws连接，

接着再发送BotInfo，内容格式依然为JSON串。

指令

当Bot注册成功后，就开始等待并执行C2下发的指令。指令消息同样是JSON格式，有Type， Data，Command 3 个key，其中Type用于指定DDoS或Command任务类别，Data/Command则分别用于存储DDoS选项，系统命令及参数。相关解析代码如下。

下面是我们实际接收到的HTTP_BYPASS攻击指令，当Bot接收到这个指令后就会使用该方法对目标进行攻击。

除了HTTP_BYPASS, wszero还支持TCP/UDP/ICMP等多种协议的攻击方法，完整列表详见下图。

指令跟踪情况

分析出这个新家族后，我们迅速做了跟踪处理，在2022年11月23日首次接收到DDoS攻击指令，具体DDoS攻击趋势如下图所示：

能看出来其攻击指令的下发并不是很频繁，这可能跟这个家族还处于早期发展阶段有关。目前其C2仍在活跃，并且频繁下发更新指令。

结尾

今年我们已经观察到多起使用Go开发的全新botnet家族，wszero只是其中之一。其作者在10多天的时间内做了4次大的升级，说明该家族还在发展之中，未来可能会继续推出新的版本。对此我们会持续关注，有新的发现将会及时公开。

联系我们

感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。

解决方案

基于Netlab多年研究工作孵化的360全系列DNS安全产品均已支持文中远控服务器的拦截和检测，同时内置多种算法可有效发现和拦截各种未知威胁，建议企业客户接入360 DNS安全SaaS平台或部署本地360DNS安全产品，及时防范此类新型威胁，避免企业资产失陷。联系人: [email protected]

IoC

C2

176.65.137.5 zero.sudolite.ml

Loader IP

176.65.137.6 176.65.137.5

Sample

aabca688b31eb962a7a2849c57000bea 86827dc70c5001633b801b7b7fa8a9b9 0642bc041c2e4a74fbf58537a2305543 13e1966f13274c71d39e4aea7f62127e 271aebe152b793765a75e5e89d24cdbd 27f66ef808e5497528c653ba862822b7 2eca5324301a55dfa5b5d2c2b67ab9d0 342a5c7e1eb3ead0b6ddeeed4f1a811f 3627e6848eb9f6a28c7c83b347753f26 367b9095e93d27fc1a684a90a77e82f9 40b3bb4e7d00377cbd9d100b39d26ac0 45bc7cd7c7acdf679d1f3ceceb7d6602 4a5e9ffd3ce77d5269033b8032426e45 513a8036ca358b0acfce30903f95f12b 52d21fbad081d699ec6e041fcdd6133c 59d635cca6de9c417995ab5fa5501829 5eea56fc1f7a373973dc9ff0cc8fe86f 62c11ea75e82611b6ba7d7bf08ed009f 62eeda48db5d0f5c6ee31112fe0c18ee 6b6cac5bd765178545b0fa3caa0fd99b 72ad17b874a956fdb4c969a03924aea2 777a4bdda609735b1dd784b98fe27693 79a7fc0ae8222f29e9c6e133f7a33b4b 823c7b89db6a35345f205bb64769d5ef 83d647c9749e9a5a5f9c6ae01747a713 857dfb390d02f5ca93a37ffa2f0cbde2 871624995190fe3310f553f0fbc61b0e 88b98664c3c901242c73e1d8f18a47eb 8d85e3e0328cdd51c83fb68e31a28e62 8e2efc8f7edd7dfff4bad7126d30e254 8f55245e24c4e84df7e8dddd19523d93 9039df359128850de1b3ee1240b150d6 9606e8903df98f59a827be8876ace389 9d396b48773ccbc5fdb3ffc2fb7c20f6 9daae12c05a9a21c405c9319fc49c358 ae504e3f08e2fef8e95100811fe8e2be b36b340ba9947dae7b5bab3e1330d53a b7c841eb41d6233ff67006177a507c66 bbfefb41c71896f7433b58376218553d bef01d6529c5250de0662547d75959b2 c5e6aae51d97acb44339ae4d5f296b4f c8cfc2ddb08f812f6440b8918a916c75 d418109e5d81d48da12fe271cd08c61a da86780f3a94c1aa6ea76fdfcb5db412 de28becdcbc5400261a809420c5953e3 ec0d832b564606660645e15f3b28fceb f635dfefc35ad532d2ad9a08cb4864bd f7cde1a55211f815bc3a6aecd04f731b fcbb9872ea0fe1af63254b65c4475ee8 fe8e1f4680355b1093536165e445fa8e

https://ZhouSa.com