新兴 DDoS Botnet 家族 Ripper 正在持续进化

我们对其样本和 C&C 的关联分析，发现该家族已经传播了数月时间，只不过之前的样本与现在的样本变化比较大。经过梳理，我们暂时把 Ripper 家族的样本分为 3 个版本：V0、V1 和 最新的 V2。

Ripper 的传播机制借鉴自 Mirai：样本中内置 Telnet 弱口令扫描模块，扫描模块会把扫描结果上报给 Report Server，攻击者会根据上报的扫描结果，控制 Loader 向失陷主机植入 Ripper 的木马文件。最新的 Ripper V2 中，C&C 还会通过特定的指令动态更新样本扫描用到的弱口令字典。从我们的威胁监控系统中可以看到，Ripper V2 最近在 7.4 日到 7.6 日有一波积极传播：

以如下 Ripper V2 样本为例，我们对样本关键特性进行分析：

Ripper V2 设定了 3 组工作用的 C&C 服务器，其中地址相同，只是端口不同：

• util_srv_addr: 自己搭建的域名解析服务地址，在攻击指令解析环节和 Socks5 代理服务中用来解析目标域名，端口 15757

• cnc_srv_addr: C&C 控制的服务器地址，端口 15636

• report_srv_addr: 扫描结果上报的服务器地址，端口 20216

Ripper V2 的 C&C 地址字符串经过自定义编码逻辑进行变形，要经过 lets_encrypt() 函数经过解码。对于内置的 C&C "15.217.144.198" 来说，解码的结果就是把首位字符和末位字符对调位置，得出 "85.217.144.191" 就是其 C&C IP。

成功连接 C&C 之后，样本会立即向 C&C 发送上线包。上线包的内容中第一个字节是上线包的指令代码 0x55，后面紧接着就是样本的启动参数(bot_tag)。拼接好之后交给 cnc_send() 函数来发送：

cnc_send() 函数会给需要发送的数据加上前缀和后缀，作为数据起始和结尾的标志：

• 前缀: "x00x01x02"

• 后缀: "x02x01x00"

Ripper V2 的样本目前支持以下控制指令：

样本上线成功后，C&C 一般会先下发指令启动扫描任务，并附带一组扫描用到的弱口令，数据包如下：

注意弱口令列表的数据，每一对弱口令之间会用 "0xFF" 来做间隔字符，后面会调用一个 util_tokenize() 函数来解析这些用 "0xFF" 来隔开的多组弱口令：

struct cmd_pkt {    uint8[3]                    prefix;        // "x00x01x02"    uint8                       cmd_code;    uint32                      target_ip;    uint16                      target_port;    uint32                      duration;    uint8                       atk_code;    uint8                       atk_flag_cnt;    atk_flag[atk_flag_cnt]      flags;    uint8[4]                    subffix;       // "x02x01x00x00"}struct atk_flag {    uint8           flag_type;    uint8           flag_len;  // flag 数据长度(bytes)    char[flag_len]  flag_data; // flag 数据,最长 64 bytes}

Ripper V2 支持的 DDoS 攻击方式共有 7 种：

Ripper V2 的 Attack Flag 数据结构的设计从 Mirai 移植而来，但具体支持的 Attack Flag 与 Mirai 大不相同，Ripper V2 支持 6 种自定义的 Flag：

如果 Bot 收到的攻击指令中，包含针对域名目标的攻击，Ripper V2 会先调用自定义的域名解析函数 resolve_address()，访问自己搭建的服务对域名进行解析：

1. 关键函数均以 "ripper_" 开头，也有其他大量的相同功能和名字的函数

2. V0 和 V1 版本的文件名均为"boat.{CPU_ARCH}"

3. 都有相同的 util_tokenize() 函数，为一些函数做基于特定分隔符的切分、解析，喜欢用 0xFF 作为分隔符

4. 网络数据包都设计成带有特定前缀和和后缀字节串的形式

接下来我们会对这些特性做详细分析。

在终端连续输出以下 3 串符串：

"Komorebirn""Domorebirn""Xomorebirn"

Ripper V0 指令特征：

• 所有的指令以      "rnnr" 4 个字节为结尾标志

• 指令中各字段以      "0xFF" 为分隔符

各指令总结如下：

上线包：第一个字节为 0x00，第二个字符为分割标志字符 0xFF，第三部分为第一个命令行启动参数，最后为数据包结尾标志："rnnr"

指令包也都是以 "rnnr" 结尾，样本中会把结尾 4 个字符去掉再解析、执行指令：

在函数 cmd_handle() 中，样本会把从 C&C 收到的数据调用 util_tokenize() 函数，以 "0xFF" 为分隔符做切分、重组，最后再根据解析好的指令执行相应动作：

util_tokenize() 函数反编译结果如下：

C&C 仍然硬编码在样本中，不过同一个 C&C IP 开了两个服务端口：

• 5900，常规 C&C 服务端口，用来控制 Bot 行为

• 5901，API Server 端口，用来给 Bot 下发工作中用到的数据，比如 Scanner 口令、Table Entry 相关数据等

Ripper V1 的上线包比 Ripper V0 包含的信息更丰富，各字段说明如下：

样本从 C&C 的 API Server 中给你接收到的数据，也是以 "0xFF" 作为字段分隔标志，并用与 Ripper V0 几乎相同的 util_tokenize() 函数来解析、重组数据：

Ripper V1 攻击指令包的结构与 Ripper V0 也大不相同，Ripper V0 的攻击指令数据中，各字段会以 "0xFF" 分隔，最后以 "rnnr" 结尾；Ripper V1 的指令包，采用了固定长度的结构，各个字段之间无分隔符。结构如下：

然后解析其余数据，提取字段、重组后面 DDoS 攻击要用到的结构体：

Ripper V1 支持的 DDoS 攻击方式以及对应的指令码如下：

鉴于 Ripper 在样本层面的频繁变动持续升级，以及逐步开展 DDoS 攻击，我们会对 Ripper 家族的活动持续监控。

b73116306de407394bee825ff4d95091

364a1676d638e5069ab88cb98288bef2

4a1fb73a6f09468b8ab0fc7478fe715a

4d3312115eb5694a7e7769867fcf227a

53fa2ebff19861c6a381d802a8bef9ba

79ee10eb0c48c8bf4fa6deb342db1a99

8845e1c8daf7545bfde3ddf6729664a4

908ab5382ee42c0ab034820730d6ba09

99ab1760db8fe89b556a943afdd105ee

bc87628437819895c031ecb72a70659a

c55cbde42ff1cbf09ed07ca98ca1f017

e9c5048652f4263d9daf4a3af5c3709d

015e73f206790663b1efba854d9888ee

087b071253958042dd74d53475666d78

78f1155bc7a9c0a89a3d30992e0efb5f

1387c774b707ab1c379acc3ef882b214

c244f9422006848e3893d0b8b8fc6b8f

C2

85.217.144.191:15636

85.217.144.191:15757

85.217.144.191:20216

194.55.224.126:1738

194.55.224.182:5900

194.55.224.182:5901