此篇文章发布距今已超过15天,您需要注意文章的内容或图片是否可用!
近期,中国电信安全公司监测发现两个在互联网上快速传播的DDoS僵尸网络,通过跟踪和监测发现境内已有5000余台主机被控制,且每日会针对多个攻击目标发起DDoS攻击,给网络空间带来较大威胁。
本次传播的两个僵尸网络分别是mirai和fodcha家族,经过进一步分析,我们推断这两个僵尸网络与2022年披露出来的fodcha僵尸网络属于同一黑产组织。fodcha僵尸网络自从被披露以来多次更新恶意程序,对多个国家和地区进行DDoS攻击,牟取巨大利益。本文将从运营商视角,运用中国电信全网分析能力,结合威胁情报,对僵尸网络进行全面分析。
本次传播的两个僵尸网络的恶意样本挂载在IP为 193.124.205[.]33[:]4782的主机上。下文将结合中国电信全网分析能力,分析这两种恶意家族在全网态势下的分布和攻击动向。
mirai恶意样本中内置的C2域名为skt.bsktem[.]online,该域名的解析IP地址为193.124.205[.]33,C2端口是1985,截至目前,该IP和端口依旧可以通联。fodcha恶意样本中内置了两个C2域名,分别是hei.8b8n[.]com和hei.h52l[.]com。其中,hei.8b8n[.]com并未查到任何解析记录,而hei.h52l[.]com域名解析到了IP为193.124.205[.]4的主机上,通联端口会从8982、9892、2001、39104四个端口中随机选取一个。目前该IP依旧存活,只是相关通信端口已经关闭。通过持续监测与这些IP地址和端口通信的主机,可以获取全网被控主机的情况,结合中国电信netflow数据测绘统计结果如下图1所示。从上图可以看出,mirai僵尸网络自9月17日起陆续有被控主机与C2服务器进行通信,在19日达到最大值,随后逐渐进入平稳状态,平均每日有449台主机与C2服务器进行通信,截至10月15日共计有5804台主机受到感染。而fodcha僵尸网络则是自9月21日起陆续有受害主机开始与C2服务器进行通信,在9月23日达到最高点,随后逐渐下降。该僵尸网络从活跃起仅不到一周时间,攻击者便关闭了相关服务,我们推断这是攻击者为测试僵尸网络性能而进行的一次测试性部署。截至目前,结合中国电信netflow数据统计,一共有6374台主机被两个僵尸网络感染,被感染主机分布区域如下图2所示。僵尸网络不同于其它恶意病毒,不仅会感染个人电脑和服务器等设备,还会入侵路由器、摄像头等物联网设备,从而获取大量被控主机,因此僵尸网络恶意样本通常利用弱口令爆破和漏洞进行无差别攻击,从下图2也可以看到被控主机分散在全国各地。鉴于fodcha僵尸网络的C2服务已经关闭,我们无法与之进行通信从而监控其DDoS攻击行为。mirai僵尸网络目前依旧活跃,我们分析了其通信协议,并在10月12日成功与之通信。攻击者每小时的攻击趋势如下图3所示。截至目前,我们一共收到1067条攻击指令,平均每日的攻击指令约213条。从下图3我们可以发现,攻击者在上午11点至凌晨期间最为活跃,因此我们推断攻击者应该处于东五区区域内。在这1067条攻击指令中,共有2110台主机被DDoS攻击,这些被攻击的主机分布如下图4所示。截至目前,中国被攻击次数最多,有2087台主机被攻击,约占总体的98.91%。其中,各省遭受DDoS攻击情况如下图5所示,以浙江受害资产最为严重,共计1176台主机受到DDoS攻击;山东次之,有337台主机被DDoS攻击。2022年1月,fodcha僵尸网络样本被安全研究人员首次捕获。同年4月份,该黑产团伙对fodcha样本进行更新,增加xxtea算法,对配置信息进行解密,采用OpenNIC和ICANN的双C2结构,防止C2被接管,从而增加主控网络的健壮性,在代码中添加反沙箱和反调试功能。同年6月份,该团伙采用结构化的配置信息,去除反沙箱和反调试功能,随后在7月份额外新增了一组ICANN C2域名。
对本次捕获到的fodcha恶意样本进行分析,可以发现该版本的恶意样本与过往版本的不同之处。本次恶意样本的运行流程图如下图6所示。
图6 fodcha恶意样本流程图
相比于之前版本的恶意样本,本次fodcha不再利用xxtea算法对配置文件进行解密,而是采用chacha20加密算法。该加密算法的key值和nonce值硬编码在了恶意样本中,如表1所示。表1 fodcha加密算法密钥
根据上述表格中的密钥,我们成功解密出来恶意样本的配置文件如下图7所示。
图7 fodcha配置文件
通过解密得到两个域名hei.8b8n[.]com和hei.h52l[.]com,这两个是攻击者C2服务器的域名,会在后续与C2服务器通信时用到。利用中国电信安全公司威胁情报中心的画像平台,可以有效识别出这两个恶意域名,如下图8所示。图8 fodcha恶意域名识别
程序运行后会绑定自身主机127.0.0.1,并监听37922端口。如果该端口已有程序绑定会退出程序,从而实现在同一时间内仅会运行一个恶意程序。恶意程序会根据上述解密出的两个C2域名,与服务器进行通联。在成功建立连接后,需要进行如下3个阶段的校验,通过后才会获取攻击者的攻击指令和控制指令。在第一阶段中,被控主机会向C2服务器请求chacha20的加密密钥,在此之后,被控主机和C2服务器之间的通信数据均会采用该密钥进行加密,从而躲避流量层面的检测。1.bot端向C2发送数据包请求chacha20加密算法的key和nonce;2.bot端向C2发送数据包,数据包使用第一阶段key和nonce进行加密;通过上述通信校验后,攻击者会向被控主机发送一系列攻击指令和控制指令,我们总结出该样本的所有指令,如下表2所示。其中攻击指令4、5、6用于上述的通信校验,1、2、3、8用于后续的攻击指令解析。相比于之前的版本,本次fodcha恶意样本增加了shell命令执行功能。表2 fodcha指令列表
2017年9月30日,mirai僵尸网络的作者在黑客论坛上公布了mirai的源码,自此之后,无数黑产组织开始对mirai源码进行修改,从而运行自己的mirai僵尸网络。从那时起,mirai僵尸网络无法显著标识某一黑产组织,而是与多个黑产组织相关联,这也使安全研究人员更加难以溯源此类攻击。在本次恶意样本捕获中,该站点上同时挂载了mirai和fodcha两种僵尸网络的恶意样本,我们因此得以确定这是fodcha背后的黑产组织所部署的另一个僵尸网络。
本次所捕获到的恶意样本仅仅去除了mirai源码的telnet扫描模块,以及修改了mirai源码的配置文件解密算法,除此之外并未做其它大的改动,在此仅对其配置文件解密算法进行介绍。不同于mirai使用4字节密码进行异或解密,该恶意样本维护了一个80字节的密码表用于配置文件解密,每次取4字节与密文逐字节进行异或。解密算法如下图9所示。通过对配置文件进行解密,得到C2的服务器域名为skt.bsktem[.]online,利用中国电信安全公司威胁情报中心的画像平台,可以有效识别出该恶意域名,如下图10所示。被控主机随后通过解析该域名与C2服务器进行通联,后续的通信协议与mirai源码一致,在此不再赘述。自2022年4月fodcha僵尸网络样本被披露出来以后,其背后的黑产团伙在短短四个月内便对fodcha恶意样本进行了4次更新。对于DDoS黑色产业来说,单一的僵尸网络无法做到一劳永逸,仍旧有被安全人员发现和披露的风险。
该黑产团伙自2022年被多次披露后便“销声匿迹”,而根据本次所捕获到的恶意样本,我们可以发现该黑产团伙除一直在更新fodcha恶意样本之外,仍在致力于部署多个僵尸网络,来保证其黑色产业的平稳运行。随着联网设备的增多,无论是企业还是个人,风险暴漏面都在随之增加。中国电信安全公司建议:
1.广大网民定期更换密码,不使用弱密码以及默认密码;2.企业梳理资产列表,定期进行漏洞扫描,并及时修复相关漏洞;
3.设备厂商及时下发补丁,修复相关漏洞。
天翼安全科技有限公司(中国电信安全公司,简称“电信安全”)威胁情报中心致力于海量威胁情报的建设工作,并利用全网视角进行生产泛化,形成独特的差异化优势和资源禀赋。目前,威胁情报中心聚焦的情报类型覆盖远控、恶意软件、钓鱼、勒索、挖矿、博彩、色情、APT等主流失陷情报,同时收录基于全网态势感知生产出的海量攻击IP情报,主体失陷情报达千万数量级,攻击信誉情报达千万级,情报数据秒级更新,基础数据实现T+1小时级更新。电信安全提供威胁分析报告服务和安全画像平台,能够在无任何侵入式产品部署的条件下,仅通过输入企业资产IP,便可实现对企业内部存在的勒索病毒风险进行实时检测,第一时间锁定内部安全风险。
未来,电信安全威胁情报研发中心将持续提升威胁情报的准确性及全面性,拓展安全场景服务,为政企客户提供更全面、更丰富、更可靠的网络安全服务。
供稿:产品设计部-威胁情报中心
排版:林芹宇
校对:李雪、陈师慧
执行主编:田金英
主编:冯晓冬
推荐站内搜索:最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
ZhouSa.com-周飒博客
还没有评论,来说两句吧...