黑雀攻击：揭秘TF僵尸物联网黑客背后的黑客
颁布功夫 2018-09-29
“螳螂捕蝉黄雀在后 ，不知树下之弹弓也”。沙巴ADLab于2017年首先提出一种高效的黑客攻击伎俩---黑雀攻击 ，并论述了黑客生态中的黑雀攻击景象及黑雀分析步骤 ，开创了黑雀生态的钻研与分析。我们以现实中存在的一款僵尸网络为例 ，论说了在黑客生态圈中所存在的三级黑客架构的黑雀攻击景象（大黑雀、黑雀、螳螂） ，并且颁布了长篇深度分析汇报《黑雀攻击-揭秘Death僵尸网络背后的终极节造者》 ；随后我们披露了”比尔盖茨僵尸”黑客生态圈中的黑雀景象 ，颁布了《揭秘Billgates僵尸网络中的黑雀景象》。而随着物联网这块肥肉被黑客盯上后 ，黑雀也同样盯上了物联网黑客 ，本文我们将告发支持物联网攻击与习染的Ddostf僵尸中所存在的“黑雀景象”。
1、僵尸物联网黑雀分析简述
沙巴ADLab在持久的僵尸生态钻研分析中发现了一款物联网僵尸被宽泛的植入了黑雀。通过对其进行溯源分析确认其是一种支持多CPU平台的Ddostf僵尸网络家族变种。自2016年10月Mirai肆虐美国互联网起头 ，各路物联网病毒如雨后春笋般层出不穷 ，Ddostf僵尸也不甘落后 ，于2017年4月增长了植入黑雀的物联网僵尸 ，可能习染Arm、Mips、X86架构的物联网设备 ，传布宽泛 ，风险极大。
该僵尸网络中多个螳螂黑客节造的僵尸网络异� ；钤� ，同时我们监测到暗藏在该僵尸网络的幕后黑雀也在近期现身 ，别离于2018年9月20日16时59分和9月6日21时23分隔始 ，数次通过UDP FLOOD和TCP FLOOD向高防服务器 (218. 90. XX.XX、118. 184. XX.XX）提议攻击 ，导致服务器业务长功夫中断。
在分析过程中我们还会分析一些有趣的景象：“毒上加毒” ，部门野生黑雀通过技术伎俩像寄生兽一样习染并附着在僵尸法式上 ，黑客在发展自身资源的同时 ，也在无形中援手野生黑雀进行僵尸网络的扩张。这也使得正本的两级黑客模式演造成炼为复杂的三级黑客模式。文中我们将介绍其黑雀攻击的道理以及这种“毒上加毒”的景象。
通过对Ddostf僵尸网络幕后黑雀的追踪分析和样本抽测 ，我们共网络到约500个关联样本 ，其中Arm和Mips架构共262个 ，物联网僵尸占比超过总样本量的一半。分析显示该黑雀至少节造着184个螳螂僵尸网络 ，其中大部门螳螂C&C位于中国 ，但随着国内进攻DDoS力度越来越大 ，很多黑客起头将服务器表迁到网络管控宽松的国度和地域来躲避监查 ，以下是凭据抽样数据绘造的黑雀节造下的螳螂C&C散布地域统计图：
同时 ，我们也对该黑雀节造的我国境内Ddostf僵尸网络螳螂C&C进行了细分 ，数据显示螳螂C&C散布最多的几个省份和地域顺次为香港、北京、江苏、广东、辽宁和贵州等 ，有关散布图如下所示：
2、Ddostf bot 简介
Ddostf bot是当前中国区非� ；钤镜亩嘤布教ń┦缰� ，由国内黑客组织编写 ，因僵尸法式代码蕴含“ddostf”而得名 ，自2015年起大量在黑产社群及论坛颁布和售卖。其版本更迭迅快 ，至2017年4月共进行了8轮更迭。其中最近颁布的版本为天罚压力测试系统V8.1 ，目前该黑客组织关关了对表接口并终场了法式更新。
Ddostf bot 法式使用C说话编写 ，最新版本可入侵Windows平台和Linux平台下的Arm、Mips、X86等多种硬件平台架构的设备 ，相较于传统僵尸病毒 ，Ddostf对多平台的支持尤其是针对智能设备的攻击使其能够把握大量的网络资源 ，无疑会造成更强的粉碎力。Ddostf bot 可针对指标进行12种攻击 ，蕴含TCP flood、ICMP flood、UDP flood、SYN flood、HTTP flood、CC flood等攻击伎俩。
Ddostf bot在最初的编译文件中预留了黑雀攻击接口 ，只管部门下游螳螂黑客发现并去除了该接口 ，但仍有大量的螳螂中招 ，成为黑雀扩大资源的免费劳动力。
3、黑雀发现
在对黑产僵尸网络的分析过程中 ，我们发现一款新型的物联网僵尸在物联网设备中急剧扩散 ，随后我们迅快地获取到了该物联网僵尸的样本。通过样本类似度比对发现该样本为Ddostf僵尸的变种（Ddostf僵尸在以往的多多版本中并不支持物联网设备的习染） ，并且在我们对大量关联样本的批量分析过程中发现 ，该家族的大部门攻击代码城市衔接两个以上C&C节造端 ，并且其中一个C&C节造端的衔接行为异常 ，如大量样本均会尝试对其进行衔接并且做了延长上线。因而我们对这些样本进行了进一步分析并最终确认该僵尸生态中被植入黑雀。
针对我们网络到的约500个僵尸样本 ，绘造样本上线频度占比图如下：
从图中能够看出C&C(v8.ter.tf)上线的频度远高于其他C&C, 凭据黑雀可对下游螳螂黑客的攻击样本进行习染的个性 ，能够判定该僵尸生态中的黑雀即是节造C&C为v8.ter.tf的黑客。
4、黑雀样本分析
由于Ddostf僵尸支持多架构平台 ，我们在别离对Windows和Linux平台的样本进行分析后发现 ，两类平台均存在黑雀攻击的景象 ，但作者对黑雀C&C的加密处置有所分歧。其中Windows端选取了较为复杂的自界说加密算法 ，Linux端则选取了Base64的方式进行编码 ，两种分歧难度的加密暗藏方式也造成黑客在去除黑雀后门时的难杜仔所分歧。我们别离统计了两个平台受到黑雀攻击（带有后门）的样本占该平台总样本的比例。
能够看到受攻击的Windows平台的样本占比显著高于Linux平台 ，也即Windows端肉鸡受黑雀节造比例更高。
通过对该黑雀的信息追踪 ，我们发现了该黑雀最近颁布的v8.1版本节造端和配置幼马 ，并以此为例对其Linux和Windows两类平台的样本进行简要分析。
4.1 Linux平台样本
Linux端样本蕴含X86、ARM和MIPS三种硬件平台 ，但其重要逻辑的实现并无太大差距。黑雀在法式中均使用硬编码的方式存储字符串"djgudGVyLnRm" ，通过Base64解码后可得到域名“v8.ter.tf”。僵尸法式在起头阶段会校验字符串"djgudGVyLnRm"是否匹配 ，若不匹配则打印“不要试图粉碎法式!”并沉启系统。我们在《沙巴ADLab结合电信云堤揭秘Billgates僵尸网络中的黑雀景象》一文中提出过“移花接木”的攻击景象 ，即其它黑雀通过攻击黑雀接口来实现C&C的代替。依此我们从僵尸法式校验黑雀C&C字符串这一� ？槟芄豢闯� ，法式作者也意识到了这一问题 ，并但愿尽可能预防黑雀接口遭到粉碎。只是其伎俩并不高妙 ，很多螳螂黑客通过反编译找到黑雀加密域名和验证字符串 ，同时更改或选取Patch的方式依然可能粉碎接口 ，实现黑雀攻击。
验证成功后僵尸法式会进行如下操作：
（1）权限判定
通过JudgeIfRoot函数凭据文件/proc/cpuinfo可读性判定过程是否ROOT。
（2）过程互斥
若过程权限为ROOT且启动时有参数传递 ，则通过readlink函数获取自身绝对蹊径 ，执行"ps -e"查看过程是否已运行 ，不然退出。
（3）开机自启动
法式在Mvfile函数中会挪用system函数执行号令设置开机自启动：
（4）守护过程
通过fork创建双过程守护 ，并且会切换至/tmp目录。
在此之后法式会开启两个线程 ，其中黑雀线程的主体职能与螳螂线程类似度很高 ，但节造指令职能类型少于螳螂线程。值妥贴心的是黑雀线程会延长60s后上线 ，往往能够蛊惑分析人员 ，使黑雀C&C暗藏在大量的C&C处置中 ，削减被分析发现的可能。
4.2 Windows平台样本
Windows端样本首先会在磁盘根目录windows文件夹下开释子体并自我删除 ，之后通过服务的方式启动子体过程。相校于Linux平台针对域名的单一Base64编码“加密”,法式作者在windows端选取了自界说的加密算法 ，以预防被等闲发现和篡改。需解密的黑雀C&C和黑客C&C如下所示：
解密函数首先会初始化密钥Table ，之后通过蕴含按位异或、行位移等多种方式进行10轮解密操作 ，由于解密流程较为复杂 ，在批量解密域名的过程中我们选取了动态剧本解密的方式进行提取 ，最终会得到解密后的螳螂C&C和黑雀域名。
Windows平台样本的重要逻辑同Linux平台类似 ，首先会进行黑雀域名的验证 ，验证成功后开启黑雀线程 ，但并未做延长上线处置。
我们通过对黑雀域名v8.ter.tf所涉及的windows端样本的编译功夫进行抽样分析 ，绘造如下样本编译功夫轴。
依图所示 ，抽样样本大部门编译功夫集中在2017年4月18日 ，只管很多样本被产业链下游黑客进行过各类包装处置 ，如加强壳、插入Loader加载自界说代码等 ，但主题僵尸模板都是源于僵尸编写者在编译时天生的。所以我们揣摩僵尸造作者是在2017年4月18日17点10分22秒出产了被大量使用的v8.1版本的僵尸模板法式 ，而其它功夫出产的僵尸模板法式并没有得到大规模传布。
4.3 上线数据分析
以V8.1版本Linux X86平台为例 ，僵尸法式各平台的通讯和谈一样 ，在获取推算机有关信息后 ，法式会组包发送给C&C服务器进行上线要求 ，上线包长度为204字节。样本上线数据包体式和上线数据包内存体式如下所示：
4.4 节造号令及其节造职能
当僵尸法式成功上线后 ，会挪用recv函数来期待C&C服务器下发节造号令 ，受限于篇幅 ，我们仅对主控常见号令及其攻击进行单一列举。
僵尸法式从V8.1版本起头增长了出租肉鸡服务 ，可能将僵尸资源租用给下游黑客使用 ，能够看出黑雀占有重大的僵尸网络资源并但愿借此扩大盈利。
5、黑雀演变
Ddostf僵尸网络的节造端在一些论坛和黑产群中宽泛散播 ，我们找到了其中数个汗青版本的节造端和配置幼马 ，针对其中重要版本的演进做了如下综合。
能够看出 ，在较短的功夫内 ，僵尸作者通过不休的技术更新 ，使僵尸病毒从单一平台扩大成为多平台、隐匿性高、可定造性强的僵尸病毒。尤其在增长了物联网僵尸之后 ，Ddostf黑雀僵尸网络的影响领域微风险性大大增长。另表 ，黑雀域名也从最初的多个分散化逐步演变为集中统一化,这有利于域名解析治理的便捷和攻击资源的聚合。其中域名myss.myss.top、myss.basec.cc、myss.ddns.net和klss.ddns.net在2016年后解析频率较低 ，而域名v8.ter.tf 和myss.ter.tf则相对活跃 ，两者关联着大量僵尸样本。由此我们判断该黑雀目前重要操控V8及之后版本的僵尸网络 ，但其同时也具备着提议旧版本僵尸网络DDoS攻击的能力。
6、隐匿的黑雀攻击
分析至此 ，我们已经找到了样本中的黑雀后门 ，筹备收工大吉。但在检测“天罚v8集群压力测试系统.exe”的过程中 ，我们发现事件并没有那么单一� ＝谠於嗽谡Ｔ诵惺辈⑽闯鱿忠斐Ｍ缧形� ，但在点击“监听端口”按钮后法式则会不休提议可疑衔接要求。
由于Ddostf家族的后门问题极度严沉 ，螳螂黑客往往会在去除幼马后门时暗自窃喜 ，放松警惕 ，殊不知一个更大的陷阱在期待着自己——黑雀在节造端同样暗藏了黑雀攻击接口 ，且只会在监听端口后起头成立衔接。将二者绑定在一路不仅能够蛊惑使用沙箱的分析人员 ，还能够在防火墙拦截网络通讯时蛊惑用户。这种针对节造端攻击的风险性无疑数倍于针对木马样本的攻击。由于节造端为Windows平台 ，僵尸造作者为了暗藏自身进行黑雀攻击的恶意主张 ，也为了预防其节造端被其它黑客逆向工程 ，自V8版本后参与了虚构机� ；た�Safengine Shielden进行加壳� ；ぃㄌ底ㄒ蛋姹 ；で慷壬踔燎坑�VMP）。由于脱壳成本极大 ，我们寻找到了旧版本V7进行逆向分析和比对 ，发现法式在监听端口后会自动衔接黑雀的另一后门域名host.ter.tf。针对v8版本 ，固然SE壳抹去了仓库信息且无法对法式代码下断 ，但我们在尝试对网络系统函数下断后 ，经过调试和解密发现了与V7版本一样的黑雀域名。
如域名解析生效 ，V7版本节造端首先会发奉上线包(天罚端) ，上线包有关体式如下所示：
成功成立衔接后节造端法式会期待接管黑雀指令 ，指令共分三种节造类型 ，其中当类型为case 7时 ，法式会通过指令发送的URL地址实现肆意下载执行。如下图所示：
如此一来 ，黑雀就能够等闲节造螳螂黑客执行肆意文件 ，不仅能够进行版本的更新 ，还能够加载肆意恶意软件 ，风险极大。通过域名解析查问我们相识到 ，目前黑雀始终未对该域名进行IP解析 ，也就是说未曾提议过针对节造端的攻击。但不排除黑雀是鄙人一盘大棋 ，只待机遇成熟进行大领域收割。综上 ，我们有理由疑惑黑雀在将来可能借此发起更大规模的攻击 ，必要引起高度警惕。
7、毒上加毒
在分析样本的过程中我们还发现了一些有趣的景象 ，部门Windows平台样本的大幼显著同模板样本误差较大 ，且会成立3个以上的C&C衔接。通过进一步分析我们发现此类样本遭到了野生黑雀攻击 ，代码入口点被更改后加载了自界说Loader ，且病毒代码暗藏在新增的rmnet区段中。
通过度析发现 ，这类野生黑雀攻击实为Ramnit蠕虫病毒所为 ，该蠕虫以各类幼工具的大局在互联网上宽泛传布并形成了重大的僵尸网络。其初次出现于2010年 ，触发后会习染本地和移动硬盘上的EXE、DLL、HTM和HTML文件 ，能够窃取被习染主机的银行凭证、密码、cookie和幼我文件等等。
被攻击法式首先会执行rmnet段 ，运行后会天生并执行srv.exe(upx加壳)同时跳转回原法式入口执行被习染过程逻辑。通过挪用CreateProcess启动srv.exe后会开释自身到Program Files\Microsoft\DesktopLayer.exe ，运行DesktopLayer.exe后法式会从文件中提取DLL。
之后过程通过InlineHook挪用ZwWriteVirtualMemory函数将DLL文件注入到IE和Google Chrome过程中 ，从而实现文件不落地 ，预防杀软查杀。最后通过被注入的浏览器过程进行文件习染、远控衔接、注册表自启动等行为。这里我们重要关切其对僵尸法式进行习染的攻击过程。
分析过程中涉及屡次脱壳和DUMP ，最终能够提取到注入过程的DLL ，DLL中会进行真正的病毒行为。习染攻击的内容是增长loader来加载自界说恶意代码的过程。首先将指标PE文件映射到内存中 ，判断其是否含有rmnet区段 ，不蕴含则在尾部增长区段写入恶意代码 ，批改区段属性为可执行 ，而后将恶意代码末尾指向法式原入口点 ，而法式原入口点指向恶意代码的肇始地位。
解密后能够得到其节造端域名fget-career.com ，该域名自2013年以来屡次调换解析IP ，固然其服务器屡次遭到刑警组织进攻 ，但目前仍维持活跃 ，风险极大。由于受到Ramnit僵尸网络习染的螳螂多多 ，我们判断其与螳螂黑客并无利益关联 ，而是黑客在不知情下被Ramnit攻击后持续扩散样本。由于Ddostf bot自身受到二级黑客节造 ，样本在被野生黑雀攻击后即受到三级黑客节造 ，同时具备了DDoS、远控、窃密等多种攻击方式 ，随着黑客技术的不休迭代更新 ，这种“毒上加毒”的攻击方式很有可能被更多黑客利用 ，此类样本一旦扩散无疑会对网络造成更为壮大的粉碎微风险。
8、黑雀画像
通过域名注册汗青 ，我们观察到域名v8.ter.tf选取了隐衷� ；の薹ǖ弥咛逍畔� ，其中最近的域名注册纪录显示其有效功夫从2018年4月20日至2022年4月20日 ，同时通过溯源发显熹共存在9次有效解析纪录 ，有关IP解析纪录如下：
能够观察到 ，黑雀持久使用监管宽松的服务器IP ，距离1-3个月即更换一次。同时我们通过监测发现 ，该黑雀通常只在筹备攻击前进行解析IP操作 ，经过一段功夫的堆集 ，当上线肉鸡量达到需要后即发起DDoS攻击 ，实现后迅快取缔域名解析(如取缔或删除A纪录/CNAME) ，偃旗息鼓� Ｄ芄慌卸铣龊谌讣仍谝庾陨淼囊浒踩� ，矫捷使用了打一枪换一炮的战术 ，在肯定水平上增长了钻研人员的追踪难度。
黑雀自2017年5月28日起头活跃 ，我们观察到其C&C (104.223.0.95)在2017年4月11日至5月30日关联在域名myss.ter.tf (V8版本黑雀C&C)下 ，而后关联至域名v8.ter.tf(V8.1版本黑雀C&C)下,这与V8.1版本样本的编译和散播功夫根基吻合。而从2017年8月29日起至2018年6月17日黑雀则较为低调 ，将域名持续解析至127.0.0.1。在2018年6月17日后黑雀域名共4次解析IP ，通过IP关联分析并没有发现足够多的样本 ，重要原因是黑雀在攻击后往往会迅快取缔域名解析 ，导致大量的提交样本在沙箱扫描时无法正常DNS解析。
监测发现9月以来该黑雀活动较为频仍 ，2次现身发起攻击。
我们在前文提到 ，通过对这批样本的分析 ，该黑雀至少掌控着184个独立螳螂僵尸网络 ，也即至少掌控着这184个C&C服务器所节造的所有肉鸡。而这只是黑雀的一部门资源 ，相对于螳螂来说 ，黑雀把握的肉鸡资源险些逾越单个螳螂僵尸网络两个数据量级 ，所组成的攻击流量也会呈数量级增长 ，粉碎力极大。
凭据我们目前对黑雀的把握和溯源分析 ，绘造黑雀名片如下：
9、总 结
随着物联网僵尸网络的发作式增长 ，越来越多的黑雀将眼光从传统平台转向物联网领域 ，大大增长了攻击面 ，Ddostf僵尸的幕后黑雀也借此积极扩张。通过我们持久对Ddostf僵尸生态的钻研分析发现 ，只管部门黑客尝试去掉其幼马后门并沉新传布 ，但绝大无数的Ddostf僵尸样本依然留存有此类后门 ，且黑雀“刁滑”的在节造端也暗藏黑雀攻击接口 ，在增长强壳后难以发现和去除 ，用即中招。所以综合判断该黑雀僵尸资源丰硕 ，实力极度强悍。本文沉点对Ddostf僵尸网络中的这种景象进行了分析披露 ，并对典型僵尸样本进行了分析。此类黑雀利用通常黑客的攻击资源来发展自己的肉鸡 ，不动而坐享其成。同时也要注意像Ramnit这类野生黑雀的参与 ，通过攻击病毒 ，借助“毒上毒”的方式凭借传布。这些高效的黑吃黑伎俩给黑客产业链带来了越来越多的复杂性 ，也让网络秩序变得越发不安全 ，必要引起沙巴高度警惕。
沙巴积极防御尝试室（ADLab）
京公网安备11010802024551号