盗用数字签名DDOS样本分析

Size: px

Start display at page:

Download "盗用数字签名DDOS样本分析"

哄房王
7 years ago
Views:

1 安天追影小组报告初稿完成时间 :2016 年 1 月 6 日首次公开发布时间 :2016 年 1 月 13 日本版本更新时间 :2016 年 1 月 13 日

2 目录 1 概述事件线索... 错误! 未定义书签 3 样本分析样本标签样本运行流程样本详细分析网络架构分析网络基础设施危害影响受害者网站黑客追踪攻击者推理获利分析总结附录二 : 关于安天附录三 : 文档更新日志... 19

3 1 概述 2016 年 1 月, 安天追影小组通过安天态势感知系统发现了一款带有过期签名的恶意程序, 该样本盗用了韩国 NHN 公司美国分公司的数字签名,NHN 旗下包括韩国本土最大的搜索引擎网站, 美国分公司主要从事网络游戏开发, 被盗用的数字签名已经过期, 恶意代码添加过期的数字签名主要是为了躲避杀软检测该数字签名被多个恶意样本使用, 应该已经在地下市场流传该样本包含多种攻击方式, 并主要针对国内的在线销售减肥药在线赌博电子交易平台进行攻击攻击者对灰色或非法网站进行攻击的目的可能是敲诈或者同业竞争通过追影设备分析发现该病毒为 DDOS 恶意样本, 病毒样本运行后释放 rasmedia.dll 到 system32 目录下, 安装 WinHelp32 服务, 运行 CMD 自删除并创建两个线程分别防止服务自身被删除和进行攻击攻击者使用 fabao com:7002 作为 C2 与病毒样本进行通信并分发攻击任务短时间内已捕获到对多个网站被攻击放马站点攻击者 C&C fabao com 上报信息下发攻击指令攻击灰色产业网站肉鸡肉鸡图签名样本攻击 2 样本分析 2.1 样本标签探海威胁检测系统检测都 hxxp:// :8082/get.exe 的恶意代码传输事件, 经过分析该样本的基本信息如下 : 病毒名称 Trojan[Backdoor]/Win32.DDOS 原始文件名 get.exe MD5 b8f83b1e12ac61d8045a44561c5b7863 处理器架构 X86-32 文件大小 KB 文件格式 BinExecute/Microsoft.EXE[:X86] 安天版权所有, 欢迎无损转载第 3 页

4 时间戳 :07:22 数字签名 NO 加壳类型无编译语言 Compiler/Microsoft.VISUAL_C[:v6.0] VT 首次上传时间 VT 检测结果 47/ 样本运行流程病毒样本运行后释放 rasmedia.dll 文件到 system32 目录下, 安装 WinHelp32 服务, 运行 CMD 自删除服务程序反弹连接 fabao com:7002, 上报受害者机器信息, 并创建两个线程分别防止服务自身被删除和等待服务器攻击指令, 进行攻击样本 get.exe 运行 0x 等 DDOS 攻击释放后门文件 rasmedia.dll 到 system32 目录 0x 修改 HOSTS 文件创建系统服务 WinHelp32 0x 关机防止自删除连接远程服务器 : fabao com:7002 0x 远程下载执行收集本地计算机信息接收远程控制指令 0x x 打开指定程序加密后发送到 fabao com:7002 0x 卸载自身 0x 重启 0x Do Nothing. 图 1 样本运行流程安天版权所有, 欢迎无损转载第 4 页

5 2.3 样本详细分析期该样本包含 NHN USA Inc. 公司的数字签名信息, 该数字签名有效期是 2009/11/3 到 2011/10/29, 已经过样本 get.exe 运行后会释放后门文件 rasmedia.dll 到 system32 目录下, 每次释放, 此文件末尾会被随机填充一些数据形成不同的文件 hash, 在开启了 UAC 的系统上, 释放文件到 system32 目录会失败, 样本会动态加载 rasmedia.dll, 调用其导出的 Install 函数使得 rasmedia.dll 可以以服务的方式启动最后样本 get.exe 会调用 cmd.exe 进行自删除服务的属性信息以及对应的 dll 路径如下 : 在 WinHelp32 服务启动后, 对应的后门 dll 文件就被加载运行了, 首先,dll 会动态解密要连接的域名端口 :fabao com:7002 以及其他一些信息, 方便后续使用, 如下 : 安天版权所有, 欢迎无损转载第 5 页

6 此后 rasmedia.dll 会创建两个主要的线程, 一个线程是为了防止自身被删除, 另一个就是联网获取远端指令, 然后执行相关的操作, 例如为了防止被删除, 其首先会读取自身数据存放在缓冲区里, 然后循环判断自身文件是否存在, 如果不存在就把缓冲区里的内容重新写入文件, 主要代码如下 : 另一个线程首先会收集本地主机的计算机名系统版本磁盘大小等信息, 然后把这些收集到的信息加密后, 发送到远控端, 其加密算法如下 : void call(byte *buf, int len,int res) { int i=0; BYTE tmp=res&0xff; tmp=tmp % 0xfe; tmp++; while(len) { buf[i] = tmp+ tmp ^ buf[i]; i++; len--; } } 安天版权所有, 欢迎无损转载第 6 页

$com:7002 上获取数据, 在解密接收的数据后, 会再次对数据进行格式解析, 其解密算法如下 : void call2(byte *buf, int len,int res) { int i=0; BYTE tmp=res&0xff; tmp=tmp % 0xfe; tmp++; while(len) { buf[i] = (buf[i]-tmp)^tmp; i++; len--; } }$

7 而此加密函数的调用方式是以 call(buf,0x60,0x0c) 这种形式出现, 其中的 buf 里存放的就是收集到的一些信息,0x60 是信息长度然后,dll 会循环从 fabao com:7002 上获取数据, 在解密接收的数据后, 会再次对数据进行格式解析, 其解密算法如下 : void call2(byte *buf, int len,int res) { int i=0; BYTE tmp=res&0xff; tmp=tmp % 0xfe; tmp++; while(len) { buf[i] = (buf[i]-tmp)^tmp; i++; len--; } } 通过观察上面的两个函数可以看出, 这里的加密函数和解密函数正好相对应通信数据协议为 : 控制指令 (4 字节 )+ 数据大小 (4 字节 )+ 数据然后通过匹配控制码, 来执行相关的操作, 分析发现, 这里经常接收到的控制码有 0x 和 0x , 这两个控制指令都跟 DDOS 相关, 当控制码为 0x 时, 解密后的数据如下 : 可以看到, 这种情形下获取的数据是一个 IP 地址, 然后 dll 会创建很多线程, 每个线程都循环对获取到的 IP 进行 DDOS 攻击, 每次发送的数据包大小为 0x1000, 而数据内容是随机生成的, 代码如下 : 当控制码为 0x 时, 解密后的数据如下 : 安天版权所有, 欢迎无损转载第 7 页

8 在这里获取到的数据是一个带参数的网址, 其内容如下 : 然后也会创建很多线程循环对这个网址发起大量 GET 请求, 造成, 其发送的 GET 请求的数据如下 : 如上图所示, 其 GET 请求的数据的组成方式是以事先准备好的模版来填充的, 其对应的模版为 : 当然, 在 dll 里还有其他的模版, 总数多达十种, 下面列出其中的几种 : 其一 : 其二 : 其三 : 安天版权所有, 欢迎无损转载第 8 页

其四 : 其五 : 其六 : 其七 : 除了上面提及的 DDOS 功能外, 此 dll 文件还有其他远控类型的功能, 在通过分析后发现, 此 DLL 后门中的控制指令多达

10 0x x x x x x x x x x x x x x x x Do nothing 修改 HOSTS 关机远程下载执行打开指定程序打开指定程序卸载自身重启 3 网络架构分析 3.1 网络基础设施黑客控制网络基础, 由样本分析可知, 攻击者使用 fabao com:7002 指向的作为服务器进行分发 DDOS 攻击任务, 同时该 IP 的另外端口作为木马下载服务器该域名并未部署 web 网站由 ping 的 TTL 返回值为 118, 可猜测其操作系统为 Win NT/2000/2003/XP 同时该域名在不同时间段指向了多个威胁 IP 该黑客组织从 2013 年即开始活动, 其 IP 地址均位于江苏省扬州市电信域名 IP 端口操作系统最早时间作用描述 fabao com: :7002 Windows C2 控制服务器 :8082 Windows 放马服务器 fabao com: :7002 Windows C2 控制服务器 fabao com: : C2 控制服务器 fabao com: : C2 控制服务器 fabao com: : C2 控制服务器安天版权所有, 欢迎无损转载第 10 页

使用 X-Scan 扫描目标服务器, 发现目标开放了如下端口 :135 139 21 22 3389 其中 21 端口经检测, 运行的为 Serv-U FTP Server v6.

11 使用 X-Scan 扫描目标服务器, 发现目标开放了如下端口 : 其中 21 端口经检测, 运行的为 Serv-U FTP Server v6.4 尝试连接登陆, 发现存在 root 用户 : 使用 Serv-U 的默认管理员 :LocalAdministrator, 默认密码 :#l@$ak#.lk;0@p, 尝试登陆, 发现默认管理员存在, 但是默认密码被更改安天版权所有, 欢迎无损转载第 11 页

12 注意到目标服务器开放了 22 端口和 SSH 服务, 尝试连接得到如下提示, 怀疑可能是限制了登陆 IP 目标服务器还开放了 3389 端口, 使用系统自带的远程桌面连接连接至目标服务器, 可以看到目标服务器系统为 Windows Server 2003, 符合前边的推测目前尚未发现存在弱口令等与控制端通信的其它样本 f11f326a f 则采用了伪造腾讯数字签名信息来逃避检测安天版权所有, 欢迎无损转载第 12 页

4 危害影响 4.1 受害者网站根据监测发现, 被攻击目标列表如下 : 控制码 http://wapkk.xford.cn/ http://le.bjwcyls.com/ http://pqt.zoosnet.net http://www.dfr4fs.com http://www.sbuluo.com http://www.a0686.com http://mmmoffice.

根据域名注册的英文信息, 域名所有者是在广西省南宁市大学路 58 号申请注册的该域名, 可能使用过号码为 0771-3268887 的固定电话, 经查该号码地址为广西南宁通过输入域名反查, 我们获取到了注册域名的 163 邮箱通过这个邮箱, 搜索申请的域名 : 发现该邮箱仅仅申请了 309420.com 这一个域名 5.

15 根据域名注册的英文信息, 域名所有者是在广西省南宁市大学路 58 号申请注册的该域名, 可能使用过号码为的固定电话, 经查该号码地址为广西南宁通过输入域名反查, 我们获取到了注册域名的 163 邮箱通过这个邮箱, 搜索申请的域名 : 发现该邮箱仅仅申请了 com 这一个域名 5.2 获利分析攻击的目标主要是灰色网站, 该领域存在激烈的同行商业竞争, 如果有新加入这个销售减肥药品在线销售网站将会受到之前的该领域的共同攻击 6 总结该攻击组织利用窃取的企业过期签名以及伪造数字签名来逃避杀软检测, 对可信体系的信任链条是一种冲击, 目前杀毒软件厂商也都增加了对数字签名的检验, 从粗糙的检验数字签名是否存在到对数字签名的期限, 数字签名伪造等进行检测安天版权所有, 欢迎无损转载第 15 页

16 7 相关信息相关 MD5 列表 0b149f4ea7618a1d009409e889541b89 82d25d47c82246aed f11f326a f dd2ff5b92355ba4c21a9ec1477 b8f83b1e12ac61d8045a44561c5b7863 7afeb59f339d3af22b8b1f51b8e01f15 4f6f7e8d6400fad c1 087e5fbde0dec2d19eafbf c 2ec8c7c9a3b051e2b44d74ebe4f53aa4 429b2d49ebf58634df7c6d2def01b a f94a2ea7cfd796f4 b7d9c12c12a86fcea50371a0fe d390bd6a71eb4e2a0d3ba8d1fead3c6 572b568cfd3ce67b81ed980cfa6520b0 84bb036c3ee8681dec8e98c b7 安天版权所有, 欢迎无损转载第 16 页

18 附录二 : 关于安天安天从反病毒引擎研发团队起步, 目前已发展成为拥有四个研发中心监控预警能力覆盖全国产品与服务辐射多个国家的先进安全产品供应商安天历经十五年持续积累, 形成了海量安全威胁知识库, 并综合应用网络检测主机防御未知威胁鉴定大数据分析安全可视化等方面经验, 推出了应对持续高级威胁 (APT) 的先进产品和解决方案安天技术实力得到行业管理机构客户和伙伴的认可, 安天已连续四届蝉联国家级安全应急支撑单位资质, 亦是 CNNVD 六家一级支撑单位之一安天移动检测引擎获得全球首个 AV-TEST(2013) 年度奖项的中国产品, 全球超过十家以上的著名安全厂商都选择安天作为检测能力合作伙伴关于反病毒引擎更多信息请访问 : 中文 ) ( 英文 ) 关于安天反 APT 相关产品更多信息请访问 : 安天版权所有, 欢迎无损转载第 18 页

Trojan[DDOS]/Linux. Znaich分析笔记

Trojan[DDOS]/Linux. Znaich分析笔记安天安全研究与应急处理中心 (Antiy CERT) 目录编者按... 1 1 概述... 1 2 感染源... 1 3 样本分析... 3 4 总结... 7 附录一 : 参考资料... 7 附录二 : 关于安天... 7 安天实验室版权所有, 欢迎无损转载第 2 页编者按安天 CERT 这篇分析笔记完成于 2015 年 1 月 18 日, 但撰写后并未公开, 为让安全工作者更进一步了解 IoT