LINUXのマルウェアの解析

今週私のハニーポットにLINUXのマルウェアを見つけったよ！そのマルウェアは他のハニーポットマルウェアのと似ていませんそれだからそのマルウェアを見つめ直った


## 免責
* サイバーセキュリティの玄人ですけどリバースエンジニアリンの玄人ぜんぜnですよそれだから私の方法論は略式
* 日本語の学生ですからこれを書くけど私の母語は全然日本語じゃないでしょから誤字ごめん ☻

![](https://media2.giphy.com/media/v1.Y2lkPTc5MGI3NjExcXk2bWRnZzlwOTBhem84ZnhoMzNjbXlkNjRqdnE3dmZzOHMwczdndSZlcD12MV9pbnRlcm5hbF9naWZfYnlfaWQmY3Q9Zw/xT9IgwSXBlNzFYobny/giphy.gif)

## 解析
 ハニーポットのジャーナルにこれを見って

 ![](https://res.cloudinary.com/practicaldev/image/fetch/s--BV59vbRo--/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_800/https://dev-to-uploads.s3.amazonaws.com/uploads/articles/f73zx7viw1vc1na49zi4.png)
サイバー攻撃の演算子は「SFTP」プロトコルと使うけどファイル リトリーブと富ってから初めに[RADARE2](https://github.com/radareorg/radare2)を使ういましょ

 ```
 rabin2 -I mymalware

 arch     x86
baddr    0x400000
binsz    30048232
bintype  elf
bits     64
canary   false
injprot  false
class    ELF64
crypto   false
endian   little
havecode true
intrp    /lib64/ld-linux-x86-64.so.2
laddr    0x0
lang     c
linenum  false
lsyms    false
machine  AMD x86-64 architecture
nx       true
os       linux
pic      false
relocs   false
relro    partial
rpath    NONE
sanitize false
static   true
stripped true
subsys   linux
va       true
 ```
もこれ

```
rabin2 -Ir mymalware

e cfg.bigendian=false
e asm.bits=64
e asm.dwarf=true
e asm.codealign=1
e bin.lang=c
e file.type=elf
e asm.os=linux
e asm.arch=x86
```

このマルウェアは屹度x86-64LINUXのマルウェア「ELF」ですねでも何れですか

このみってください

```
strings mymalware | grep golang
```

![](https://res.cloudinary.com/practicaldev/image/fetch/s--WWaFRN5N--/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_800/https://dev-to-uploads.s3.amazonaws.com/uploads/articles/z3c99y5c5dbc8g1oodx9.png)

これはGolangのファイルですからradare2と使うのためにredressのパイプを 要すてでもradare2に関数のなまえがまだが見れない

それは問題ではありません ☻
`binwalk`と`strings`と使ういましょ

それから`etc/services`に組み込み怪しいサービス見った

```
100.64.0[.]0 
```
VIRUSTOTALのIPの審査はOPENSCANSSHを指し示て
なるほどうでもIPは頼もしい情報源じゃないのためにそれはじゃない十分



このマルウェアは[データ引き出し](https://www.ibm.com/docs/ja/qradar-common?topic=extensions-data-exfiltration)が使って
そのためにそれはIPのデータ集まってとZIP新規保管

```
http://ipgrab[.]io
https://ident[.]me
https://ip.seeip[.]org
http://inet-ip[.]info
```
このマルウェアはDISCORDにそれを届けをはかった

![](https://res.cloudinary.com/practicaldev/image/fetch/s--8nwfOhJe--/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_800/https://dev-to-uploads.s3.amazonaws.com/uploads/articles/3wlww0pf7hawqa6rb61r.png)

それから人目を引くコマンドを見った

```
service systemd-worker enable || systemctl enable systemd-worker.service
```
あ、ピンと来る!ある[記事を思い出します](https://www.bleepingcomputer.com/news/security/new-peer-to-peer-botnet-infects-linux-servers-with-cryptominers/)


そうです！[パんちゃん](https://www.akamai.com/blog/security-research/new-p2p-botnet-panchan)ですよ

見ってください

![](https://res.cloudinary.com/practicaldev/image/fetch/s--G0x2hGo---/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_800/https://dev-to-uploads.s3.amazonaws.com/uploads/articles/ucyivj815u4g5ipj8oxt.png)

まだ形跡を探ってたとえば特定SIGNALコマンド

```
SIGKILL: kill
SIGQUIT: quit
```

![](https://res.cloudinary.com/practicaldev/image/fetch/s--EV_j--Gs--/c_limit%2Cf_auto%2Cfl_progressive%2Cq_auto%2Cw_800/https://dev-to-uploads.s3.amazonaws.com/uploads/articles/0wcrlbove8s6j8mp0suj.jpg)

とにかくこれは私の[英語の記事](https://dev.to/terceranexus6/analyzing-a-linux-malware-binary-4b2g) 

**ありがとう**！またね