简讯:几款可能需要持续关注的工具

作者：yegenshen， Rootkiter



引


近日 360Netlab 对大量已公开的 Linux 类样本进行了集中的梳理，从中发现了一批可疑样本，它们在VT上的检出率均很低甚至未检出。


分析后，我们推测：作者在相关开发过程中动了一些心思，并针对性的做了一些工作，虽然其中的一部分还未挖掘到更多的威胁证据，但这些心思或工作却值得警惕，选择在这里集中披露，是希望各安全从业者能够补充更多的数据拼图，或在后续的工作中能够识别出相似的威胁。



恶意工具



样本1 -- ReverseShell后门


样本（daca1d5e464d3320f90b773c1e355211）是个工具类后门，主要功能是：在受害机器上，提供一个系统命令的执行环境。


它通过I/O重定向的方式来提供执行环境，相关代码片段如下：





这个执行环境会通过反弹连接的形式交接给C2服务器（seo.spider-sina.com/47.90.82.16），相关代码如下所示：





这种反弹shell类后门，一般应用在渗透攻击的初期，在这个阶段的攻击者，要想执行一条系统命令，可能会有很多前置准备工作要做，而这种后门就是一个获得相对稳定的主机控制权的工具。这类工具的成功运行一般也标志着攻击者获得了该机器的暂时控制权。


其次，spider-sina.com 这个域名具有一定的迷惑性，不警惕的话，很可能会将其归为合理的sina流量。



样本2 -- 网络连通测试工具


样本（39e4adea8c9c4e929892a5e7e453c105）是个测试网络连通性的工具。


核心功能：能够访问 46.243.189.102 就返回1，否则返回0。


相关代码截图如下：





这种工具，可能有两种用途：


    在渗透测试中，可用于判定目标机器是否具有访问外网地址的能力。以便在目标网络中筛选出最合适的跳板机，为后续跨网段的渗透攻击做铺垫。
    另一种是用于沙盒探测，当样本在沙盒内自动运行后，沙盒的IP地址就暴露了。



单从样本角度来看，样本中出现的IP地址并不能表明一定属于原作者，只能说有极大的概率属于原作者。



样本3 -- 开代理工具


样本（0329c69d07f674267740f4bef8914342）是个开代理的工具，工作在MIPS架构的CPU下。


工具运行后，会在本地 6129 端口绑定一个socks代理服务。并将状态汇报至 185.244.25.254:6129 。


下图是处理 socks 代理请求的相关代码，供读者参考：





该类工具，可能有两种用途：

如用于建立代理网络，那么后续这个代理网络将可能被用于，攻击源隐藏，绕过防爬虫策略，刷票，薅羊毛等。

在后渗透测试中，可用于将目标机器转化为攻击跳板，向更深的网络发起渗透攻击。



样本4 -- anacroni后门


样本（bcc79f90cf253c6fa6be10dcaec0f4ec）是一个提供系统命令执行环境的后门，构造较为复杂，从中我们还看到了 Dofloo 家族的影子，比如具有代表性的函数名：ServerConnectCli。





其C2地址(43.251.17.126:1882)是经过简单异或计算后得到的，相关代码截图如下：




相比以 DDOS 为主业的 Dofloo 家族，anacroni 只有执行系统命令的能力。也就是说它只是一个后门工具。样本对私有协议的处理如下图所示：





从上图的代码可以看出，通讯协议比较简单，只包含指令码和指令参数两部分。其中当指令码为 0x99 或 0x99988 时均为执行系统命令，而命令的具体内容则是从第4字节偏移处开始的数据。


另外，样本还会释放 "/etc/init.d/anacroni" 文件作为启动文件，内容如下：


#!/bin/bash
#chkconfig: 2345 81 96
#description: Starttomcat
start() {
chmod 777 /bin/anacroni
/bin/anacroni
}
stop() {
echo "exit....."
}
case "$1" in
start)
start
;;
stop)
stop
;;
*)
esac
exit 0



如此，anacroni 后门服务的形式留存宿主机了。



恶意软件



样本5 -- Santan Linux


（这一节，比绿盟的报告分析的版本老，所以看看是不是要删掉）


http://blog.nsfocus.net/handbook-disposal-satan-viruses/


这个家族其实绿盟在头几个月已经分析过，这里就不再细说。从版本上看，绿盟分析的是1.10版本，而我们看到的是1.05版本（5a5676827c8c818d6d201e903109ec1e），相比1.10版，样本缺少了cry 和 mn 模块，这表明该样本仅保有扩散传播的能力。样本中内置了3个IP地址（111.90.158.225/107.179.65.195/ 23.247.83.135）当发展到 1.10 版本时， 111.90.158.225 这个地址就被保留了。


在分析中，我们还看到了所谓的conn模块（1e22346711916fb0b02964bb4a3d3a1a），绿盟当时的文中只提到有 230 个扫描目标端口，而没给具体的端口列表，这里一并贴上来，作为补充。方便各安全工作者根据自身需求优化捕获或防御策略。






样本6 -- Wat zullen we drinken


样本（204b4cc2a99ba16b0651a627f3d47764）是一个工作在ARM平台下的僵尸网络，具有ddos功能。


可发起tcp,std,udp,http四种类型的ddos攻击，相关功能函数列表，如下所示:





样本中存在一个数据解密算法，是一个字符替换方式的解密算法，被用于指令数据，和静态字符串的解密。整理后的解码表（ASCII 码对照表）如下：


{
    33: 86,   36: 108,  37: 66,   38: 80,   41: 117,  42: 97,   43: 88,   44: 54,
    45: 56,   46: 122,  49: 106,  50: 84,   51: 109,  52: 69,   53: 81,   54: 75,
    55: 111,  56: 87,   57: 89,   58: 32,   59: 52,   60: 115,  61: 67,   62: 68,
    63: 99,   64: 50,   65: 120,  66: 55,   67: 114,  68: 82,   69: 102,  70: 116,
    75: 113,  84: 110,  85: 95,   90: 57,   95: 51,   97: 78,   98: 77,   99: 76,
   100: 85,  101: 74,  102: 73,  103: 72,  104: 71,  105: 70,  106: 98,  107: 83,
   109: 49,  110: 100, 111: 107, 112: 65,  113: 105, 114: 121, 115: 104, 116: 119,
   117: 118, 118: 101, 119: 53,  120: 48,  121: 46,  122: 112, 124: 103, 126: 79
}



将样本中的加密字串解密后，明文内容如下：


register
remove
std
udp
httptcp
no name
185.244.25.177
Wat zullen we drinken
GET
HTTP
1.1
Host
Connection
close



其中 185.244.25.177 就是该样本的C2地址，端口地址为 40721，相关连接段代码如下图所示：





从我们的监控数据来看，目前这个C2地址已经很久没有活跃了，目前这个地址开了一个22端口的SSH服务。


在解密后的密文中有个内容为 “Wat zullen we drinken” 的字符串，运行成功后这个字串会被输出到控制台。搜索后找到一首歌曲，感兴趣的可以找来听听。



IOC


MD5:


daca1d5e464d3320f90b773c1e355211
39e4adea8c9c4e929892a5e7e453c105
0329c69d07f674267740f4bef8914342
bcc79f90cf253c6fa6be10dcaec0f4ec
5a5676827c8c818d6d201e903109ec1e    Santan Linux
1e22346711916fb0b02964bb4a3d3a1a    Santan Linux  conn
204b4cc2a99ba16b0651a627f3d47764



C2:


seo.spider-sina.com
47.90.82.16
46.243.189.102
185.244.25.254
43.251.17.126
111.90.158.225 // Santan Linux
107.179.65.195 // Santan Linux
23.247.83.135  // Santan Linux
185.244.25.177