Necro进化史及当前进展

版权


版权声明：本文为CNCERT & Netlab原创，依据 CC BY-SA 4.0 许可证进行授权，转载请附上出处链接及本声明。



概述


过去的3个月，Necro家族活动非常频繁，持续的更新他们的恶意代码利用及投递方式，通过中国互联网信息中心的大网异常事件感知系统和Netlab蜜罐，我们一共捕捉了10多个不同版本的 setup.py 脚本代码，可以清楚的跟踪到它的更新发展情况。


在它的更新过程中，伴随着各种新漏洞的利用尝试、新的域名的使用，以及对应的新的样本下载URL，我们的BotMon系统可以有效地检测这些新的数据异常点，实现及时的跟踪分析及情报产出。



更新详述


我们以3.11号的样本为基础版本，顺序的描述过去几个有比较显著功能逻辑改变的版本更新。恶意代码中，作者会用一个字符串作为mutex来避免重复执行，该字符串也可以很好的标注了作者的更新过程，不同的mutex可以对应necro不同的大版本更新，我们也可以利用这个mutex字符串来作为”版本标志“，简单的把这段时间作者的更新分为三个阶段：


 * 爆发期：necro使用DGA+Tor双杀linux+win，并且在这段时间，作者频繁的上线/下线多种漏洞利用来测试效果，对应的版本标志为
   
   * m4t3xl0ck
   * gayniggerfag
   
 * 工程期：作者放弃了DGA，更新了大量的代理来使用tor，对功能及稳定性做了修改，对应的版本标志为
   
   * internationalCyberWarefareV3
   * internationalCyberWarefareV4
   * internationalCyberWarefareV5.2_repz
   
 * 稳定期：这个版本自5.28更新后，较长一段时间没有看到necro更频繁的活动，但可以看到对应的CC稳定活跃中，对应的版本标志为
   
   * 0d044454-b0d8-4817-870c-4e115455a2cc
   


直至6.18，我们再次看到necro的更新，过去一段时间的整体更新时间线如下：





我们先顺序描述一下各个版本的更新点，然后着重介绍最新一次更新的内容。



更新时间：03.11


 * 样本哈希：3bdfdedbb7d20ef802ef06508c3be062
 * 版本标志：m4t3xl0ck
 * 传播混淆算法


def cHDaiamdsU(s):
    myEIqgcbj = [212, 55, 14, 121, 109, 247, 119, 92, 152, 42, 175, 149, 49, 242, 43, 70, 250, 248, 68]
    return ''.join([chr(ord(c) ^ myEIqgcbj[i % len(myEIqgcbj)]) for i, c in enumerate(s)])




 * 代理IP池：


[
    '77.238.128.166:9050', '192.248.190.123:8017', '192.248.190.123:8009',
    '213.251.238.186:9050', '178.62.242.15:9107', '88.198.82.11:9051',
    '52.3.115.71:9050', '83.217.28.46:9050', '147.135.208.44:9095', 
    '188.166.34.137:9000', '103.233.206.22:179', '161.97.71.22:9000', 
    '54.161.239.214:9050', '194.5.178.150:666', '144.91.74.241:9080', 
    '134.209.230.13:8080', '201.40.122.152:9050', '206.81.27.29:8080', 
    '127.0.0.1:9050'
]



 * DGA种子：0x7774DEAD，对应活跃的CC：
   
   * ntxkg0la99w.zapto.org
   


这个版本是Necro首次加入DGA，并且使用Tor网络，更多的细节，可以参考我们之前的文章Necro再次升级，使用Tor+动态域名DGA 双杀Windows&Linux



更新时间：03.15


 * 样本哈希：b8bbb2756b4e078300c2b7bd1ec56f02
 * 版本标志：gayniggerfag
 * 功能更新：新增了ssh 爆破



更新时间：03.19


 * 样本哈希：4c34f8ac565f46a034ee6ea53b231b2c
 * 版本标志：gayniggerfag
 * 功能更新：新增一个漏洞利用 CVE-2021-21972



更新时间：04.12


 * 样本哈希：5d4524e8e44ed168aec27123f8e35649
 * 版本标志：gayniggerfag
 * 功能更新：新增win32gui调用，尝试隐藏win下的python.exe窗口



更新时间：04.27


 * 样本哈希：11b5b3b577b8748b0b46f4fb565a0160
 * 版本标志：gayniggerfag
 * 传播混淆算法更新：


def WxWBFfmMw(s):
    zHRuQPeoWfu = [148, 29, 187, 193, 114, 53, 143, 138, 26]
    return ''.join([chr(ord(c) ^ zHRuQPeoWfu[i % len(zHRuQPeoWfu)]) for i, c in enumerate(s)])



 * 功能更新：
   
   * ssh爆破码表更新，新增很多用户名密码对数据
   * 新增漏洞利用：CVE-2017-16921
   



更新时间：05.09


 * 样本哈希：bf07d1c8e99ac17b11399327f3d818b4
 * 版本标志：gayniggerfag
 * 功能更新：
   
   * 新增漏洞利用 CVE_2021_29003
   
 * DGA种子更新： 0x7228827A，对应新活跃的dga域名：
   
   * can6dodp.servepics.com
   * ngiwge486ln9daoo.hopto.org
   



更新时间：05.18


 * 样本哈希：f9ffcd2ef243a1c4942cdeeab20e4e8c
 * 版本标志：internationalCyberWarefareV3
 * 功能更新：
   
   * 新增利用：CVE-2019-12725
   * 新增利用：未知设备的RCE：“GET /nrdh.php?cmd=${cmd}”
   * SMB 扫描利用
   * 取消了ssdp DRDoS 攻击
   
 * 代理IP池更新：


[
    '195.123.234.176:9051', '172.105.249.157:8080', '46.28.207.160:9051', 
    '185.35.223.76:9050', '45.62.217.48:8383', '146.59.13.151:9999', 
    '185.212.129.190:9151', '185.212.129.193:9160', '185.212.131.56:9151', 
    '185.212.129.216:9160', '91.198.137.31:3569', '167.172.123.221:9200', 
    '59.12.222.76:9050', '95.179.132.241:9050', '167.71.7.83:9050', 
    '164.68.123.119:9200', '45.32.171.166:9050', '207.201.218.182:9051', 
    '185.212.129.199:9151', '54.221.163.38:9050', '159.89.155.142:9090', 
    '192.71.244.89:9050', '185.162.93.62:9050', '185.212.129.86:9151',
    '185.212.128.75:9160', '45.79.72.85:9050', '18.218.229.116:4001',
    '185.212.131.61:9151', '45.90.59.40:9051', '45.84.191.82:10001',
    '159.69.10.250:9050', '199.241.139.7:9050', '54.243.171.221:9050',
    '185.224.134.251:9100', '149.202.9.7:9898', '24.216.19.234:9050',
    '91.237.71.5:9216', '165.22.79.241:9050', '50.16.118.56:9050', 
    '8.208.90.167:8852'
]



 * 
   
   
   放弃DGA，使用固定的Tor CC：
   
   
   * bp65pce2vsk7wpvy2fyehel25ovw4v7nve3lknwzta7gtiuy6jm7l4yd.onion.ws
   * o4hlcckwlbcy7qhhohqswpqla6wx7c5xmsvk3k4rohknng4nofvgz5id.onion
   * p2l44qilgm433bad5gbszb4mluxuejwkjaaon767m5dzuuc7mjqhcead.onion
   * 3og7wipgh3ruavi7gd6y3uzhcurazasln55hb6hboiavyk6pugkcdpqd.onion
   
 * 
   
   
   传播混淆算法更新：
   


nmask = 'nmask#\xa6\x16X\x90\xba;\x85\x8ermEtD\xb4l\x10r\xc7\x91,a\x06\xea\x00`\xf072\x94'
def PIfmMyYaBR(s):
    global nmask
    return ''.join([chr(ord(c) ^ ord(nmask[i % len(nmask)])) for i, c in enumerate(s)])




更新时间：05.22


 * 
   
   
   样本哈希：43dda4527333a14b960444af90bf51b3
   

 * 
   
   
   版本标志：internationalCyberWarefareV4
   

 * 
   
   
   功能更新：
   
   
   * 取消了上一个版本的SMB渗透逻辑，新增SMB用户名密码爆破+命令执行
   * 针对NT系统，使用 schtasks /CREATE 新增计划任务保证自身执行
   
 * 
   
   
   传播混淆算法更新：
   


def XnRFWYoI(s):
    nmask='nmask\xc3\xf6\xe3\xfa\x44\x60\x1a\x6f\x12\x76\x2b\x9a\xfa\xac\xff\xde\x9e\x8d\xd8\x49\x12\x60\x2d\x2f\x7c\x04\x57\x1c\x55\x28\x77\x05\xf4\x5d\x0c\x53\xbb\xa9\x85\x13\xa8\x61\x70\xd5\xe2\xeb\x11\x23\x49\x9d\x5f\xea\xa7\xe6\x11\xd9\xf9\x25\x4e\x02\x68\x81\x25\x88\xad\x69\x6e\x50\x05\xcc\x96\xf1\x22\x65\x67\x2b\x64\x65\xed\x70\xec\x3b\x2f\xf2\x6b\x99\x41\x5d\xbf\xca\x5e\xd4\xa1\xec\x5d\x53\x93\x2c\x56\xef\x6a\xdb\xae\x1f\xd0\xf7\x28\x54\x0b\x15\x49\x26\x9e\xe7\xe6\xdc\x5b\x57\xea\x42\x00\xbb\xd8\x06\x10\x50\x03\xc5'
    return ''.join([chr(ord(c) ^ ord(nmask[i % len(nmask)])) for i, c in enumerate(s)])




更新时间：05.23


 * 
   
   
   样本哈希：9467b6ea2515b2da370e86f6020cd78e
   

 * 
   
   
   版本标志：internationalCyberWarefareV5.2_repz
   

 * 
   
   
   功能更新：
   
   
   * 新增telnet扫描渗透来传播自身
   * 新增“assault”指令，可疑对一个IP段发起UDPflood攻击
   * 下载rootkit的时候，同时下载xmrig.exe 用于挖矿，配置信息为：
     
     * 矿池：pool.supportxmr.com:5555
     * 钱包：45iHeQwQaunWXryL9YZ2egJxKvWBtWQUE4PKitu1VwYNUqkhHt6nyCTQb2dbvDRqDPXveNq94DG9uTndKcWLYNoG2uonhgH
     
   
 * 
   
   
   代理IP池更新：
   


[
    '195.123.234.176:9051','46.28.207.160:9051','185.35.223.76:9050',
    '45.62.217.48:8383','146.59.13.151:9999','185.212.129.190:9151',
    '185.212.129.193:9160','185.212.131.56:9151','185.212.129.216:9160',
    '91.198.137.31:3569','161.97.66.62:1000','192.249.127.96:22',
    '185.212.131.72:9151','165.232.72.180:666','172.104.56.209:9050',
    '194.5.178.42:9001','185.212.131.66:9151','185.212.131.65:9151',
    '185.212.131.63:9151','59.12.222.76:9050','95.179.132.241:9050',
    '167.71.7.83:9050','164.68.123.119:9200','45.32.171.166:9050',
    '207.201.218.182:9051','185.212.129.199:9151','54.221.163.38:9050',
    '185.162.93.62:9050','185.212.129.86:9151','185.212.128.75:9160',
    '45.79.72.85:9050','18.218.229.116:4001','185.212.131.61:9151',
    '45.90.59.40:9051','45.84.191.82:10001','35.239.176.86:9208',
    '159.69.10.250:9050','199.241.139.7:9050','135.148.11.150:5560',
    '91.132.139.171:9050','51.195.19.140:9050','217.115.11.186:9050',
    '178.128.84.253:9050','80.87.194.27:9050','54.243.171.221:9050',
    '185.224.134.251:9100','149.202.9.7:9898','24.216.19.234:9050',
    '91.237.71.5:9216','165.22.79.241:9050','50.16.118.56:9050',
    '8.208.90.167:8852','52.23.34.138:9050','94.181.44.45:9050',
    '49.12.104.217:9988','45.147.231.32:9050','103.216.62.26:9090',
    '95.169.186.58:9050','76.65.60.220:9050'
]



 * 新的CC及下载域名:
   
   * dui25pvlzkfzpkkc.link
   * dui25pvlzkfzpkkc.cab
   * dui25pvlzkfzpkkc.pet
   * dui25pvlzkfzpkkc.ws
   * download.service-exec.net
   * dui25pvlzkfzpkkc.onion
   



更新时间：05.28


 * 样本哈希：9467b6ea2515b2da370e86f6020cd78e
 * 版本标志：0d044454-b0d8-4817-870c-4e115455a2cc
 * 新的CC：
   
   * dui25pvlzkfzpkkc.onion.ws
   * dui25pvlzkfzpkkc.onion.link
   * dui25pvlzkfzpkkc.onion.cab
   * dui25pvlzkfzpkkc.onion.pet
   



最新进展 （06.18）


 * 样本哈希：deca8b40ab21eea0530cf0ae08f4ac8e
 * 版本标志：0d044454-b0d8-4817-870c-4e115455a2cc


我们在6月16号开始，又接连发现了necro的更新活动，在他们另外一个投递通道中的样本文件频繁在发生变化


2021-06-20 http://136.144.41.164/EvilObject.class    58674253074f05c623ab7b9684beaed0
2021-06-18 http://136.144.41.164/EvilObject.class    333dd1aeb60ba0bbdbd09aff5b674c0a
2021-06-16 http://136.144.41.164/EvilObject.class    10ba40487bd67bc946b6feb9cbf386e5



上述class文件同时也会投递最新的 setup.py


http://136.144.41.164/setup.py	deca8b40ab21eea0530cf0ae08f4ac8e



 * 
   
   
   功能更新：
   
   1，5.18的时候取消了 ssh 爆破，在最新版本中又加了回来
   
   2，新增文件上传webshell的扫描及利用测试
   

 * 
   
   
   新的下载域名：
   
   
   * ccjduul4hxini64r.onion.link
   * ccjduul4hxini64r.onion.cab
   * ccjduul4hxini64r.onion.pet
   * ccjduul4hxini64r.onion.ws
   
 * 
   
   
   以及新的Tor CC：
   
   
   * ccjduul4hxini64r.onion
   * g2saptf4gwxg2uwhus3zbh5lorxybvymmusw7kzq3u2xkwd6cdb4raid.onion
   



小结


当前necro仍在持续活跃，在CNCERT的系统中仍能实时捕捉到它最新的活动痕迹，包括Payload投递及下载记录：








同时，我们可以使用DNS数据来评估necro可能的影响范围：














这四张图是前述的necro不同阶段使用的CC域名或者下载域名，在同时间轴上的请求趋势统计，从图上可以清楚的看到necro的更新过程中不同域名的生命周期。


在我们的数据视野内，这批域名的历史请求量已经超过了50万。如果使用CNCERT的数据来估算necro当前活跃的几个CC域名，其天级别请求应该稳定在在10万+/天。