黑雀攻击：深度剖析并溯源Dofloo僵尸物联网背后的“黑雀”
宣布时间 2019-05-31
2019年4月最先，，，人生就是博ADLab视察到Confluence远程代码执行误差CVE-2019-3396被Dofloo僵尸网络家族用于攻占装备资源，，，Confluence 是一个专业的企业知识治理与协同软件，，，常用于构建企业wiki。。。。。本次误差是由于Confluence Server 和Confluence Data中的Widget Connector保存效劳端模板注入误差，，，攻击者结构特定请求可远程遍历效劳器恣意文件，，，甚至实现远程代码执行攻击。。。。。有意思的是Dofloo僵尸网络家族不但最先使用高危误差举行攻击，，，并且其背后的黑客还使用一种更具影响力的“黑雀攻击”来入侵工业链，，，以掌控越发强盛的网络攻击资源。。。。。而在此前，，，我们已经做了长时间的与Dofloo僵尸家族黑客工业链相关的研究，，，且已经确定了这种普遍保存于Dofloo家族中的“黑雀攻击征象”，，，并对其中的“黑雀”举行了恒久追踪与剖析。。。。。
此处，，，我们所提出“黑雀攻击”不但是一种高效的黑客攻击手段，，，并且更是一种工业链级别的攻击要领，，，一样平常为玄色工业链上游黑客所为。。。。。黑雀攻击与供应链攻击有异曲同工之妙，，，只是攻击的目的不是通例的工业链，，，而是黑客工业链；；；；受攻击链的最后也不是通俗用户，，，而是极具危害性的黑客群体。。。。。在网络清静与黑客工业链的恒久对抗，，，使得该工业链日渐成熟且重大，，，并形成了一个重大的黑客生态系统，，，而在利益和生涯需求的驱使下，，，黑雀征象似乎酿成了必定，，，甚至在食物链的上端进化出了黑雀生态，，，如Death僵尸网络的“大黑雀-黑雀-螳螂”。。。。。
自人生就是博ADLab于2016年头发明黑雀攻击并于2017年1月宣布《黑雀攻击-揭秘Death僵尸网络背后的最终控制者》之后，，，还相继在多个恶意代码家族中发明了黑雀攻击，，，并宣布了深度剖析报告《揭秘Billgates僵尸网络中的黑雀征象》和《黑雀攻击：揭秘TF僵尸物联网黑客背后的黑客》。。。。。在此前的黑雀剖析和追踪中，，，我们揭破了Death僵尸网络背后的谁人控制着上千僵尸子网络的超等黑客，，，以及深藏在Billgates僵尸网络和物联网僵尸DDoSTF家族背后的黑雀。。。。。别的我们还详细叙述了每个家族中“黑雀攻击”的黑客条理结构，，，如Death僵尸网络的三级黑客结构(大黑雀-黑雀-螳螂)，，，Billgates和TF的二级黑客结构（黑雀-螳螂），，，以及对相关的大黑雀、黑雀和螳螂举行了网络行为剖析和身份识别，，，并做了精准的黑客画像。。。。。
1.Dofloo僵尸家族简介
Dofloo，，，又名Spike和AES.DDoS，，，是一款支持ARM、x86、mipsd等多CPU架构的僵尸网络程序。。。。。Dofloo家族因2014年针对北美洲和亚洲多个国家举行高达215Gbps流量的攻击而着名，，，以后恒久的攻占物联网装备资源并频仍地举行网络攻击活动。。。。。凭证赛门铁克在2016年宣布的《Internet Security Thread Report》，，，Dofloo僵尸网络恶意程序位列2015年度IoT领域恶意程序威胁排行榜第二名。。。。。
2.发明Dofloo僵尸中的黑雀
在恒久的对僵尸网络的研究中，，，Dofloo一直是我们监控的工具。。。。。在之前的研究中，，，通过自动化剖析该家族的关联样本，，，发明该家族的大部分样本都会启动两个新的攻击线程，，，并发明这两个线程保存异常行为。。。。。如：不但会设置延迟启动线程，，，还会实验跟另一个C&C控制端举行毗连通讯。。。。。因此，，，我们对这些样本举行了进一步的剖析，，，最终确定该僵尸生态中被植入了黑雀。。。。。
从上图可以看出，，，有三个地点的上线频度远高于其他的C&C。。。。。连系样天职析发明，，，上线到这三个C&C地点的样本险些都有两个自力控制的C&C，，，并且僵尸回连这三个C&C地点都是通过建设子线程的方法举行，，，而其关联的样本的另外一个C&C却是在主线程中举行回连。。。。。因此，，，通过该僵尸的这几个特征可以断定其中肯定保存黑雀攻击的征象，，，而这三个C&C地点即是Dofloo僵尸生态中的黑雀C&C地点，，，与黑雀C&C地点相关联的其他C&C地点即是Dofloo僵尸生态中螳螂黑客的C&C地点。。。。。
我们对这三个黑雀C&C地点相关联的螳螂C&C做了分类统计，，，如下表所示：
|
C&C地点 |
螳螂僵尸网络数目 |
|
183.60.149.199 |
189 |
|
118.193.217.144 |
282 |
|
aaa.tfddos.net |
85 |
3.Dofloo僵尸黑雀溯源与画像
通过对样本的剖析，，，连系样本中的函数命名习惯、攻击流量特征、变种源码注释以及样本爆发撒播时用来散播样本的HFS面板语言等特征，，，我们判断该家族由海内的黑客编写。。。。。于是我们溯源目的锁定在海内，，，通过对黑雀域名“aaa.tfddos.net”中要害信息”tfddos”，，，我们关联到一款名为“台风DDoS”的僵尸软件。。。。。并且通过进一步剖析发明，，，该僵尸软件的模板样本与Dofloo僵尸具有极为相似的行为和网络特征。。。。。别的，，，“台风DDoS”在黑客间活跃的时间同Dofloo爆发时间均在2014年。。。。。凭证以上一系列的证据证实他们之间保存一定同源性。。。。。为了进一步确认他们为统一款僵尸程序，，，我们还使用bindiff对“台风DDoS”控制端天生的僵尸与Dofloo的样本举行了相似度比对，，，发明两者代码相似度为100%的代码占比凌驾98%，，，因此可以确定“台风DDoS”即是Dofloo家族的一个主控。。。。。比照图如下：
通过对早期的“台风DDoS”的僵尸模板程序剖析发明与Dofloo黑雀C&C相同的后门C&C：183.60.149.199。。。。。
别的，，，通过对“台风DDoS”的溯源发明，，，其曾在网站tfddos.com上作为官方软件被果真售卖，，，该网站虽然接纳了与Dofloo黑雀域名“aaa.tfddos.net”纷歧样的域名，，，但他们都使用了“tfddos”作为域名的要害字，，，也即是“tai（台） feng（风） ddos”。。。。。因而我们以为后门C&C：183.60.149.199与aaa.tfddos.net为统一黑客或者黑客组织所为。。。。。
关于黑雀IP：118.193.217.144的反查发明，，，在2017年，，，域名wap.tfddos.net和aaa.tfddos.net与该IP地点举行了恒久的绑定。。。。。
为了追踪Dofloo僵尸网络背后的黑雀，，，我们先网络了C&C相关的信息并举行了剖析。。。。。其中通过IP：183.60.149.199关联出来的相关域名大部分被作为色情网站或博彩网站使用，，，并无可用线索。。。。。而tfddos.com和tfddos.net都接纳隐私�；；；；ぜ苹�，，无法举行进一步的追溯。。。。。
通过以后恒久的溯源剖析，，，我们还追踪到了该黑雀在现实天下中的身份信息。。。。。此黑雀是河南南阳两家科技公司的监事，，，并且以80万元认缴资金持有其中一家科技公司10%的股份，，，背地里从事黑产活动。。。。。
4.Dofloo僵尸典范样天职析
由于Dofloo支持多种CPU架构，，，我们在对这些平台的样天职析中发明，，，所有Dofloo支持的架构，，，都保存黑雀征象。。。。。可是僵尸作者对差别的架构的黑雀C&C处置惩罚略有差别，，，这对自动化剖析也造成了一定的影响。。。。。我们对本次网络的共计1200个样本的架构所占比例举行了统计，，，绘制成图如下：
CPU架构的漫衍图，，，一定水平上也说明晰该家族入侵装备类型的漫衍，，，可以看到ARM装备的比例很是高，，，这也说明ARM下的装备受到黑雀控制的比例较量高。。。。。
接下来我们对Dofloo家族的典范样本举行了详细的剖析，，，并且凭证大宗样本提取归纳出典范的通讯流量和攻击流量特征,并对Dofloo家族举行了同源性剖析。。。。。
4.1 装置机制
Dofloo僵尸程序的装置机制有：僵尸程序在宿主机的长期化设置、历程唯一性判断和守护历程设置。。。。。
僵尸程序通过写入开机自启下令实现长期化。。。。。僵尸程序在启动后，，，会首先检查启动的下令行参数, 若是发明没有参数，，，那么恶意程序会默认是在该装备的第一次运行,此时会挪用“autoboot”函数。。。。。在该函数中，，，挪用“system”函数执行下表中的下令，，，以确保恶意程序在该装备重启后仍能够启动运行。。。。。这也是Dofloo恶意程序在宿主装备实现长期化的唯一要领。。。。。
sed -i -e '/^\r\n|\r|\n$/d' /etc/rc.local
sed -i -e '/%s/d' /etc/rc.local
sed -i -e '2 i%s/%s' /etc/rc.local
sed -i -e '2 i%s/%s start' /etc/rc.d/rc.local
sed -i -e '2 i%s/%s start' /etc/init.d/boot.local
4.2 上线机制
4.3 心跳机制
僵尸程序在SendInfo线程实现了自身的心跳机制。。。。。这个线程的主要功效是向螳螂控制端和黑雀控制端发送心跳包，，，心跳包内容包括目今CPU使用率和网络速率信息，，，通过以下2个办法获取到这些内容：
（1） 检查“eth0”到“eth9”规模内以太网口的ifconfig信息。。。。。并通过读取/proc/net/dev 目录信息来盘算网络速率。。。。。
（2）通过读取/proc/stat目录下的信息，，，获取cpu数目，，，盘算占用百分比。。。。。
较量有趣的是，，，下游的黑客在发动DDoS攻击的时间，，，可能基础不会想到，，，主控中显示的恶意程序的攻击流量速率险些都是伪造的。。。。。我们在SendInfo线程中发明，，，当恶意程序执行DDoS攻击时，，，会挪用“fake_net_speed”函数，，，该函数会凭证差别的DDoS攻击的模式，，，在一个牢靠的规模内伪造攻击流量速率。。。。。下图为对部分盘算随机流量的截图：
僵尸程序伪造的攻击流量数据规模如下表所示：
4.4 控制指令剖析与DDoS攻击
发送完上线包之后，，，此时僵尸程序会期待吸收控制端的控制指令。。。。。Dofloo会首先把控制指令包的前四个字节作为模式指令码举行剖析，，，由此来判断接下来要举行的操作，，，主要支持的操作有三种:
（2）指令码为0x6时，，，进入DealwithDDoS函数，，，此函数为DDoS攻击函数，，，所有执行攻击的判断和逻辑都在此函数中。。。。。
（3）指令码为0x7时间，，，挪用kill函数，，，终止历程。。。。。
同时Dofloo家族对控制指令举行了128位的AES加密，，，这个特征大大增添了对其控制指令流量监控和识别的难度。。。。。我们对网络到的样本举行剖析后发明，，，所有架构下僵尸程序用来解密的KEY都是相同的，，，这也说明互联网中Dofloo僵尸家族的样本都来自统一个模版。。。。。KEY如下所示：
unsignedcharaes_key[] = { 0x2b, 0x7e, 0x15, 0x16, 0x28, 0xae, 0xd2, 0xa6, 0xab, 0xf7, 0x15, 0x88, 0x9, 0xcf, 0x4f, 0x3c };
我们模拟了未加密的控制指令（除去前4个作为模式指令码的字节）在内存中的结构,其控制指令的各个字段的寄义如下图所示：
当进入到DealwithDDoS函数时，，，僵尸程序凭证指令，，，启动差别的攻击线程。。。。。Dofloo家族不但具有SYN、HTTP等古板的攻击要领，，，还具有使用UDP协议的反射放大的攻击方法，，，好比DNS放大攻击。。。。。下图为Dofloo可提倡的典范的DDoS攻击的要领：
并且我们对Dofloo的攻击要领举行了剖析总结，，，并对部分攻击要领的流量特征举行了提�。。。。。�，，制作流量特征表如下：
我们在剖析攻击线程的时间，，，发明ARM架构的恶意样本每次攻击建设的攻击线程很是多，，，单次攻击指令可建设几种甚至十几种差别类型的攻击线程。。。。。连系样本CPU的漫衍，，，我们可以得知ARM装备下的Dofloo恶意程序是该僵尸家族的主力，，，在DDoS攻击中提供了主要的流量支持。。。。。
同时凭证监控到Dofloo攻击历史，，，发明该家族主要的攻击方法以UDP Flood 为主，，，近年来黑客也越来越喜欢DNS和NTP等反射放大攻击手段来对效劳器举行攻击 ，，，Dofloo的攻击方法占比也印证了这一点。。。。。同时我们也可以看到Layer7层的CC_Flood和Layer4层的TCP_Flood、SYN Flood作为古板的DDoS的攻击方法，，，其占比也一直较为稳固。。。。。并且我们凭证相关的情报数据得知，，，Dofloo的攻击量相关于其他的家族较少，，，我们剖析推测Dofloo每次发动攻击时开启了大宗的攻击线程，，，这样能加大发包量，，，快速导致目的效劳器宕机。。。。。
4.5 同源性剖析
我们视察到许多杀毒软件对Dofloo家族程序有差别的命名方法，，，甚至识别为其他家族的程序，，，因此为了确定Dofloo家族的源码组成，，，我们对其举行了同源性剖析。。。。。
并且还可以看到Mr.Black同样有同名的，，，提倡DDoS攻击的函数DealWithDDoS，，，其提倡攻击的控制指令编码也相同。。。。。
只不过Mr.Black中仅有5种DDoS攻击方法。。。。。通过查阅Mr.Black的源码，，，发明Mr.Black源码中并没有黑雀后门线程和AES加密，，，没有远控部分，，，仅能提倡DDoS攻击。。。。。因此推测Dofloo为参考Mr.Black代码更改后的变种。。。。。
在DnsAmp与Dofloo家族的比照中，，，我们发明其代码差别较大，，，可是主要攻击代码以及程序整体设计思绪较量相似。。。。。在DnsAmp家族中，，，长期化仍然是通过设置“/etc/rc.d/rc.local”来坚持开机自启，，，并且在启动后同Dofloo一样，，，会首先确定历程的唯一性。。。。。而它的攻击线程“AttackWorker”中，，，我们发明同Dofloo一样具有同名的攻击函数“DealwithDDoS”，，，只不过仅有4种攻击方法，，，划分为udp，，，icmp，，，dnsAmp,syn攻击。。。。。虽然DnsAmp与Dofloo整体代码相似度不是太高，，，可是凭证其主要攻击代码和程序整体的设计思绪，，，我们推测二者具有关联性，，，至少DnsAmp为参考Dofloo代码而爆发的相似变种。。。。。部分比照图如下：
5.总 结
本篇报告重点对Dofloo僵尸网络家族中保存的黑雀征象举行了剖析披露，，，并溯源追踪黑雀，，，产出黑雀画像。。。。。同时对典范的僵尸样本举行了剖析，，，提取归纳出上线、心跳、控制指令和提倡攻击的流量名堂。。。。。
参考文献：
1、DDoS-Capable IoT Malwares: Comparative Analysis and Mirai Investigation
https://www.hindawi.com/journals/scn/2018/7178164/
http://www.antiy.net/p/2017-global-botnet-ddos-attack-threat-report
https://www.insight.com/content/dam/insight-web/en_US/article-images/whitepapers/partner-whitepapers/Internet%20Security%20Threat%20Report.pdf
http://blog.malwaremustdie.org/2014/09/tango-down-report-of-op-china-elf-ddoser.html
京公网安备11010802024551号