网络 “冠状病毒” |OG东方厅ADLab结合CNCERT物联网安全钻研团队颁布最新钻研汇报
颁布功夫 2020-03-27概况
随着“新型冠状病毒肺炎”上升为全球性公共卫生突发事务，，，列国民众开启了“宅抗疫、云生涯”模式�！！！Ｔ诩仁逼�，，，网络空间在人们的日常生涯变得越发不成或缺，，，然而当各人都在奋力抗疫的同时，，，大量的黑客却起头以“冠状病毒”名义从事大规模的网络攻击活动，，，除了目前已经发现以冠状病毒为名进行的APT攻击、勒索病毒攻击之外，，，物联网领域中以冠状病毒为名的有关攻击也急剧上升�！！！�
这些物联网“冠状病毒”样本以“Corona”（冠状的英文）、“covid”（冠状病毒英文缩写）定名，，，并利用物联网设备所存在的缝隙进行传布�！！！Ｎ颐峭ü嗖馐莘⑾�，，，该类样本的数量与疫情发展出现肯定水平的有关性，，，好比进入3月份随着全球疫情持续升温，，，以“covid”定名的样本起头显著增多�！！！�
物联网“冠状病毒”样本统计分析
截止到2020年3月26日，，，OG东方厅物联网威胁数据平台共捕获到801个以冠状病毒定名的样本�！！！Ｎ颐钦攵哉庑┪锪肮谧床《尽毖窘辛朔抡婊肪扯治�，，，样本的C&C上线散布情况如图1所示�！！！�
图1 僵尸样本C&C上线散布
数据显示，，，这批物联网“冠状病毒”样本中共近90%的样本受控于位于美国的5个C&C服务器，，，7%位于俄罗斯，，，4%位于荷兰�！！！Ｆ渲杏�6个C&C服务器在疫情期间较为活跃，，，且关联的样本量较大，，，蕴含X86、ARM、MIPS、PowerPC、SPARC、Renesas SH等多个平台的ELF文件�！！！Ｍü徊降耐葱苑治�，，，我们将这些样本分成两类，，，别离定名为Corona-A、Corona-B，，，后文将进一步探索它们的技术特点和所属家族�！！！�
这批“冠状病毒”样本的重要传布伎俩依然是通过内置密码本进行Telnet密码爆破，，，部门样本利用到了“Redis 未授权代码执行”等多个已知缝隙利用进行传布�！！！１鸬脑谖颐撬菰捶治龅墓讨�，，，发现有关组织近期利用最新的缝隙CVE-2020-9054[1]（Zyxel网络从属存储（NAS）设备）发展攻击活动�！！！＞莩勖鞑槿嗽盉rian Krebs的说法，，，该缝隙的有关POC在地下论坛被以2万美元的价值销售，，，同时也吸引了大量勒索软件攻击组织的兴致（可能还与Emotet有关）�！！！Ｓ捎诜煜兜难现匦�，，，美国CERT/CC将该缝隙定为CVSS10分�！！！�
表1 样本传布利用的设备缝隙
技术分析
1、Corona-A类样本技术分析
在对Corona-A类样本进行整体分析后，，，我们发现其中的变种虽多，，，但各类样本间的类似度很高，，，故以近期活跃的C&C (192[.]3[.]193[.]251)为例，，，对关联样本进行逆向分析，，，其多种架构的样本均被定名为“Corona”�！！！�
图2 Shell剧本
僵尸法式运行后，，，首先绑定本地端口0x22B8（8888端口），，，衔接C&C地址为：：192[.]3[.]193[.]251:20�！！！�
图3 监听本地端口
通过ensure_bind函数确保样本法式只存在单实例运行�！！！�
图4 查抄单实例运行
执行botkiller�？橐远细渌嬖诰赫闹髁鹘┦ㄊ��！！！�
图5 执行botkiller�？�
需断根的僵尸家族和关联字符串如下图所示：：
图6 断根的指标家族及关联字符串
恶意代码中多处硬编码了“Corona”关键词，，，蕴含上线数据包和衔接中断的输出显示（僵尸服务端可能将“Corona”作为通讯和谈识此外关键特点）�！！！�
图7 硬编码“Corona”关键词
上线包及C&C回复包通讯流量如下图所示：：
图8 TCP通讯流量
样本的proc_cmd()函数蕴含DDoS攻击�？�，，，其融合了多种常见的攻击模式，，，蕴含UDP、VSE、HTTP、TCP、STD、XMAS等�！！！Ｍ痹谡攵愿肅&C监控的过程中，，，我们发现其近期发起的DDoS攻击活动较为频仍，，，重要指标为欧美国度，，，部门攻击示例如下图所示：：
图9 攻击情况示例
基于样本的代码结构、函数定名、通讯流量、攻击模式等特点，，，能够发现Corona-A类样本与Gafgyt家族的类似度很高，，，黑客虽对通讯数据等内容包装了“新冠”概念，，，但代码在整体上仍与Gafgyt家族相近，，，能够以为是Gafgyt家族的变种�！！！orona-A的其它类型样本也同样基于Gafgyt进行批改，，，在此不做赘述�！！！�
2、Corona-B类样本技术分析
Corona-B类恶意样本的代码相较Corona-A更为复杂，，，且大部门样本进行了符号剥离，，，对逆向分析会产生较大滋扰�！！！５呛诳桶倜芤皇�，，，在大量样本中，，，依然存在个别arm架构的样本蕴含符号，，，可供钻研分析�！！！Ｍü徊降墓鄄�，，，我们发现Corona-B类样本间的差距较大，，，能够细分为变种Corona-B-1和变种Corona-B-2进行分析�！！！�
? Corona-B-1
Corona-B-1的关联C&C为45[.]84[.]196[.]75，，，有关样本占捕获总量的64%，，，是目前发现样本量最大的物联网“冠状病毒”，，，近一个月功夫内迭代了多个版本�！！！Ｔ谒菰捶治龅墓讨�，，，我们发现有关组织近期利用Zyxel网络从属存储（NAS）设备的最新缝隙CVE-2020-9054发展攻击活动，，，有关入侵流量如下图所示：：
图10 缝隙入侵流量
CVE-2020-9054缝隙是网络产品供给商Zyxel近期修复的一个严重的远程代码执行缝隙，，，缝隙影响多款NAS设备，，，攻击者能够通过weblogin.cgi组件触发号令注入并加载恶意代码�！！！�
攻击成功后会执行shell剧本下载分歧架构的僵尸样本�！！！�
图11 执行shell剧本
此类恶意样本也曾以“corona”作为后缀名进行下载传布�！！！�
图12 “corona”后缀样本
通过进一步的分析确认，，，Corona-B-1是Mirai家族的新变种Mukashi，，，固然代码未集成缝隙利用�？�，，，但黑客有很大可能在利用CVE-2020-9054缝隙进行攻击并传布恶意样本，，，必要引起各方器重�！！！�
Corona-B-1与其它Mirai家族分歧的是，，，其在初始化�？橹�，，，并未选取通例的xor加解密，，，而是使用了自界说的解密模式�！！！Ｆ浞制绨姹镜慕饷芩惴ㄒ谎�，，，但预置加密字符串分歧，，，初始加密字符串示例如下图所示�！！！�
(样本ad61c361f76026e0b0c1ff1bc62b52e7) :
图13 初始加密字符串
解密后的号令和字符串会存储到Table中供后续使用，，，对应信息如下表所示：：
表2 解密后的号令和字符串
Corona-B-1的扫描�？閟canner_init则同Mirai家族的大无数变种一样，，，选取Telnet爆破，，，并使用分歧的默认痛处组合进行登录�！！！�
图14 扫描流量
一旦Telnet爆破成功则会以“<host ip addr>:23 <username>:<password>”的体式将信息提交给C&C�！！！�
同时，，，Corona-B-1会试图发送号令执行一些操作，，，如“system”、“shell”等默认号令，，， Corona-B-1在此处新增了"/bin/busybox CORONA"号令，，，能够进一步执行busybox中的恶意代码部件�！！！�
图15 “CORONA”号令
值妥贴心的是，，，Corona-B-1在最新的代码中删除了对该号令的后续处置，，，前期版本通过recv()函数来接管和判断回显信息（如若CORONA号令不存在，，，busybox将返回“CORONA: applet not found”）�！！！�
图16 新旧版本号令处置对比
在攻击模式方面，，，Attack_parsing()函数掌管处置与C&C服务器的号令交互，，，具体的节制指令数组由初始解密得到�！！！�
图17 节制指令选择
下表为Corona-B-1支持的C&C节制指令�！！！�
表3 C&C节制指令
其中，，，Corona-B-1配置了部门绕过DDOS防御的攻击模式，，，例如UDP bypass,TCP bypass，，，这些技术最早来自于Mirai的Dvrhelper变种，，，也批注Corona-B-1可能继承借鉴了Dvrhelper变种的部门代码�！！！�
?Corona-B-2
Corona-B-2的关联C&C为64[.]227[.]17[.]38，，，攻击者将多种架构的恶意样本定名为“covid”�！！！Ｖ低滋牡氖�，，，近期其恶意代码职能的更新迭代极度频仍�！！！�
图18 服务器恶意代码更新情况
Corona-B-2样本蕴含Telnet爆破、反GDB调试、禁用看门狗(watchdog)等�？橹澳�，，，相较于Corona-B-1，，，Corona-B-2更靠近于原生的Mirai家族�！！！Ｍü徊奖榷�，，，其复用了Mirai的大部门代码，，，但初始化�？楹凸セ髂？橛兴涠��！！！�
初始化�？椋╰able_init）的table_key与Mirai的默认配置分歧（Corona-B-2的table_key为0xDEDEFBAF），，，有关加密数据能够通过Mirai源码中的tools/enc.c�？榻薪饷��！！！�
攻击�？椋╝ttack_init）共组合了13种攻击方式，，，通过Bindiff进行新旧版本类似性比对后，，，我们发现黑客组织在持续增长和更新样本的攻击�？��！！！�
蕴含：：
attack_method_nudp
attack_method_udphex
attack_method_udpdns等�！！！�
也批注该组织近期的攻击欲望较强�！！！�
图19 新旧版本代码类似性比力
综合以上对物联网“疫情样本”的分析，，，多种恶意代码最终都定位到了Gafgyt和Mirai家族的变种，，，注明这两类宽泛传布的家族仍是大量黑客开发新型物联网僵尸的首选�！！！Ｍ贝佣肮�、攻击指标、服务器归属地等成分综合判断，，，这批攻击者或许率会是境外的黑客组织�！！！�
有关样本的家族归类整顿如下图所示：：
图20 样同宗族归类
受攻击IP散布
凭据OG东方厅监测数据，，，目前境内受到物联网“冠状病毒”攻击的设备IP超过22万，，，重要位于中国境内（96.8%）�！！！Ｆ渲泄谥匾⒉加诠愣�！！！（15.4%）、浙江��！！！（14.2%）、北京市（13.7%）、江苏��！！！（10.0%）等�！！！＞衬谑芄セ鱅P散布图如下所示：：
图21 受攻击IP地位散布图
总结
通过以上分析能够看出，，，物联网“冠状病毒”的扩散和全球疫情发展有着肯定的有关性�！！！＜际跎�，，，其大部门还是选取了经典的物联网病毒Gafgyt和Mirai家族的攻击�？�，，，但是其传布的默认伎俩依然是Telnet爆破，，，部门新的样本起头结合一些新发现的缝隙进行扩散传布�！！！４送�，，，为了更有效的独占设备资源，，，物联网“冠状病毒”还加强了对其它主流僵尸竞争敌手的防控和扑杀，，，能够杀掉50多种类型的物联网僵尸过程�！！！Ｒ恍┭净寡∪×俗越缢档募咏饷苣？�，，，并不休在攻击�？橹腥诤闲碌墓セ骼嘈��！！！�
该批物联网“冠状病毒”攻击手法和特点来看并没有太多别致的器材，，，但是通过利用现实世界的真实事务来扩散恶意攻击这一思路必将会持久存在�！！！６孕路煜兜谋骰廊皇俏锪诳兔堑闹氐愎刈⒎较��！！！：：诳痛臃衿�、PC、智能手机，，，扩大向摄像头、路由器、NAS、家居安防系统、智能电视、智能穿戴设备，，，甚至是婴儿监督器，，，任何互联网衔接的设备都不会放过，，，这也是持久以来物联网恶意代码维持多平台兼容的原因�！！！Ｎ锪耐捕杂谕ǔＶ卫碓崩此凳呛苣丫醪斓�，，，就像处于埋伏期的受习染者一样，，，无法实时防御和断根�！！！Ｗ詈�，，，在疫情之下，，，我们更应该警惕别有效心的物联网“冠状病毒”大幅扩散，，，争取早日战胜疫情，，，战胜病毒�！！！Ｒ蚨颐墙ㄒ橛没�：：
( 1 ) 实时更新升级物联网设备固件；
( 2 ) 尽快更换设备厂商初始密码，，，把稳预防空口令或弱口令；
( 3 ) 如无必要，，，尽可能不要将产品直接露出在互联网上，，，如必须联网，，，可将设备衔接到安全路由器或防火墙，，，进行更多的防护；
( 4 ) 加强网络天堑入侵防备和治理，，，关闭非必要的网络服务和端口，，，如SSH（22）、Telnet(23)、HTTP/HTTPS （80、443）等�！！！�
IOC样例
本汇报由CNCERT物联网安全钻研团队与OG东方厅ADLab结合颁布
京公网安备11010802024551号