网络 “冠状病毒” |宝运莱官方网站ADLab结合CNCERT物联网安全钻研团队颁布最新钻研汇报
颁布功夫 2020-03-27概况
随着“新型冠状病毒肺炎”上升为全球性公共卫生突发事务 ，列国民多开启了“宅抗疫、云生涯”模式。在极度时期 ，网络空间在人们的日常生涯变得越发不成或缺 ，然而当各人都在奋力抗疫的同时 ，大量的黑客却起头以“冠状病毒”名义从事大规模的网络攻击活动 ，除了目前已经发现以冠状病毒为名进行的APT攻击、勒索病毒攻击之表 ，物联网领域中以冠状病毒为名的有关攻击也急剧上升。
这些物联网“冠状病毒”样本以“Corona”（冠状的英文）、“covid”（冠状病毒英文缩写）定名 ，并利用物联网设备所存在的缝隙进行传布。我们通过监测数据发现 ，该类样本的数量与疫情发展出现肯定水平的有关性 ，好比进入3月份随着全球疫情持续升温 ，以“covid”定名的样本起头显著增多。
物联网“冠状病毒”样本统计分析
截止到2020年3月26日 ，宝运莱官方网站物联网威胁数据平台共捕获到801个以冠状病毒定名的样本。我们针对这些物联网“冠状病毒”样本进行了仿真环境动态分析 ，样本的C&C上线散布情况如图1所示。
图1 僵尸样本C&C上线散布
数据显示 ，这批物联网“冠状病毒”样本中共近90%的样本受控于位于美国的5个C&C服务器 ，7%位于俄罗斯 ，4%位于荷兰。其中有6个C&C服务器在疫情期间较为活跃 ，且关联的样本量较大 ，蕴含X86、ARM、MIPS、PowerPC、SPARC、Renesas SH等多个平台的ELF文件。通过进一步的同源性分析 ，我们将这些样本分成两类 ，别离定名为Corona-A、Corona-B ，后文将进一步探索它们的技术特点和所属家族。
这批“冠状病毒”样本的重要传布伎俩依然是通过内置密码本进行Telnet密码爆破 ，部门样本利用到了“Redis 未授权代码执杏妆等多个已知缝隙利用进行传布。另表在我们溯源分析的过程中 ，发现有关组织近期利用最新的缝隙CVE-2020-9054[1]（Zyxel网络从属存储（NAS）设备）发展攻击活动。据驰名调查人员Brian Krebs的说法 ，该缝隙的有关POC在地下论坛被以2万美元的价值销售 ，同时也吸引了大量勒索软件攻击组织的兴致（可能还与Emotet有关）。由于缝隙的严沉性 ，美国CERT/CC将该缝隙定为CVSS10分。
表1 样本传布利用的设备缝隙
技术分析
1、Corona-A类样本技术分析
在对Corona-A类样本进行整体分析后 ，我们发显熹中的变种虽多 ，但各类样本间的类似度很高 ，故以近期活跃的C&C (192[.]3[.]193[.]251)为例 ，对关联样本进行逆向分析 ，其多种架构的样本均被定名为“Corona”。
图2 Shell剧本
僵尸法式运行后 ，首先绑定本地端口0x22B8（8888端口） ，衔接C&C地址为：192[.]3[.]193[.]251:20。
图3 监听本地端口
通过ensure_bind函数确保样本法式只存在单事俘运行。
图4 查抄单事俘运行
执行botkiller� ？橐远细渌嬖诰赫闹髁鹘┦ㄊ�。
图5 执行botkiller� ？�
需断根的僵尸家族和关联字符串如下图所示：
图6 断根的指标家族及关联字符串
恶意代码中多处硬编码了“Corona”关键词 ，蕴含上线数据包和衔接中断的输出显示（僵尸服务端可能将“Corona”作为通讯和谈识此外关键特点）。
图7 硬编码“Corona”关键词
上线包及C&C回复包通讯流量如下图所示：
图8 TCP通讯流量
样本的proc_cmd()函数蕴含DDoS攻击� ？� ，其融合了多种常见的攻击模式 ，蕴含UDP、VSE、HTTP、TCP、STD、XMAS等。同时在针对该C&C监控的过程中 ，我们发显熹近期发起的DDoS攻击活动较为频仍 ，重要指标为欧美国度 ，部门攻击示例如下图所示：
图9 攻击情况示例
基于样本的代码结构、函数定名、通讯流量、攻击模式等特点 ，能够发现Corona-A类样本与Gafgyt家族的类似度很高 ，黑客虽对通讯数据等内容包装了“新冠”概想 ，但代码在整体上仍与Gafgyt家族相近 ，能够以为是Gafgyt家族的变种。Corona-A的其它类型样本也同样基于Gafgyt进行批改 ，在此不做赘述。
2、Corona-B类样本技术分析
Corona-B类恶意样本的代码相较Corona-A更为复杂 ，且大部门样本进行了符号剥离 ，对逆向分析会产生较大滋扰。但是黑客百密一疏 ，在大量样本中 ，依然存在个别arm架构的样本蕴含符号 ，可供钻研分析。通过进一步的观察 ，我们发现Corona-B类样本间的差距较大 ，能够细分为变种Corona-B-1和变种Corona-B-2进行分析。
? Corona-B-1
Corona-B-1的关联C&C为45[.]84[.]196[.]75 ，有关样本占捕获总量的64% ，是目前发现样本量最大的物联网“冠状病毒” ，近一个月功夫内迭代了多个版本。在溯源分析的过程中 ，我们发现有关组织近期利用Zyxel网络从属存储（NAS）设备的最新缝隙CVE-2020-9054发展攻击活动 ，有关入侵流量如下图所示：
图10 缝隙入侵流量
CVE-2020-9054缝隙是网络产品供给商Zyxel近期建复的一个严沉的远程代码执行缝隙 ，缝隙影响多款NAS设备 ，攻击者能够通过weblogin.cgi组件触发号令注入并加载恶意代码。
攻击成功后会执行shell剧本下载分歧架构的僵尸样本。
图11 执行shell剧本
此类恶意样本也曾以“corona”作为后缀名进行下载传布。
图12 “corona”后缀样本
通过进一步的分析确认 ，Corona-B-1是Mirai家族的新变种Mukashi ，固然代码未集成缝隙利用� ？� ，但黑客有很大可能在利用CVE-2020-9054缝隙进行攻击并传布恶意样本 ，必要引起各方器沉。
Corona-B-1与其它Mirai家族分歧的是 ，其在初始化� ？橹� ，并未选取通例的xor加解密 ，而是使用了自界说的解密模式。其分歧版本的解密算法一样 ，但预置加密字符串分歧 ，初始加密字符串示例如下图所示。
(样本ad61c361f76026e0b0c1ff1bc62b52e7) :
图13 初始加密字符串
解密后的号令和字符串会存储到Table中供后续使用 ，对应信息如下表所示：
表2 解密后的号令和字符串
Corona-B-1的扫描� ？閟canner_init则同Mirai家族的大无数变种一样 ，选取Telnet爆破 ，并使用分歧的默认痛处组合进行登录。
图14 扫描流量
一旦Telnet爆破成功则会以“<host ip addr>:23 <username>:<password>”的体式将信息提交给C&C。
同时 ，Corona-B-1会试图发送号令执行一些操作 ，如“system”、“shell”等默认号令 ， Corona-B-1在此处新增了"/bin/busybox CORONA"号令 ，能够进一步执行busybox中的恶意代码部件。
图15 “CORONA”号令
值妥贴心的是 ，Corona-B-1在最新的代码中删除了对该号令的后续处置 ，前期版本通过recv()函数来接管和判断回显信息（如若CORONA号令不存在 ，busybox将返回“CORONA: applet not found”）。
图16 新旧版本号令处置对比
在攻击模式方面 ，Attack_parsing()函数掌管处置与C&C服务器的号令交互 ，具体的节造指令数组由初始解密得到。
图17 节造指令选择
下表为Corona-B-1支持的C&C节造指令。
表3 C&C节造指令
其中 ，Corona-B-1配置了部门绕过DDOS防御的攻击模式 ，例如UDP bypass,TCP bypass ，这些技术最早来自于Mirai的Dvrhelper变种 ，也批注Corona-B-1可能继承借鉴了Dvrhelper变种的部门代码。
?Corona-B-2
Corona-B-2的关联C&C为64[.]227[.]17[.]38 ，攻击者将多种架构的恶意样本定名为“covid”。值妥贴心的是 ，近期其恶意代码职能的更新迭代十吩斓繁。
图18 服务器恶意代码更新情况
Corona-B-2样本蕴含Telnet爆破、反GDB调试、禁用看门狗(watchdog)等� ？橹澳� ，相较于Corona-B-1 ，Corona-B-2更靠近于原生的Mirai家族。通过进一步比对 ，其复用了Mirai的大部门代码 ，但初始化� ？楹凸セ髂 ？橛兴涠�。
初始化� ？椋╰able_init）的table_key与Mirai的默认配置分歧（Corona-B-2的table_key为0xDEDEFBAF） ，有关加密数据能够通过Mirai源码中的tools/enc.c� ？榻薪饷�。
攻击� ？椋╝ttack_init）共组合了13种攻击方式 ，通过Bindiff进行新旧版本类似性比对后 ，我们发现黑客组织在持续增长和更新样本的攻击� ？�。
蕴含：
attack_method_nudp
attack_method_udphex
attack_method_udpdns等。
也批注该组织近期的攻击欲望较强。
图19 新旧版本代码类似性比力
综合以上对物联网“疫情样本”的分析 ，多种恶意代码最终都定位到了Gafgyt和Mirai家族的变种 ，注明这两类宽泛传布的家族仍是大量黑客开发新型物联网僵尸的首选。同时从定名习惯、攻击指标、服务器归属地等成分综合判断 ，这批攻击者或许率会是境表的黑客组织。
有关样本的家族归类整顿如下图所示：
图20 样同宗族归类
受攻击IP散布
凭据宝运莱官方网站监测数据 ，目前境内受到物联网“冠状病毒”攻击的设备IP超过22万 ，重要位于中国境内（96.8%）。其中国内重要散布于广东�。�15.4%）、浙江�。�14.2%）、北京市（13.7%）、江苏�。�10.0%）等。境内受攻击IP散布图如下所示：
图21 受攻击IP地位散布图
总结
通过以上分析能够看出 ，物联网“冠状病毒”的扩散和全球疫情发展有着肯定的有关性。技术上 ，其大部门还是选取了经典的物联网病毒Gafgyt和Mirai家族的攻击� ？� ，但是其传布的默认伎俩依然是Telnet爆破 ，部门新的样本起头结合一些新发现的缝隙进行扩散传布。此表 ，为了更有效的独占设备资源 ，物联网“冠状病毒”还加强了对其它主流僵尸竞争敌手的防控和扑杀 ，能够杀掉50多种类型的物联网僵尸过程。一些样本还选取了自界说的加解密� ？� ，并不休在攻击� ？橹腥诤闲碌墓セ骼嘈�。
该批物联网“冠状病毒”攻击手法和特点来看并没有太多别致的器材 ，但是通过利用现实世界的真实事务来扩散恶意攻击这一思路必将会持久存在。对新缝隙的兵器化依然是物联网黑客们的沉点关注方向。黑客从服务器、PC、智能手机 ，扩大向摄像头、路由器、NAS、家居安防系统、智能电视、智能穿戴设备 ，甚至是婴儿监督器 ，任何互联网衔接的设备都不会放过 ，这也是持久以来物联网恶意代码维持多平台兼容的原因。物联网的威胁对于通常治理员来说是很难觉察的 ，就像处于埋伏期的受习染者一样 ，无法实时防御和断根。最后 ，在疫情之下 ，我们更应该警惕居心不良的物联网“冠状病毒”大幅扩散 ，争取早日战胜疫情 ，战胜病毒。因而我们建议用户：
( 1 ) 实时更新升级物联网设备固件；
( 2 ) 尽快更换设备厂商初始密码 ，把稳预防空口令或弱口令；
( 3 ) 如无必要 ，尽可能不要将产品直接露出在互联网上 ，如必须联网 ，可将设备衔接到安全路由器或防火墙 ，进行更多的防护；
( 4 ) 加强网络天堑入侵防备和治理 ，关关非必要的网络服务和端口 ，如SSH（22）、Telnet(23)、HTTP/HTTPS （80、443）等。
IOC样例
本汇报由CNCERT物联网安全钻研团队与宝运莱官方网站ADLab结合颁布
京公网安备11010802024551号