奇安信 X 实验室

奇安信 X 实验室

Global Cybersecurity Threat Analysis and Hunting

使用 SSH 服务打破网络边界

缘起 部门近期接到一个项目, 需要在受限内网部署一套自研的系统, 受一些客观条件限制, 我们的同事又无法肉身直连, 本来大家是考虑用“向日葵”就可以了, 但是通过界面敲命令行属实有些卡顿, 这给项目推进带来了不小的困难, 如果能搭建一组网络隧道, 直连目标机器, 那工作起来一定丝滑不少. 考虑到过往经历, 面对这种撞枪口的需求, 索性就打了一套 SSH 组合拳, 搭了几条解决不同需求的管道, 结果惊呆了小伙伴们, 既然如此, 不如索性系统性的梳理一下, 广而告之, 遂有了这篇blog. 场景考量 既然准备系统性梳理, 那就不能只解决某一个需求, 而是要考虑到更多的使用场景, 所以我大概考虑了以下几个场景, 供读者自行匹配: 1. 两个身处不同网域的小伙伴, 需要一个统一的网络管道, 共同开展系统搭建/程序开发/渗透测试等工作; 2. 在内网渗透场景下, 边界主机为内网主机, 希望以边界主机为跳板向更深层网络发起访问; 3. 进入受限网络后, 无法访问某个关键服务, 希望反向利用本地网络访问这个服务; 4. 在家里内网搭了个一键 XXX 服务, 出门在外想和
20 min read
警惕:Kiteshield Packer正在被Linux黑灰产滥用
Packer

警惕:Kiteshield Packer正在被Linux黑灰产滥用

背景 近一个月XLab的大网威胁感知系统捕获了一批VT低检测且很相似的可疑ELF文件。我们在满心期待中开始了逆向分析,期间经历了反调试,字串混淆,XOR加密,RC4加密等等一系列对抗手段。坦白的说,在这个过程中我们是非常开心的,因为对抗越多,越能说明样本的“不同凡响”,或许我们抓到了一条大鱼。 然而,结果却让人失望。这批样本之所以检测率低,是因为它们都使用了一个名为Kiteshield的壳。最终,我们发现这些样本都是已知的威胁,分别隶属于APT组织Winnti、黑产团伙暗蚊,以及某不知名的脚本小子。 尽管我们未能从这批样本中发现新的威胁,但低检测率本身也是一种重要的发现。显然,不同级别的黑灰产组织都开始使用Kiteshield来实现免杀,而目前安全厂商对这种壳还缺乏足够的认知。随着一年一度的大型网络演练临近,我们不排除攻击方使用Kiteshield的可能性。因此,我们认为有必要编写本文,向社区分享我们的发现,以促进杀软引擎对Kiteshield壳的处理能力。 Kiteshield Packer介绍 简单来说,Kiteshield是一个针对x86-64 ELF二进制
10 min read
CatDDoS系团伙近期活动激增分析
Botnet

CatDDoS系团伙近期活动激增分析

概述 XLab大网威胁感知系统会对当前活跃的主流DDoS僵尸网络家族进行持续跟踪和监控,最近3个月,这套系统观察到CatDDoS系团伙持续活跃,利用的漏洞数量达80+,攻击目标数量最大峰值300+/d,鉴于其活跃程度,我们整理了一份近期的各种数据分享给社区以供参考。 漏洞利用 根据视野内的数据,我们观察到CatDDoS系团伙最近3个月使用了大量的已知漏洞传播样本,总数达80多个。具体漏洞如下: 这些漏洞影响的厂商设备如下: vendor Name product Name A-MTK Camera Apache ActiveMQ Apache Log4j Apache Rocketmq Avtech Camera Barni Master Ip Camera01 Firmware Billion 5200W-T Firmware Cacti Cacti Cambiumnetworks Cnpilot R190V Firmware Cisco Linksys Firmware Ctekproducts Sk
10 min read
假死疑云:Wpeeper木马所图为何?
Backdoor

假死疑云:Wpeeper木马所图为何?

简介 2024年4月18日,XLab的未知威胁狩猎系统发现一个VT 0检测的ELF文件正通过2个不同的域名传播,其中一个域名已被3家安全产商标注为恶意,另一个域名为近期注册且无任何检测,这个异常点引起了我们的注意。经过分析,我们确认此ELF是一个针对Android系统的恶意软件,基于它使用被黑的WORD PRESS站点做为中转C2,我们将其命名为Wpeeper。 Wpeeper是一个针对Android系统的典型后门木马,支持收集设备敏感信息,文件&目录管理,上传&下载,执行命令等诸多功能。Wpeeper最大的亮点在于网络层面,以下3点体现了其作者的用心程度: 1. 依托被黑的WORD PRESS站点构建多层级的C2架构,隐藏真正的C2 2. 使用Session字段区分请求,HTTPS协议保护网络流量 3. C2下发的指令使用AES加密并带有椭圆曲线签名,防止被接管 Wpeeper来源于“二次打包”的UPtodown Store应用,攻击者向正常的APK中植入了一小段代码用于下载执行恶意的ELF。由于新增的代码量很少,被修改的APK目前在VT上也是0检测。UPtod
15 min read
Botnet

使用DGA的僵尸网络Mirai Nomi

概述 Mirai家族作为botnet的常青树,存在众多变种,但极少出现使用DGA的Mirai变种,据我们观测,上一个使用DGA(Domain Generation Algorithm)的Mirai变种出现于2016年。2024年3月,我们捕获到了新的可疑ELF样本,通过分析得知是另一个使用DGA的Mirai变种,分析关联的历史样本,我们不仅发现了没有使用DGA的版本(2024.02),还发现了漏洞扫描器和远控样本(2024.01),这引起我们的极大兴趣。根据下载脚本中的版本信息,我们姑且将其命名为Mirai.Nomi。 Mirai.Nomi样本具有以下特点: * 魔改UPX壳(修改UPX魔术头、异或原始载荷) * 使用时间相关的DGA并加入验证机制 * 使用多个加密算法、哈希算法(AES、CHACHA20、MD5) 样本分析 最新ELF样本修改自Mirai LZRD变种,新增了持久化函数和域名生成函数,其他部分基本沿用原始代码。UPX壳修改魔术头为0B 3E 2A AF 解压缩每个block后,单字节异或0xD4,可通过动态dump或者重新编译UP
7 min read
币安智能合约正在被Smargaft僵尸网络滥用
DDoS

币安智能合约正在被Smargaft僵尸网络滥用

背景 在XLab的日常工作中,我们的僵尸网络监控系统每天都能检测到大量基于Mirai, Gafgyt代码魔改而来的变体的僵尸网络。这些变体已经司空见惯,无法引起我们的兴趣。然而,今天的主角是一个异类,虽然它复用了一些Gafgyt的攻击向量,但很明显程序的逻辑结构是重新设计的。除此之外其作者还有一些让人眼前一亮的创新,比如利用币安智能链(Binance Smart Chain)的合约托管命令和控制中心(C2),比如通过病毒式感染Shell脚本实现持久化等。我们在进行逆向分析时,发现一些杀毒软件将这个僵尸网络的ARM样本标记为Mirai,这是不准确的。基于这个僵尸网络使用智能合约以及Gafgyt的攻击向量,我们将它命名为Smargaft,它的主要功能是DDoS攻击,执行系统命令,提供socks5代理服务等。 Smargaft最大的亮点是使用智能合约托管C2,这种技术于2023年10月被首次披露,业内称之为EtherHiding,它充分利用区块链的公开性和不可篡改性,"链上”的C2无法被移除,是一种相当高级且少见的Bullet-Proof Hosting技法。这是我们在僵尸网络
22 min read
中国全网DNS错误数据分析
DNS

中国全网DNS错误数据分析

在电影《流浪地球2》中,重启全球互联网的情节让观众印象深刻,影片中重启根服务器象征着全球DNS(Domain Name System)解析服务的重新启动。在现实世界中,DNS不仅承担着将域名转换为IP地址的常规解析任务,还经常接收到众多无效查询:不存在的域名,即NXDOMAIN(Non-Existent Domain)。大量无效查询会影响用户上网体验,增加网络运营商负担,甚至某些情况下还会危及到各级DNS解析器的稳定性。 作为中国主要的DNS基础设施服务提供商之一,奇安信运营着国内规模最大的公共DNS解析系统和最大的公开的PassiveDNS系统。这赋予了我们广阔且清晰的视角,能够从全国范围内观测DNS运行状况,对DNS运作过程进行充分的分析和解读。本文依托奇安信公共DNS海量的递归解析数据,从DNS解析数据中一个关键指标——NXDOMAIN数据入手,从中国视角出发对其进行全面分析。 文章共分为三个部分:第一部分比较了中国与全球DNS系统中错误域名查询的共性与差异,并探讨了这些差异的原因。第二部分从域名的视角出发,全面分析错误域名的产生原因及其影响。第三部分从地域的角度,对比中国不
43 min read
笼罩在机顶盒上空的阴影:揭开隐蔽8年黑灰产团伙Bigpanzi的神秘面纱
Botnet

笼罩在机顶盒上空的阴影:揭开隐蔽8年黑灰产团伙Bigpanzi的神秘面纱

背景 一段时间之前,我们捕获了一个VT 0 检测,使用变形UPX加壳,名为pandoraspear,MD5为9a1a6d484297a4e5d6249253f216ed69的可疑ELF样本。在分析过程中,我们发现它硬编码了9个C2域名,其中有2个域名过期的保护期已过,于是我们注册了这2个域名用以度量botnet的规模。在我们能观测的时间内bot的巅峰日活为17万左右,绝大部分位于巴西。 当这个团伙发现我们注册了他的域名之后,通过DDoS攻击我们注册的域名迫使域名下线以及修改被侵入设备hosts(通过修改机器hosts文件将特定域名指向特定IP,从而绕过DNS解析获得CC域名IP地址)等方式与我们展开了对抗,使得我们失去了大部分视野。 很快我们完成了对样本的逆向分析,并实现了针对该僵尸网络的攻击指令跟踪。依托于指令跟踪,我们捕获了该僵尸网络的a.sh,pd.sh,cpcdn.sh等下载脚本,这些脚本直接或间接的扩展了我们的视野。从直接的层面来说,这些脚本直接提供了该黑产团伙额外的implants,如pcdn,ptcrack,p2p_peer等;从间接的层面来说,我们发现这些脚
40 min read
Botnet

Rimasuta新变种出现,改用ChaCha20加密

时间回到两年前,2021年6月360netlab捕获到一个全新的mirai变种,根据使用的TEA算法给它取名为mirai_ptea,没想到在向社区公布了该变种之后,作者在随后更新的样本里吐槽了360netlab的命名: “-_- you guys didnt pick up on the name? really??? its RI-MA-SU-TA. not MIRAI_PTEA this is dumb name.” 鉴于作者吐槽,360netlab也是将后续命名更改为Mirai_ptea_Rimasuta。当时以为又是一个生命短暂的僵尸网络,然而在最近的botnet观测中,rimasuta再次回到了我们的视野。 rimasuta的整体架构没有发生变化,比如通信过程就延用了之前的设计思路,采用Tor Proxy进行通信,但在加密算法、协议格式等方面发生了改变。本文通过对rimasuta新变种的分析,尝试为这个活跃了三年的botnet勾勒出一条时间线,方便社区了解。 时间线 * 2021年6月22日360netlab观察到mirai_ptea利用KGUARD DVR漏洞
13 min read
Botnet

一个新的超大规模分组的Mirai变种僵尸网络TBOT

概述 众所周知Mirai于2016年首次被发现,它通过利用物联网设备的弱密码和漏洞来感染它们。一旦设备感染,它们将成为网络的一部分,由攻击者控制,用于大规模的分布式拒绝服务攻击。Mirai僵尸网络通常根据感染方式或者被感染设备不同将Bot分为不同的组,以便攻击者更有效地管理和控制庞大的僵尸网络。近期我们注意到一个Mirai僵尸网络居然拥有100多个Bot分组,这引起了我们极大的兴趣。根据该僵尸网络进行Telnet扫描时会执行/bin/busybox hostname TBOT这一命令的特点,我们姑且将其命名为Mirai.TBOT。Mirai.TBOT僵尸网络有以下几个特点: * 超多Bot分组(100+ Bot分组),意味着感染方式比较多 * 具备0day利用能力 * C2使用OpenNIC自定义域名(部分样本中有32个域名,作者并没有全部注册) * 超大规模,2023年11月4日我们注册了上面提到的32个OpenNIC域名中的3个,结合连接这3个域名的Bot和网络流量中识别出来的该僵尸网络的Bot数量,我们能看到部分Mirai.TBOT僵尸网络的Bot数量,目前其Bo
16 min read