新Mirai僵尸网络变体“V3G4”样本分析

发表于 分类于

一、样本标签

标签名 描述
原始⽂件名 deathtrump.x86
MD5 cb0f5b97853a825df1f6155355eb0592
⽂件⼤⼩ 49.08 KB (50256 bytes)
⽂件格式 ELF 86-bit
加壳类型 无
编译语⾔ C/C++
SHA-1 7b57e42bbcde2080a3f340b2ff1853c0d45a853a
SHA-256 6f654198e8efd5aff1c7a903353967d0e96aeff0402cb0a79fabbc10d18c63d2
开源报告 https://unit42.paloaltonetworks.com/mirai-variant-v3g4/

二、详细分析

1、样本初始化

样本(cb0f5b97853a825df1f6155355eb0592)运行后首先调用sigprocmask使模块无法被正常结束。

image-20230310164205962

然后通过连接DNS8.8.8.8:13568进行获取本地IP地址。

image-20230310164344206

接着初始化加密字符串的数据。

image-20230310164410197

所有字符串都使用四轮 XOR 解密进行解密。使用的解密密钥如下：

  • 第一轮：0xbc
  • 第二轮：0x69
  • 第三轮：0x3a
  • 第四轮：0xe6

image-20230310164448056

在本地进行搭建服务器,并在控制台输出字符串We got this shit already.。

image-20230310164607132

通过生成随机字符串来进行模块名伪装。

image-20230310164645981

image-20230310164700339

关闭看门狗，防止系统干扰运行。

image-20230310164945617

在与C2建立连接之前，样本会先初始化所有的DDoS攻击函数。用来后续接收C2回传的消息后进行DDoS攻击方式选择。

image-20230310164911352

其中样本检查受感染主机上正在运行的进程名称。如果进程名称属于其他僵尸网络恶意软件家族和其他 Mirai 变体则结束被检查的进程。

word-image-126924-3

image-20230310165239384

image-20230310165243957

初始化完毕后，开始与C2进行连接。

image-20230310165341459

连接成功后，等待C2下发DDOS指令。

image-20230310165834157

2、DDOS

样本通过C2下发的指令继续DDOS类型选择，根据具体分析可知部分类型如下：

cmd ddos_type
0 tcp_plain
1 tcp_stomp
2 gre_ip
3 udp_stdhex
4 udp_ves
5 tcp_syn
6 tcp_ack
7 http

image-20230310165953443

3、传播

样本在2022年7月、2022年9月、2022年12月被进行三次传播，传播方式为漏洞利用，被利用的漏洞如下：

最初7月份的传播中，样本(bbe9c4f1bad3f8f280e600e10f8f7ed1)自身在启动初期会初始化 telnet/SSH 登录凭据表。然后，它通过暴力破解网络设备的弱用户名/密码组合来传播自己。

image-20230310174731278

所有的字符串使用 XOR 密钥0x37加密

image-20230310182024213

解密后结果如下：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
admin,admin
root,admin
ubnt,ubnt
root,icatch99
root,xc3511
service,ipdongle
default,lJwpbo6
default,S2fGqNFs
default,OxhlwSG8
default,default
admin,password
root,5up
root,zsun1188
root,hi3518
root,zlxx.
root,vizxv
root,Zte521
root,anko
root,klv123
root,ivdev
root,jvbzd
root,cat1029
vstarcam2015,20150602
support,support
root,20080826
root,svgodie
user,user
user,password
guest,guest
guest,12345
guest,password
root,root
root,123456
root,88888888
root,password
root,pass
root,abc123
admin,1234
daemon,daemon
adm,
bin,
daemon,
root,
admin,
default,
7,smc
guest,
guest,1111
root,1111
root,12345678777
admin,1111
admin,pass
admin,root
admin,cat1029
admin,ho4uku6at
admin,dvr2580222
admin,meinsm
root,blender
root,LZE326business
www2,9311
www,9311
admin,smc
admin,conexant
admin,2601hx
admin,extendnet
root,inflection
root,t0talc0ntr0l4!
admin,ironport
root,1001chin
admin,zhongxing
root,zhongxing
root,ROOT500
admin,nCwMnJVGag

9 月和 12 月的活动样本不包含漏洞利用和凭证暴力破解功能。