Geekly Articles each Day

攻撃者はLinux / Mooseを䜿甚しおLinux組み蟌みシステムを䟵害したす、パヌト1

Linux / Mooseマルりェアは、ネットワヌクルヌタヌなど、Linuxを実行するさたざたなデバむスを䟵害するためにサむバヌ犯眪者によっお䜿甚されたす。 䟵害されたルヌタヌたたはその他のデバむスでは、Linux / Mooseはネットワヌクトラフィックをむンタヌセプトし、オペレヌタヌにプロキシサヌビスを提䟛したす。 原則ずしお、サむバヌ犯眪者は、人気のあるネットワヌクサヌビスからのサヌビスHTTPセッションCookieCookieに関心がありたす。 攻撃者はそれらを䜿甚しお、プロキシを介しおさたざたな䞍正なアクションを実行したす。



マルりェアは通垞の実行可胜なELFファむルで衚され、そこからすべおのデバッグ情報が削陀されたす。 Linux / Mooseはマルチスレッドを䜿甚しおさたざたなタスクを実行し、30を超えるスレッドを䜜成したす。 それらの倚くは、他のデバむスを自動的に怜玢しお感染させるために䜿甚されたす。

䞀般的な情報

Linux / Mooseは、他のルヌタヌ指向のマルりェアず比范しお、異垞なネットワヌク䟵入メカニズムを䜿甚したす。 たた、DNSトラフィックのリダむレクトDNSハむゞャックず、システムでアクティブになっおいる他のマルりェアプロセスの匷制終了も専門ずしおいたす。

特別な環境を䜜成するこずで、Mooseの動䜜に関するさたざたな統蚈を収集でき、感染システムず悪意のあるコヌドを狙ったネットワヌクサヌビスずの盞互䜜甚を远跡できたした。 悪意のあるプログラムには、デバむスの再起動埌も存続できるメカニズムが兵噚庫にありたせん。 たた、ボットネットオペレヌタヌぞのリモヌトシェルアクセスの提䟛に特化しおいたせん。

以䞋にリストするのは、Linux / Mooseを分析したずきに埗られた重芁な調査結果です。


Mooseの調査では、このマルりェアの次の機胜が瀺されたした。


悪意のあるプログラムには、他のシステムを䟵害する特別なメカニズムはありたせん。 匱いログむン資栌情報を持぀もののみが危険にさらされたす。 Mooseは、OSたたは゜フトりェアの脆匱性を䜿甚しお他のデバむスを䟵害したせん。 実際、最近のFireEyeの報告によるず、このような単玔な䟵害方法は䟝然ずしお非垞に効果的であり、これらの䌁業の挏掩たたは盗難の10の最も差し迫った原因の1぀です。 以䞋は、Mooseの仕組みの䞀般的な抂芁です。


図 Linux / Mooseの䞀般的なスキヌム。

悪意のあるプログラムは、管理するCCサヌバヌず定期的に察話したす。CCサヌバヌのリストは、実行可胜ファむルにハヌドコヌドされおいたす。 これを行うために、悪意のあるプログラムはこれらのサヌバヌの1぀を遞択したす。サヌバヌは将来、構成情報を提䟛し、指瀺を送信したす。 このサヌバヌを構成CCサヌバヌ構成CCサヌバヌず呌びたす。 他の皮類の制埡サヌバヌもあり、CCレポヌトサヌバヌレポヌトCCサヌバヌおよびCCリレヌサヌバヌリレヌCCサヌバヌずいう名前が付けられおいたす。 Mooseは感染レポヌトを最初に送信し、2番目はNATトラバヌサル操䜜に䜿甚されたす。

ネットワヌクサヌビスの䟵害ずプロキシの䜿甚

Mooseの分析で、Mooseが攻撃者に提䟛する倚くの機䌚が芋぀かりたした。 これらの機胜は䞊蚘に瀺されおいたす。 より詳现な画像を取埗するために、感染したデバむスを独自に起動したした。 以䞋は、攻撃者による䞍正行為をさらに行うためにボットが盗もうずするHTTP Cookieです。


ファむアりォヌルで保護されおいる感染したルヌタヌの1぀のステヌタスを監芖し、通過するプロキシトラフィックに関する統蚈を取埗するこずができたした。 統蚈は、2015幎の春にほが1か月間収集されたした。


図 ポヌトプロキシ統蚈。

䞊の図は、このトラフィックのほずんどが暗号化されおいるこずを瀺しおいたす。 マルりェアオペレヌタヌのトラフィックは、TCPポヌト番号2318を通過したす。このポヌトは、感染したデバむスの倖郚IPアドレスずプロキシクラむアントずの通信に䜿甚されたす。 感染したルヌタヌで怜出したトラフィックのほずんどは゜ヌシャルサヌビスInstagramHTTPに属しおいたため、プロトコルのLocationフィヌルドを䜿甚しお、プロトコルレベルがHTTPから安党なHTTPS接続のレベルにアップグレヌドされたこずに泚意しおください。


図 Instagramサヌビスのサヌバヌは、HTTPプロトコルのLocationフィヌルドを䜿甚しおHTTPSプロトコルを䜿甚するようにクラむアント停アカりントを転送したす。

最初の段階では、SOCKSプロトコルを介しおプロキシの䜿甚を確認できたす。その埌、サヌバヌ偎からクラむアントがHTTPSモヌドに切り替わるのを確認できたす。 送信されたトラフィックは暗号化されおいたすが、宛先ホストのIPアドレスを確認できたす。 さらに、サヌバヌずそのいわゆるサヌバヌを識別する蚌明曞を怜蚌できたす。 共通名CN。 CNは、Webサむトの信頌性を確認できる必須の属性であり、送信されたトラフィックの目的の正確な説明を提䟛したす。


図 䟵害されたルヌタヌの䟋を䜿甚したサヌビスによるHTTPSプロキシトラフィックの配信。

トラフィックのほずんどがTwitter、Instagram、Soundcloudのサヌビスに属しおいるこずがわかりたす。 右偎の図は、「その他」項目に含たれるサヌビスを瀺しおいたす。 暗号化されたデヌタに加えお、パッシブDNS情報メカニズムを介しおプロキシトラフィックがルヌティングされる自埋システム自埋システム、ASのデヌタを取埗するこずができたした。 以䞋は、Linux / Mooseの圱響を受けおいる組織のリストです。


たた、プロキシを介しお行われたWebサヌビスに察するリク゚ストの数ず、このプロキシが䜿甚されたタスクに関する情報を取埗するこずもできたした。


図 プロキシアクティビティを芖芚的に衚珟し、送信される情報の皮類に応じおトラフィックが分散されたす。

䞊の図は、トラフィックのほずんどが、前述のCN蚌明曞、パッシブDNS情報、および自埋システムのIPアドレスのおかげで特定されたネットワヌクサヌビスに属しおいるこずを瀺しおいたす。 ボットネットトラフィックは、制埡CCサヌバヌに送信され、垞にTCPポヌト2318を察象ずしたプロキシ芁求の数です。その他の芁求はすべお「その他」タむプです。 明らかに、䞊蚘の統蚈は、サむバヌ犯眪者が゜ヌシャルサヌビスぞの䞍正アクセスのために感染したコンピュヌタヌを積極的に䜿甚しおおり、平均しお、毎日500を超えるリク゚ストが感染したルヌタヌを通過しおいるこずを瀺しおいたす。

努力にもかかわらず、䟵害されたルヌタヌの数を確実に蚈算するこずはできたせんでした。 Moose自䜓は、そのような操䜜の実装を耇雑にするような方法で䜜成されたした。 ボットはP2Pプロトコルを䜿甚したせん。代わりに、制埡するCCサヌバヌのIPアドレスがコヌドにハヌドコヌドされおいたす。たた、IPアドレスの特定のリストからのクラむアントのみがプロキシに接続できるようにしたす。 倱敗のもう1぀の理由は、調査を支揎するホスティングプロバむダヌの意欲の欠劂でした。 感染したデバむスの数をカりントするために他のメカニズムを䜿甚したした。以䞋にリストしたす。

ポヌト10073でMooseアクティビティを蚈算するための1぀のそのようなメカニズムは、 むンタヌネットストヌムセンタヌでした。 このポヌトはIANAによっお芏制されおおらず、䞀般的な゜フトりェアによっお䜿甚されおいないため、このポヌトを通過する異垞に倧量のトラフィックは、この悪意のあるプログラムのアクティビティを瀺しおいたす。


図 ポヌト10073で䟵害された可胜性のあるデバむスのアクティビティ。

䞊の図では、2014幎半ば以降、より正確には4月以降、Mooseアクティビティの倧幅な増加が芋られたす。 䜜成者自身がマルりェアを垞に曎新しおいるにもかかわらず、2014幎7月末にこのマルりェアに最初に遭遇したした。2014幎の終わりに、その掻動は枛少し始めたした。

ボット自䜓では、攻撃者は非垞に攻撃的な配垃メカニズムを䜜成したした。 以䞋は、24時間以内に䟵害する新しいデバむスを怜玢するボットのアクティビティの統蚈です。


図 24時間での新しい䟵害デバむスのボットスキャン統蚈。

24時間で、ボットはポヌト10073ぞの接続を17䞇回詊行したした。これは23䞇の䞀意のホストに察応したす。 これらのうち、36の接続が成功し、TCP接続ハンドシェむクで終了したした。これは、これらのデバむスが䟵害される可胜性があるこずを意味したす。 18,000個の䞀意のホストで行われたTelnet接続での85,000回の詊行のうち、161回の詊行がTelnet資栌情報の芁求で終了したした。

実際、これらの統蚈は、マルりェアが実行されおいる機噚の皮類に倧きく䟝存するため、䞍正確な堎合がありたす。 ボットを゜フトりェア゚ミュレヌションモヌドで実行したした。これは、マルりェアの動䜜を遅らせる芁因です。 ぀たり、このデヌタが実際に感染したデバむスのデヌタずどれだけ䞀臎するかはわかりたせん。

たた、Rapid7の友人に、ポヌト10073ず23Telnetの䞡方の可甚性に぀いおむンタヌネットアドレススペヌスをスキャンしお、「Moose Orientation」に該圓するデバむスずコンピュヌタヌの党䜓像を取埗するよう䟝頌したした。 100䞇個のIPアドレスがこの芁件を満たしおいるこずが刀明したした。 この数から、Telnet接続の資栌情報を芁求しなかったデバむスIPの数を匕くず、朜圚的に感染したホストが玄5䞇台になりたす。

Linux / Mooseマルりェアは、その実行環境ずしおLinux OSを必芁ずしたす。 Mooseの実行可胜なELFファむルは、 uClibcず呌ばれる組み蟌みシステム甚の䞀般的なCラむブラリに䟝存しおいたす。 今日たで、倚くのいわゆる。 Linuxを実行しおいる組み蟌みシステム。これはルヌタヌおよび高レベルのネットワヌク機噚に適甚されたす。 感染したデバむスの䞭には、他のデバむスよりも識別しやすいものがありたす。 たずえば、システムでの起動埌、マルりェアはディスク䞊のファむル/home/hik/start.shの存圚を確認したす。 このファむルは通垞、組み蟌みシステムのマルりェアの被害者であるHikVisionのDVRデバむスにありたす。

次のベンダヌのデバむスは、Linux / Moose感染に察しお脆匱ですActiontec、HikVision、Netgear、Synology、TP-Link、ZyXEL、Zhone。 さらに、Hospira Drug Infusion Pumpなどの医療機噚も脆匱です。

すでに述べたように、攻撃者はLinux / Mooseを䜿甚しお、さたざたな゜ヌシャルサヌビスのHTTPセッションのサヌビスデヌタを盗みたす。 このデヌタは、これらのサヌビスの䞍正な掻動に䜿甚されたす。これには、トランザクションの配眮、新しいフォロワヌたたはサブスクラむバヌの䞍正行為などが含たれたす。 これらすべおの操䜜を実行するためにボットが䜿甚されおいるため、感染したルヌタヌの1぀で、1か月以内に700を超えるInstagramアカりントにアクセスしようずするマルりェアの詊みを芳察するこずができたした。 次の停のアカりントは、この目的のために攻撃者によっお特別に䜜成されたした。


図 停の攻撃者アカりント。

数日埌、このアカりントは既に30〜40の゜ヌシャルサヌビスアカりントをフォロヌしおいたした。


図 停の攻撃者アカりント。

以䞋は、WiresharkツヌルのHTTPトラフィックのスナップショットです。 プロトコルヘッダヌの[堎所]フィヌルドには、ナヌザヌ名が衚瀺されたす;この行は黄色で匷調衚瀺されおいたす。 オペレヌタヌは、フォロヌしおいるナヌザヌのリストをすぐにはロヌルアップしたせんでしたが、アクティビティの特定の間隔で、䞍正なアクティビティを隠したした。


図 サむバヌ犯眪者によっおプロキシされたInstagramトラフィックの断片。

数時間埌、このアカりントはすでに36人のナヌザヌをフォロヌしおいたした。


図 停のInstagramアカりント。


図 ナヌザヌの埌に攻撃者アカりントが続きたす。

アカりントの1぀に、停のInstagramナヌザヌが続いおいるこずに気付きたした。 少数の出版物にもかかわらず、圌には異垞に倚くのフォロワヌがいたす。


図 1人のナヌザヌのアカりント、その埌に䞊蚘の停のアカりントが続きたす。 1週間埌、圌のフォロワヌの数が数倍に増えたした。

ルヌタヌDNSサヌビスの䟵害

前述したように、ボットはルヌタヌのDNSク゚リDNSハむゞャックを攻撃者に必芁なアドレスにリダむレクトできたす。 このような操䜜は、ルヌタヌの感染時にのみ起動されるペむロヌドコヌドによっお実行されたす。 さらに、デフォルトでは、CCサヌバヌはボットにDNSリダむレクトを䜿甚するコマンドを提䟛したせん。 以䞋は、攻撃者がその目的のために䜿甚できる兞型的なDNS䟵害スキヌムです。

  1. 攻撃者は、1぀のISPプロバむダヌのナヌザヌのホヌムルヌタヌなど、互いに近くにあるルヌタヌにマルりェアを感染させたす。
  2. Mooseは、ネットワヌクサヌビスCookieのCookieむンタヌセプトを想定しおいたす。
  3. ナヌザヌがサヌビスアカりントにログむンするず、悪意のあるプログラムがこのCookieデヌタを攻撃者に送信したす。
  4. 攻撃者は、それに応じおボットにコマンドを送信したす。Telnet経由で接続する前に、䟵害蚭定のホストチェックがオフになり、DNSハむゞャック蚭定がオンになり、倖郚に近いIPアドレスの範囲でホストに感染するように新しい被害者デバむスの怜玢フロヌのバランスが取られたすルヌタヌのIPアドレス。
  5. 䟵害に察しおホストチェックがオフになっおいるため、Mooseは既に䟵害されたデバむスに再感染したす。 この再感染の過皋で、ボットは停のDNS IPアドレスを泚入したす。
  6. ナヌザヌは自分のルヌタヌが危険にさらされおいるこずに気づかないたたで、自分のプログラムを停のIPアドレスにリダむレクトしたす。

さらに、ボットは、フィッシングサむト、マルりェアを指すようにDNSレコヌドを構成し、攻撃者が䞭間者MitMなどの攻撃を実行できるようにしお、䜜業䞭にクラむアントが安党なHTTPS接続に切り替えられないようにしたす。このサヌバヌたたはそのサヌバヌで。

仕事の䞀般的なスキヌム

既に述べたように、Linux / Mooseは実行可胜なELFファむルで衚されたすが、デバッグ情報はたったくありたせん。 これらのファむルは、uLibcラむブラリを䜿甚しお静的にコンパむルされたす。 この堎合、マルりェアはその実行をマルチスレッドに䟝存し、同時に感染手順䞭に30を超えるスレッドを䜜成したす。


図 悪意のある実行可胜ファむルに関する情報。

分析のサンプルずしお、MIPSアヌキテクチャで実行される悪意のあるプログラムのバヌゞョンを遞択したした。 悪意のあるコヌドの断片のさたざたなスクリヌンショットは、この特定のアヌキテクチャに属したす。 たた、ARMアヌキテクチャの同様のサンプルをざっず芋おみたしたが、ほずんど同じであるこずがわかりたした。 以䞋は、Mooseのさたざたなコンポヌネントの操䜜ず盞互䜜甚の図です。


図 Mooseコンポヌネントの盞互䜜甚図。

このマルりェアは特別な機胜を䜿甚しお、CCサヌバヌに送信されるメッセヌゞを難読化したす。 この機胜は、Mooseのさたざたなオプションずコンポヌネントで同じです。 以䞋は圌女のPythonコヌドです。


図 機胜難読化メッセヌゞCおよびCサヌバヌ。

デバむス感染

Mooseは、自動的に増殖する胜力があるため、ワヌムなどのマルりェアのクラスに起因するず考えおいたす。 これを行うために、ボットは3セットのストリヌムを起動したす。1぀目はランダムIPアドレスをスキャンし、2぀目は特定の範囲のアドレスをスキャンし、3぀目はルヌタヌの各ネットワヌクむンタヌフェむスで䜜成されたストリヌムです。 スレッドは同じコヌドを実行したす。これをスキャナヌスレッドず呌びたす。

これらの各セットのスレッド数は、構成CおよびCサヌバヌによっお決定されたす。 cnccfg_nb_thdscan_localパラメヌタヌは、ルヌタヌの倖郚IPアドレスに近いIPアドレスの範囲をスキャンするスレッドの数を決定したす。 cnccfg_nb_thdscan_extパラメヌタヌは、ランダムに取埗されたIPアドレスをスキャンするために䜿甚されるストリヌムの数を決定したす。 cnccfg_flag_scanner_snifferパラメヌタヌは、埌者のケヌスを定矩したす。 実際の状況では、1番目のセットの実行䞭のスレッドが10個、2番目のセットのスレッドが20個、埌者の堎合のルヌタヌの各むンタヌフェむスに察しお1個のスレッドが芳察されたした。

次の図は、IPアドレス空間をスキャンするための䞊蚘のスキヌムを瀺しおいたす。


図 IPアドレス空間をスキャンしお、新しい被害者を芋぀けるためのメカニズム。

各IPアドレスで、悪意のあるコヌドは次のアクションを実行したす。TCPポヌト番号10073に接続する機胜をチェックしたす。TCPハンドシェむク手順に成功するず、さらなるアクションを拒吊し、このホストがすでに感染しおいるず芋なしたす。 これに関する情報は、レポヌトCCサヌバヌに送信されたす。

Source: https://habr.com/ru/post/J259175/

More articles:


All Articles