GPON 漏洞中的Satori 僵尸网络是怎样的

本篇文章为大家展示了GPON 漏洞中的Satori 僵尸网络是怎样的，内容简明扼要并且容易理解，绝对能使你眼前一亮，通过这篇文章的详细介绍希望你能有所收获。在本次GPON漏洞（CVE-2018-10561，CVE-2018-10562）公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori等等。其他的僵尸网络包括：Satori：satori是臭名昭著的mirai僵尸网络变种，该恶意代码团伙在2018-05-10 05:51:18 首次加入到抢夺 GPON 易感染设备的行列，并在短短时间内就挤掉了 muhstik，成为我们视野范围内感染频次最高的一员。另外，我们测试验证了Satori的投入模块，在某些版本的设备固件上是能成功执行的。这使得Satori显著区别于参与聚会的其他僵尸网络。Mettle：一个恶意代码团伙，基于在越南的IP地址（C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源控制模块Hajime：hajime的本次更新也包含了 GPON 本次的漏洞利用两个Mirai变种：至少两个恶意代码团伙正在积极利用该漏洞传播mirai变种。其中第二个，已经被称为omni。Omni：在 newskysecurity.com 首次公开批露后，我们确认其文档中称为 omni 的僵尸网络，就是我们之前提及的mirai变种之二。imgay：这看起来是一个正在开发中的僵尸网络，其功能尚不完善。本篇文章将主要介绍 Satori 僵尸网络的本轮更新。后续我们也许会发布系列文章的第三篇，对剩下的其他僵尸网络做一描述。第三篇预期会是系列文章的最后一篇，如果没有更多僵尸网络加入聚会的话。我们使用蜜罐来采集本次GPON相关漏洞的利用情况。下面列出了我们看到的攻击载荷活动频次Top10，完整的列表可以见文末IoC部分：从上面这里采集的数据来看，Satori（累积57.80%）和 muhstik（累积38.87%）是当前GPON漏洞利用的主力。Satori 在本轮更新中，使用了下面这组URL传播恶意代码：我们对其中的样本http://185.62.190.191/arm（md5hash:d546bc209d315ae81869315e8d536f36)做了分析。这个样本的代码，与原始版本的Satori已经有了比较大的变化，单纯从样本二进制方面，与原来的satori的关系已经不太大。但是考虑到其在关键字符串、域名 TXT 信息、邮件地址等多方面的联系，我们仍然把其归在Satori变种之下。该样本中有四个加密字符串，对应的解密结果分别如下：c.sunnyjuly.gqViam0610TCiLpBvezPFGL2aG{“id”:0,”jsonrpc”:”2.0″,”method”:”miner_reboot”}{“id”:0,”jsonrpc”:”2.0″,”method”:”miner_file”,”params”:[“reboot.bat”,”4574684463724d696e657236342e657865202d65706f6f6c206574682d7573322e6477617266706f6f6c2e636f6d3a38303038202d6577616c20307864303839376461393262643764373735346634656131386638313639646263303862656238646637202d6d6f64652031202d6d706f72742033333333202d6d707377206775764a746f43785539″]}第一个字符串为C2，第二个字符串会在控制台被输出。第三、四个字符串在样本中仅被定义未被发现使用。值得一提的是这两个字符串和Satori.robber中用到的代码相近，这可以作为该样本与 Satori 同源的一个旁证。第四个字符串后面的Hex 部分如下，包含了一个矿池地址，和一个钱包地址：这个钱包地址的信息可查，如下。如果按照每24小时产生0.05 个 ETH 币，从5月10日到现在估计共挖取了 0.3 个 ETH 币。按照现行每个 ETH 代币价格 700 美金估算，Satori在目前6天的行动中共获取了大约 200 美元的收益。另外，c.sunnyjuly.gq 在DNS系统中一直没有提供IP地址解析，相反其提供了 TXT 解析，可以视为其作者对外界传达的信息。作者前后两次传递的信息如下：值得对比的是，在Satori.robber中，Satori 的作者通过二进制文件向外界传递了如下信息。两次出现的信息，书写手法类似，所留下的邮件地址也均为 riseup.net 提供的邮箱。当前版本的Satori还会扫描 3333 端口，并直接导致了我们在ScanMon上的一次较大波动。这次扫描的来源大约有17k个独立IP地址，主要源自 Uninet S.A. de C.V.，隶属 telmex.com，位于墨西哥。
【不支持外链图片，请上传图片或单独粘贴图片】
感兴趣的读者，可以在twitter或者在微信公众号360Netlab上联系我们。曾经在 muhstik 控制之下，但已经被安全社区清除的IP列表：近期我们观察到的利用 GPON 分发恶意软件的下载链接上述内容就是GPON 漏洞中的Satori 僵尸网络是怎样的，你们学到知识或技能了吗？如果还想学到免费云主机域名更多技能或者丰富自己的知识储备，欢迎关注云编程开发博客行业资讯频道。

相关推荐: CentOS6 网络管理之网卡配置及简单路由设置

CentOS6中关于网络配置的命令有很多，本文将介绍几个平时最长用的几个命令，以及网卡IP地址的配置和简单路由配置。1、经常使用的查看IP地址命令为 ifconfig，不跟参数的情况下默认查看所有已启用的网卡信息，如下图所示：如果想查看具体某块网卡信息，则可以…