最近百度X-Team捕获到一个利用SSH弱口令漏洞构建僵尸网络的蠕虫,该蠕虫具有自动扫描、自动传播、并依托公共社交网络服务作为获取Command and Control(后文简称C&C)控制信息等特点;蠕虫作者为保证控制方式的独享性,上线地址的变化性以及隐蔽性做了大量工作,C&C上线地址能够做到每天一换。根据其上线特点,我们将此蠕虫命名为:TruSSH Worm。目前此蠕虫已经在全世界范围内大规模传播。鉴于此蠕虫的编写和控制方式有些特殊,特拿出来和大家分享。

0x01 蠕虫主体特征


所有的蠕虫主体执行文件均通过upx壳进行压缩,但通过破坏upx header等方式防止upx –d的自动化脱壳,这在linux类的恶意样本中并不多见。

手工脱壳后继续分析,整个ELF文件静态链接,并且被stripped。蠕虫支持在i686、mips、arm架构的linux上运行,能够适应在各种小型被裁剪过的路由器上进行传播。通过对脱壳后的bin中关键字符串进行查看,发现其集成了openssl、libssh2、libevent, libcurl等库,其中openssl的库给出了版本号以及发布时间等信息,让我们得知此恶意蠕虫属于被近期投放,要晚于2015年6月12日。X-Team在捕获改样本时,VT上并没有发现有过历史提交。

0x02 蠕虫传播方式


蠕虫运行成功后,会开启大量的线程,随机选择生成一个B段IP段,扫描其中22端口的开放情况,成功连接的IP地址保存到名为list2列表中,当一次扫描完成后,会读取list2数据,并尝试使用事先设置好的弱口令集进行破解,该蠕虫仅仅依靠三个弱口令root:root, admin:admin 以及ubnt:ubnt三个用户名密码进行破解。其中ubnt属于近期被DDOS集团重点关注airos系统的SSH默认账户名密码。通过zoomeye和shodan,我们也可以看到全网的此类设备的量级是非常可观的。

生成IP地址列表

一旦破解成功,会将该IP地址的信息保存到good2文件中,并将当前目录下的所有.mod文件全部复制到远程服务器的/tmp/.xs目录下,然后设置可执行属性并依次执行这些文件。

为了防止目标环境没有wget或者tftp等命令,这里蠕虫采用了一个比较tricky的方式方法,直接在server端使用cat > xxxx.mod的方式传送文件,下图是我们抓取到的命令执行内容:

蠕虫同时会监听9000和1337端口接受外界请求,其中9000端口是一个非常重要的感染标志。蠕虫周期性的会检查good2中机器的存活情况,确保感染率,在对SSH进行爆破前,蠕虫先会向9000端口发送post 请求时,如果其响应“{status: 1}” 则表示该机属于存活状态,跳过SSH密码尝试过程,如下所示:

9000端口还提供update和download等功能,这些功能的用途在后面会看到。

0x03 蠕虫的上线方式


蠕虫利用了公共社交网络平台进行控制,并采用两阶段获取C&C IP的上线方式,这是我们之前捕获的蠕虫中没有发现过的。该蠕虫通过www.twitter.com、www.reddit.com、my.mail.ru等网站上搜索特定的信息,解析页面内容来找到第一阶段控制IP信息,来看下这个流程是怎么进行的:

通过在twitter上搜索关键字获取一阶段IP地址,其他连接www.mail.ru以及www.reddit.com的情况类似。在这些社交平台上搜索的关键字,蠕虫通过一定的算法来进行得到,有点fastflux的感觉。准备连接前,蠕虫会根据内置的算法从www.google.com返回Server Response中的Date域中提取出来的值作为变量生成随机数,再使用随机数从预先定义好的词表字典中来选择两个对应的词,然后加上随机数拼接成一个合适的url,如下所示:

用来构造请求的词表:

下图是逆向出来随机数生成算法的C实现

蠕虫在收到Response code 200的返回后,在回复的页面中尝试查找base64 特征的字符串,并结合蠕虫内置的KEY,使用openssl中椭圆曲线算法(ECDSA)来验证数据的有效性。此时蠕虫会得到一个二进制文件,该文件格式如下所示。

第一部分红线标注的即为上线IP地址,蠕虫此时会连接IP的9000端口,获取实际的上线地址,并连接到该地址,请求名为http://IP:9000/srv_report&ver=0的URL, 并从这个url中得到实际的C&C地址,下图是我们捕获到的srv_report,格式如下所示:

其组成也是分成三部分,第一部分为最终的上线URL,后紧跟着一个04开头的值,然后是4位的时间戳。最后是一个32位的签名校验。在校验URL的有效性后,蠕虫会连接该URL地址,通过请求该地址,得到实际需要执行的命令。

0x04 感染范围


我们根据之前提到的9000端口特征,8月底的时候在全网范围内进行了一次排查,结果如下:全球共感染主机23367台,其中中国是受影响最多的国家 达到7000+

0x05 其他


在分析代码的过程中,我们发现了一些有趣的信息,蠕虫的编写者有使用truecrypt的习惯,编译在bin中的路径字符串泄露了这一点。

从连续监控twitter等社交网络数据来看,原作者大约是在2015年7月17 到2015年7月23 日左右放出了控制信息,之后未有新控制信息放出。