一、背景
近期，360安全大脑监测发现一批僵尸网络样本，在Mirai泄露源码的基础上融合XXTEA算法进行加密，针对ARM、MIPS、x86等多种架构的IoT/Linux设备。
二、样本分析
2.1 Mirai.CatDDoS
第一批捕获到的样本为CatDDoS团伙[1]所运营的Mirai僵尸网络变种。以样本adda181984cda825dbfa1cb071a066f5为例，其源码基础结构如下：
与泄露的Mirai源码相比，Mirai.CatDDoS中不包含用于进行Telnet爆破的scanner.c模块，同时将用于字符串与0xdeadbeef异或解密的table.c模块替换为了xxtea.c实现。16字节的XXTEA算法key为：
交叉引用共3处。第一处为解密样本运行后向控制台输出的字符串，XXTEA解密后为“Hello, world!”：
其余两处则用于解密样本中包含的C2地址，分别为：retardedclassmate.dyn和servernoworky.geek。这两个C2地址曾出现于描述CatDDoS团伙近期攻击活动的报告[2]中。
由于C2为OpenNIC域名，无法经由公共DNS服务器进行解析，样本中硬编码了用于C2解析的OpenNIC DNS服务器：
C2的端口则在25596~25616之间随机选择。通信机制方面，Mirai.CatDDoS基本沿用了Mirai的原始设计，只是将Mirai上线时的固定4字节x00x00x00x01修改为了固定的8字节：
捕获到的实际流量如下：
在ATTACK_VECTOR方面，Mirai.CatDDoS实现了比Mirai更为丰富的DDoS攻击类型，对比如下：
|
Mirai |
Mirai.CatDDoS |
||
|
序号 |
攻击方法 |
序号 |
攻击方法 |
|
0 |
attack_udp_generic |
0 |
attack_udp_plain |
|
1 |
attack_udp_vse |
1 |
attack_tcp_syn |
|
2 |
attack_udp_dns |
2 |
attack_tcp_stomp |
|
3 |
attack_tcp_syn |
3 |
attack_tcp_ack |
|
4 |
attack_tcp_ack |
4 |
attack_tcp_tcp |
|
5 |
attack_tcp_stomp |
5 |
attack_tcp_bypass |
|
6 |
attack_gre_ip |
6 |
attack_tcp_socket |
|
7 |
attack_gre_eth |
7 |
attack_udp_pps |
|
8 |
attack_app_proxy |
8 |
attack_tcp_ovh |
|
9 |
attack_udp_plain |
9 |
attack_gre_ip |
|
10 |
attack_app_http |
10 |
attack_udp_ovhhex |
|
11 |
attack_udp_openvpn |
||
|
12 |
attack_method_udprape |
||
|
13 |
attack_udp_r6 |
||
|
14 |
attack_tcp_ovhtest |
||
根据相关特征，我们又关联到了一批相似的同类样本，在代码功能、结构设计上更为简洁、更加类似原始Mirai，推测可能为更早期的bot版本。从C2的命名方式上来看，符合了CatDDoS团伙的一贯作风——即对“猫”的情有独钟。新旧版本之间的一些异同点对比如下：
|
旧版本 |
新版本 |
|
|
解密算法 |
^（异或） |
XXTEA |
|
密钥 |
0xDEADBEEF |
78 56 34 12 21 43 65 87 68 24 57 13 98 BA DC FE |
|
C2地址 |
catsarecool.gopher ilikecats.parody ihateyou.indy catsliketo.pirate kittycattos.dyn |
retardedclassmate.dyn servernoworky.geek |
|
端口 |
9932 |
25596~25616随机选择 |
|
bot上线 |
00 00 00 01 |
31 73 13 93 04 83 32 04 |
|
DDoS指令 |
集成tcp、udp等共15种攻击方法 |
|
Mirai.CatDDoS近期的DDoS攻击趋势如下所示：
2.2 Mirai.Octopus
Mirai.Octopus是另一批使用了XXTEA加密算法的Mirai变种僵尸网络，Octopus源自于攻击者留下的特殊UA特征。
Mirai.Octopus沿用了Mirai源码中的诸多设计，例如绑定本地端口实现单一实例运行、进程名随机化、阻止watchdog重启设备、report服务器接收爆破结果等等。同时二次开发了不少新的恶意功能，包括：
-
Nday 漏洞传播
-
持久化机制
-
使用异或 + XXTEA加密算法
Nday 漏洞传播
除了Mirai中原有的23端口Telnet弱口令爆破机制，Mirai.Octopus还新增了一批N day漏洞利用exploit进行传播，分别是：
-
CVE-2018-10561, CVE-2018-10562
-
CVE-2014-8361
-
CNNVD-201306-024
-
CVE-2017-17215
-
Eir D1000 远程命令执行漏洞
-
CVE-2015-2051
-
CCTV/DVR “language/Swedish” 远程命令执行漏洞
-
CVE-2016-20016
-
CVE-2013-7471
-
CVE-2016-6277
持久化机制
Mirai.Octopus中采用了以下几种不同的方式来实现持久化：
1. 创建恶意systemd服务：/etc/systemd/system/nginnx.service和/usr/lib/systemd/system/nginnx.service
2. 在/etc/rc.d/rc.local文件中启动恶意脚本：/etc/38241
3. 添加crontab定时任务
XXTEA加密算法
Mirai.Octopus中除了包含Mirai原有的异或密钥table_key外，主要使用XXTEA算法对部分敏感字符串进行了加密，XXTEA key为硬编码的字符串：
解密出的字符串中包含了C2地址：octopus1337.geek和octopus-xeonk.pirate，以及当前版本号：v1.0.0。
通信指令
Mirai.Octopus在指令结构方面大体上与Mirai相似，C2地址的端口为65535。支持的攻击向量与Mirai对比如下：
|
Mirai |
Mirai.Octopus |
||
|
序号 |
攻击方法 |
序号 |
攻击方法 |
|
0 |
attack_udp_generic |
0 |
attack_udp_generic |
|
1 |
attack_udp_vse |
1 |
attack_tcp_syn |
|
2 |
attack_udp_dns |
2 |
attack_tcp_ack |
|
3 |
attack_tcp_syn |
3 |
attack_udp_plain |
|
4 |
attack_tcp_ack |
4 |
attack_udp_vse |
|
5 |
attack_tcp_stomp |
5 |
attack_tcp_bypass |
|
6 |
attack_gre_ip |
6 |
attack_udp_custom |
|
7 |
attack_gre_eth |
7 |
attack_udp_bypass |
|
8 |
attack_app_proxy |
8 |
attack_tcp_legit |
|
9 |
attack_udp_plain |
9 |
attack_std |
|
10 |
attack_app_http |
10 |
attack_method_tcpstomp |
|
11 |
attack_tcp_sack2 |
||
|
12 |
attack_tcp_wra |
||
|
13 |
attack_tcp_socket |
||
|
14 |
attack_method_greip |
||
|
15 |
attack_method_greeth |
||
|
16 |
attack_icmpecho |
||
|
17 |
attack_method_pps |
||
|
18 |
attack_method_nudp |
||
|
19 |
attack_udp_openvpn |
||
|
20 |
attack_udphex |
||
Mirai.CatDDoS
MD5:
adda181984cda825dbfa1cb071a066f5
c1ca3665f762e11a727ad8899b628fd8
9f72a19d57ff74b9ed98639ff10ba4fa
ec744ef35a1650b27a3c314fe4b95412
5cf5e2b114b7253de95483615ac840d8
1074c5e50a96b50fd60ec36053981b7b
1ad8e1b5927c4166e815d3c0eafabee7
1fab9849b2fe8327382a1591d4e7cb0d
844d7d1e8e6fc47b989f5986769bb3f0
f0022798b0fec29fa0153d9ca61e8bc3
25cf45b475f738c97530512b9c94f52e
d31c417346d0012c234fde8f2be517e8
C2:
retardedclassmate.dyn
servernoworky.geek
catsarecool.gopher
ilikecats.parody
ihateyou.indy
catsliketo.pirate
kittycattos.dyn
Mirai.Octopus
MD5:
c17c9689c528e0000c13da92d83acab4
cda4e1668750ff2c682b8af5796153bf
C2:
octopus1337.geek
octopus-xeonk.pirate
Report server:
107.182.129.217
Download server:
85.217.144.71
[1] https://mp.weixin.qq.com/s/Hc_zHeByTdOvDZPGxQaxlw
[2] https://blog.xlab.qianxin.com/catddos-derivative-cn/
原文始发于微信公众号（360威胁情报中心）：对XXTEA加密Mirai僵尸网络的分析
