Gafgyt家族物联网僵尸网络家族分析

本题目:Gafgyt家属物联网僵尸收集家属剖析
布景
跟着IOT（物联网）装备被愈来愈多的运用，互蔚蓝网联网上针对IOT装备的进犯也正在日趋添加.绝对于对传统末端平安性的注重水平，如各类杀硬，末端检测，防水墙的运用，团体及企业用户对IOT装备的平安性注重依然不敷.减之IOT装备固件更新迟缓，被进犯后发明周期少的特征，使得进犯者能够以更低本钱取得一台有更少节制权限的装备.那些被攻下的IOT装备凡是被用于发起DDoS进犯.闻名僵尸收集家属mirai曾正在2016年，应用数十万台IOT装备对域名剖析商Dyn倡议DDoS进犯，招致简直全部好国东海岸的收集堕入瘫痪.Gafgyt是取Mirai相似的出名僵尸收集家属，本文将对其从多个角度停止具体剖析.
简介
Gafgyt（又称BASHLITE，Qbot，Lizkebab，LizardStresser）是一款基于IRC和谈的物联网僵尸收集顺序，次要用于倡议DDoS进犯.它能够应用内置的用户名.暗码字典停止telnet爆破战对IOT装备RCE（近程号令施行）破绽应用停止自我传达.于2015年保守源码并被上传至github，尔后衍死出多个变种，次年对互联网上的IOT装备的总传染数到达100W.Gafgyt家属曾倡议过峰值400Gbps的DDoS进犯.停止2019年末，Gafgyt家属还是除Mirai家属中的最年夜活泼物联网僵尸收集家属.
样原本源
本文剖析的样本均去自于互联网.
目的

地区:没有限
目的装备:IOT
目的止业:没有限
In The Wild IP热力求

源码剖析 Client端
正文

运用图形化的正文，将全部文件分为15个局部，辨别为defines，includes，Config，Functions，Globals，FPRNG，utils，IP Utils，TelnetScanner lel，UDP Flood，TCP Flood，JUNK Flood，Hold Flood，Send Email，IRC Main.
C2效劳器列表

Globals，齐局变量声明，包括爆破用的用户名/暗码对

节制端下收号令格局: !command arg
PING
测试对圆能否存活
客户端

效劳端

GETLOCALIP
运用getsockname获得本机ip并前往给效劳器

SCANNER
分为SCANNERON/OFF两个号令，辨别为开端/完毕telnet扫描线程.全部扫描进程由state战complete两个标志位停止节制
上面对telnet扫描进程停止具体剖析:
telnet扫描共分为10步:
1 死成随机IP，并测验考试对IP的23端心停止socket衔接.假如衔接胜利，state置为1，停止下一步；不然state仍为0，反复以后步调.

2 运用select函数判别上一步树立的socket衔接能否可用，假如不成用将state置为0，前往第一步；假如可用持续用getsockopt函数获得socket的选项，获得胜利state置为2，不然置为0.

3测验考试从socket前往的数据中查找”ogin”（揣测为telnet的登岸标志login，为何少了一名没有清晰），假如能读与到state置为3

4测验考试收收用户名列表中的用户名战回车标志，假如收收胜利state置为4
5读与效劳器端前往，假如上一步的用户名输出胜利，效劳器该当会进一步呼应password并等候客户端输出暗码，因而该步测验考试从socket中查找”assword”标志，若找到state置为5，不然以为没有需求暗码可间接登录，state置为100；若找到的标志为”ncorrect”（揣测为incorrect，用户名毛病时效劳器的呼应内容），state置为0.

6测验考试收收暗码战回车，收收胜利标志state置为6

8收收”sh/r/n”标志，测验考试挪用sh，收收胜利state置为8，不然置为0
9收收以下内容（正在节制台中挨印gafgyt），胜利则state置为9
/bin/busybox;echo -e’\\147\\141\\171\\146\\147\\164’\r\n
10反省前往值，挨印后果:目的ip，登岸胜利的用户名战暗码

EMAIL
背指定邮件效劳器收收恳求，测验考试背指定邮箱收收指定内容.正在以后版本的源码中该办法被正文
JUNK
TCP 泛洪进犯，背指定IP指定端心收收指按时间的随机字符串，运用号令
JUNK
收收的进程取telnet扫描相似，树立socket衔接
判别衔接能否可用
反省衔接选项
最初死成1024少度的随机字符串并写进socket

随机字符串死陈规则为恣意年夜写字母

UDP
UDP泛洪进犯，背指定IP战端心收收指按时间少度的恣意字符串，且具有源IP地点诈骗功用.运用号令:
UDP (time poll interval, default 10)
没有开启源地点诈骗进程比拟复杂，树立衔接，轮回收收字符串

开启源地点诈骗需求先结构IP包，写进随机IP地点，并挖充随机字符串，最初计较校验战并轮回收收

TCP
TCP泛洪进犯，除TCP flags设置以外，其他取UDP根本分歧.运用号令:
TCP (packet size, usually 0) (time poll interval, default 10)
进犯者可自界说tcp报文的flags位，可选项syn/rst/fin/ack/psh，且可恣意挑选一种或全数运用

HOLD
正在指按时间内，继续测验考试取指定IP战端心树立TCP衔接，可是没有收收任何数据

KILLATTK
经过Kill失落除主历程中的一切子历程去中止DoS进犯

LOLNOGTFO
C2经过IP地点判别，统一个肉鸡屡次收奉上线包时，即肉鸡屡次施行歹意elf的状况，C2会下收该号令强迫加入以后启动的历程.
流量剖析
PING/PONG指令

GETLOCALIP指令

SCANNER ON指令

JUNK指令

TCP假造源IP,flags设置为all

UDP假造源IP，包少度设置为1000

HOLD号令

单条session

DoS进犯小结
进犯者正在应用节制的僵尸主机倡议DoS进犯时，出于埋没进犯源IP的目标，会从头结构IP层报文以重设源IP；而TCP战UDP报文皆是基于IP头的，当运用自建IP头时，TCP/UDP报文也需求重修.那种埋没进犯源IP的体例罕见于没有需求树立三次握脚的DoS进犯中，如TCP flood战UDP flood，需求树立三次握脚的JUNK flood则会由于第两次握脚包前往到假造的IP而招致衔接树立掉败，没法经过TCP衔接收收渣滓数据报文.而IP packet中的局部字段是有”高低文的”而非牢固的，那便招致进犯者需求运用一些值来挖充那些字段.
正在Gafgyt家属客户端中，对IP头的重构局部源代码以下

能够看到IP头的id字段被挖充为随机字符串.依据RFC界说，IP层包的头构造以下:

此中id该当是对应identification字段.操纵零碎中的IP结构办法会保持一个计数器，每发生一个IP报文该值会 1.进犯者正在结构报文时没法读与上一个identification值，天然只能用随机或牢固数值来挖充.固然IP和谈是无衔接和谈，使得那个值不克不及做为序列号运用，可是identification值的自删特征决议了它必然水平上能够做为一种强判别标志.
再去看TCP头的结构代码:

TCP头共有3个字段被挖充为随机值，1个值被挖充为0.TCP头构造以下:

代码中的source字段该当对应source port，能够疏忽；seq字段对应sequence number，ack_seq字段对应acknowledgement number，那二者为TCP牢靠传输的包管.sequence number为以后包中payload第一个字节的序号，acknowledgement number代表已接纳数据的序号，那二者皆是有形态的，假如能正在功能答应的状况下保护一个TCP报文的序号表，那末运用那个表是能够停止那品种型的DoS进攻的.即新去的报文既出有SYN标志，它的seq战ack序号又不克不及正在序号表中找到对应项，那末该报文必然是能够间接抛弃的.
Window字段即滑动窗心值，该值用于接纳端通知收收端以后可以接纳的最年夜数据字节数.该值会随接纳圆主机链路状况发作转变，没有合用于DoS报文检测.
UDP包头中只要源端心被挖充为随机值，正在此没有再剖析.
主机特性
开放端心，死成历程/子历程.
联系关系剖析
基于正在必然工夫内运用统一根底设备（如C2/ITW）的样本属于统一团伙的假定，对2019年捕捉到的一切Gafgyt家属样本停止C2/ITW 疑息提与并停止联系关系，联系关系后果以下:

此中白色面代表ITW地点，绿色面代表C2地点，每条边代表所衔接的两个面的地点曾呈现正在统一样本中（或从一个面对应地点下载的样本会以另外一面对应地点为C2）.此中自力的面代表其ITW战ip为统一地点.
能够比拟分明的看到联系关系超越5个面的类有三个，依照从下至上的挨次将其定名为家属1.家属2战家属3.
家属剖析 家属1
家属1中包括1个C2地点战6个ITW地点.

从蜜罐获得样本的工夫去看，该家属的活泼工夫为2019年4月26日至古.4月26日第一次呈现的样本，被存储正在89.46.223.195效劳器上，共涵盖9种架构，年夜少数为静态链接并剥离了调试疑息，只要一个样本为静态编译已剥离调试疑息.

从样本中办法挪用状况去看，该样本其实不完好，疑似进犯者正正在对样本停止测试而已正式运用.取本初样底细比，该样本有以下转变:
1.添加了20 种节制号令，包括给客户端添加nickname，修正客户端内置C2地点，通信流量减稀和近程下载文件并施行的办法，明显加强了样本功用（局部号令已完成）

2.增加自启动功用，防止装备重启后得到节制权

3.停止telnet扫描时运用以下payload，而本初样本仅停止强心令扫描.

从剧本能够看出正在停止传达时，剧本先经过wget获得样本托管效劳器上的sh剧本保管到当地偏重定名，再经过施行sh剧本进一步下载实正的歹意样本.sh剧本会下载一切架构的样本并顺次施行，以包管正在分歧架构的装备上皆可以使对应的样本运转起去.

4.新增加种DoS进犯体例，且为可假造源IP的DoS进犯编写了特地的包头结构办法

且字符串窗心中存正在少量user-agent疑息，疑似为完成HTTP Flood进犯做预备:

5.添加对8种使用/装备的RCE破绽扫描战应用

6.借有一段仿佛是对某平安研讨职员的讽刺
进犯者于4月27日对样本停止了第一次更新，样本定名体例改成abe. 样本架构，依然包罗9种架构的样本，送达效劳器为89.46.223[.]199.
比照发明外部唯一扫描Payload中的歹意剧本下载地点战编译器死成的局部内容发作改动，剧本下载地点由89.46.223[.]199修正为89.46.223[.]195.
此次更新后，89.46.223[.]195战89.46.223[.]199同时托管歹意样本且内置剧本下载链接均为对圆IP.曲到5月2日，新的歹意样本托管效劳器89.46.223[.]180参加，托管样本取之前的两个IP托管的样本分歧，样本内置扫描payload种的下载链接为89.46.223[.]195.
5月8日，新的歹意样本托管效劳器89.46.223[.]81参加，且前述3个样本托管效劳器均中止运用.89.46.223[.]81上托管的样本，内置扫描Payload中的downloader剧本为本身.
6月12日，新的样本托管效劳器89.32.41[.]15上线，托管的样本唯一7种架构且均为剥离调试疑息.对样本停止静态剖析发明样本内容仍出有窜改.内置扫描Payload中的歹意样本下载地点为89.46.223[.]81.
尔后该家属中止歹意勾当，曲至10月22日从头开端歹意勾当，此时歹意样本托管效劳器ip为151.80.197[.]109，托管的样本依然掩盖9种架构CPU，依然只要64位MIPS架构样本已剥离调试疑息.可是此时样本巨细发作了分明转变，由之前的520KB变成720KB.
经过静态剖析，本次样本更新次要新删了以下几种用于自我传达的RCE破绽战用于CC进犯的User-Agent内容.新删破绽payload以下:

小结
活泼工夫线:

2019年4月26日，样本托管效劳器89.46.223[.]195上线，样本内嵌下载ip:89.46.223[.]195
2019年4月27日，样本托管效劳器89.46.223[.]199上线，样本内嵌下载ip: 89.46.223[.]195
2019年5月2日，样本托管效劳器89.46.223[.]180上线，样本内嵌下载ip: 89.46.223[.]199
2019年5月8日，样本托管效劳器89.46.223[.]81上线，样本内嵌下载ip: 89.46.223.81/89.46.223[.]195
2019年6月12日，样本托管效劳器89.32.41[.]15上线，样本内嵌下载ip: 89.46.223.81/89.46.223[.]195
2019年10月22日，样本托管效劳器151.80.197[.]109上线，样本内嵌下载ip: 151.80.197[.]109/89.46.223[.]81.样本新删破绽应用Payload战User-Agent.

分散脚法:telnet强心令扫描，RCE破绽应用
目的地区:随机IP
目的装备:IOT
目的CPU架构:ARM，ARM(GNU/Linux)，Intel 80386，MIPS64，MIPS-I，Motoroal68020，PowerPC，Renesas SH，x86-64
样本编译状况:静态链接，stripped
破绽列表:
序号 CVE 称号 1 CVE-2019-3929 Optoma近程号令注进破绽 2 CVE-2018-10561 Dasan GPON近程号令施行破绽 3 CVE-2018-14847 MicroTik近程号令施行破绽 4 CVE-2018-20841 HooToo路由器近程号令施行破绽 5 CVE-2017-17215 HUAWEI HG532近程号令施行破绽 6 CVE-2016-6277 NETGEAR号令注进破绽 7 CVE-2014-8361 Miniigd UPnP SOAP号令施行破绽 8 – CCTV-DVR近程号令施行破绽 9 – DLink Router近程号令注进破绽 10 – UPnP SOAP号令施行破绽 11 – Eir D1000近程号令注进破绽 12 – ZyXEL路由器近程号令注进破绽 13 – ThinkPHP5近程号令施行破绽 14 – NETGEAR DGN1000近程号令施行破绽 15 – DLink DSL号令注进破绽 16 – VACRON CCTV近程号令施行破绽
IOC:
序号 IP country 1 151.80.197[.]109 United Kingdom 2 89.46.223[.]81 United Kingdom 3 89.46.223[.]195 United Kingdom 4 89.46.223[.]180 Romania 5 89.32.41[.]15 United Kingdom 6 89.46.223[.]199 France 7 54.36.212[.]123 United Kingdom
（触及样本较多，没有正在此列出）
家属2

家属2活泼撑持的架构较少，正在活泼工夫规模内唯一4个样本.
序号 哈希 架构 1 30a0c139fd384484d723e73a34547a25 MIPS-I，statically linked, stripped 2 624d47eda16cfc7ff1b97496fd42243a Intel 80386, statically linked, stripped 3 eda730498b3d0a97066807a2d98909f3 ARM, version 1, statically linked, stripped 4 b9d461d7157eb8b726ef9eecebb6cb9a MIPS-I, statically linked, stripped
如上表所示，样本均为静态编译且剥离了调试疑息.
取本初样底细比，该家属样本次要转变以下:
经过将本身参加到零碎初初化目次中完成自启动

进侵IOT装备胜利后，经过修正设置装备摆设文件.iptables禁用端心的体例封闭治理/节制端心，已以节制工夫:
厂商一光猫:

厂商两光猫

应用10种RCE破绽停止自我传达:

小结
活泼工夫线:

2019年10月30日，样本托管效劳器115.51.203[.]137上线，送达样本eda
2019年10月31日，样本托管效劳器115.51.203[.]137新送达样本30a，624
2019年11月1日，样本托管效劳器118.249.40[.]35战220.135.22[.]121上线，辨别送达样本30a战eda；
2019年11月2日，样本托管效劳器101.65.118[.]108战182.113.234[.]110上线，送达样本eda战b9d
2019年11月5日，样本托管效劳器220.134.139[.]113上线，送达样本eda
2019年11月6日，样本托管效劳器218.35.45[.]116上线，送达样本eda
2019年11月7日，样本托管效劳器183.196.233[.]193上线，送达样本eda
2019年11月8日，样本托管效劳器182.127.92[.]221战39.77.124[.]251上线，送达样本30a，624，eda
2019年11月10日，样本托管效劳器42.225.182[.]239上线，送达样本30a战eda
2019年11月13日，样本托管效劳器101.65.118[.]108上线，送达样本eda
2019年11月15日，样本托管效劳器221.223.37[.]152战42.231.94[.]209上线，辨别送达样本eda战30a
2019年11月16日，样本托管效劳器114.240.90[.]197战221.223.37[.]152上线，辨别送达样本30a.eda战30a.624

分散脚法:telnet强心令扫描，RCE破绽应用
目的地区:随机IP
目的装备:IOT
目的CPU架构:ARM， Intel 80386，MIPS-I
样本编译状况:静态链接，stripped
破绽列表:
序号 CVE 称号 1 CVE-2016-6277 NETGEAR号令注进破绽 2 CVE-2017-17215 HUAWEI HG532近程号令施行破绽 3 CVE-2018-10561 Dasan GPON近程号令施行破绽 4 CVE-2014-8361 Miniigd UPnP SOAP号令施行破绽 5 – ZyXEL路由器近程号令注进破绽 6 – DLink Router近程号令注进破绽 7 – UPnP SOAP号令施行破绽 8 – CCTV-DVR近程号令施行破绽 9 – NETGEAR DGN1000近程号令施行破绽 10 – VACRON CCTV近程号令施行破绽
IOC:
IP列表
序号 IP country 1 87.98.162[.]88 Franc 2 101.65.117[.]115 China 3 101.65.118[.]108 China 4 101.65.119[.]23 China 5 114.240.90[.]197 China 6 115.51.203[.]137 China 7 118.249.40[.]35 China 8 182.113.229[.]250 China 9 182.113.234[.]110 China 10 182.127.92[.]221 China 11 183.196.233[.]193 China 12 218.35.45[.]116 China 13 220.134.139[.]113 China 14 220.135.22[.]121 China 15 221.223.37[.]152 China 16 39.77.124[.]251 China 17 42.225.182[.]239 China 18 42.231.94[.]209 China
样本列表
序号 哈希 架构 1 30a0c139fd384484d723e73a34547a25 MIPS-Istatically linked, stripped 2 624d47eda16cfc7ff1b97496fd42243a Intel 80386, statically linked, stripped 3 eda730498b3d0a97066807a2d98909f3 ARM, version 1, statically linked, stripped 4 b9d461d7157eb8b726ef9eecebb6cb9a MIPS-I, statically linked, stripped
用户名列表
序号 用户名 1 root 2 admin 3 super 4 telnetadmin 5 !!Huawei 6 keomeo 7 support 8 e8telnet 9 e8ehome1 10 e8ehome 11 user 12 mother 13 Administrator 14 service 15 supervisor 16 guest 17 admin1 18 666666 19 888888 20 ubnt 21 tech
暗码列表
序号 用户名 1 root 2 admin 3 xc3511 4 vizxv 5 888888 6 gpon 7 Zte521 8 hg2x0 9 epicrouter 10 conexant 11 xJ4pCYeW 12 v2mprt 13 PhrQjGzk 14 h@32LuyD 15 gw1admin 16 adminpass 17 xmhdipc 18 default 19 juantech 20 telnetadmin 21 @HuaweiHgw 22 adminHW 23 2010vesta 24 2011vesta 25 keomeo 26 plumeria0077 27 cat1029 28 123456 29 54321 30 support 31 e8telnet 32 e8ehome1 33 e8ehome 34 hi3518 35 password 36 12345 37 user 38 fucker 39 pass 40 admin1234 41 1111 42 smcadmin 43 666666 44 1234 45 klv123 46 service 47 supervisor 48 guest 49 ubnt 50 klv1234 51 zte 52 jvbzd 53 anko 54 zlxx 55 7ujMko0vizxv 56 7ujMko0admin 57 system 58 ikwb 59 dreambox 60 realtek 61 1111111 62 123456 63 meinsm 64 tech 家属3
家属3中包括1个C2战40个ITW IP.

该家属至多从2019年1月2日开端勾当（只挑选了2019年当前的样本）至2019年9月28日.2019年样本第一呈现是摆设正在31.214.157[.]71效劳器上.

取家属1战2分歧，该家属异样是先经过下载shell剧本再运转的体例下载实正的歹意两进造样本并运转，以顺应分歧架构装备情况.

那个shell剧本中运用了一个小本领，即便用”||”标记去分开cd directory号令.如许当/tmp目次没有存正在时，零碎会提醒”No such file or directory”，但仍会持续施行第两个cd directory号令.如许既能知足正在没有经常使用目次存储歹意样本没有被发明的需供，又能正在没有经常使用目次没有存正在时使得歹意样天性一般保管上去.
取家属1战家属2比拟，家属3的样本并出有决心剥离调试疑息；样本定名体例复杂粗犷，间接接纳架构简称做为样本称号:

对此中的x86架构样本停止复杂静态剖析，取本初代码区分以下:
起首对本身历程重定名为/usr/sbin/dropbear

挪用table_init函数，初初化一系列减稀后的数据

然后挪用函数停止解稀.从进犯者出有剥离调试疑息看，停止减稀的次要目标是避免间接从静态字符串中看到那些疑息.

解稀算法以下:

要取得解稀后的疑息有两种体例:
（1）调试.运用ida pro近程调试样本，翻开ida pro装置目次下的dbgsrv目次，依据样本架构挑选linux_server64，取待调试样本一同放到一台linux主机的某一目次下，修正linux_server64的权限并运转，失掉调试端心23946.复杂剖析代码逻辑，回到ida中正在少度比拟战后果前往两处地位下断

调试器选项当选择Remote Linux debugger，面击开端调试，输出linux主机IP战端心，断上去后察看同或操纵时修正的地位，轮回两次后发明顺序对堆上的0x23e8050地点停止修正.打消第一个断面，运转发明字符串曾经解稀，内容为:

其实不是设想中的歹意效劳器地点疑息.
（2）当目的样本易以停止调试时，能够对解稀逻辑停止剖析，并运用Python代码完成逻辑完成解稀.该样本停止了初初化息争稀两个步调，以是先需求剖析初初化逻辑，将数据安插正在内存中以后再停止解稀.
初初化逻辑比拟复杂，间接将字符串摆设正在table列表的指定地位

解稀函数的输出参数为待解稀字符串正在table种的索引，解稀算法为从低到下顺次与table_key的一名取减稀字符串停止同或计较，同或后的后果持续取table_key掏出的下一名停止同或，四次同或后即为解稀后果.

运用Python完成以上逻辑:
顺次对减稀字符串停止解稀，后果以下:

应用Realtek SDK -Miniigd UPnP SOAP近程号令施行破绽停止传达

然后开端轮回挪用processCmd函数，监听去自效劳真个疑息，并停止对应处置.取本初样底细比，发作转变的号令变化以下:
新删”HTTP”号令，用于对目的地点倡议CC进犯

新删”STD”号令，用于倡议udp STD flood进犯

新删”CRASH”号令，用于倡议RTCP flood进犯

新删”CRUSH”号令，用于倡议TCP flood战STD flood.
新删”SMITE”号令，用于倡议针对Valve Source Engine的泛洪进犯.

新删”CNC号令”，用于切换客户端衔接的CNC端

然后曲到2019年2月5日，进犯者正在104.168.143[.]19上摆设新样本.经过比照发明，唯一应用破绽传达时payload中的下载链接发作转变
2019年2月20日，进犯者正在104.168.169[.]89上摆设新样本，样本功用仍已发作改动，应用破绽传达时payload中的下载地点为31.214.157[.]71
2019年2月22日，进犯者正在176.31.78[.]52上摆设新样本，新删对4种RCE破绽的应用.破绽已包括正在家属1中，正在此没有再具体剖析.
2019年3月19日，进犯者正在68.183.121[.]242上摆设新样本，样本中添加了少量的User-Agent字符串

接上去一段工夫内，进犯者不断正在新的效劳器上摆设样本，可是样本功用根本已发作转变.晓得2019年7月28日，进犯者正在165.22.187[.]56上摆设新样本，downloader剧本战样本定名体例均已改动，样本巨细由141KB转变为245KB.可是经剖析发明，进犯者只是正在样本尾部增加了局部字符串，并已对样本构造发生影响，IDA也已剖析那局部数据.
2019年8月7日，进犯者正在185.244.25[.]75上摆设新样本.样本定名体例变成样本md5做为样本名，样本内容已发作转变.
小结
活泼工夫线:

2019年01月02日，样本托管效劳器31.214.157[.]71上线，样本内嵌下载ip:31.214.157[.]71
2019年02月05日，样本托管效劳器104.168.143[.]19上线，样本内嵌下载ip:104.168.143[.]19
2019年02月20日，样本托管效劳器104.168.169[.]89上线，样本内嵌下载ip:31.214.157[.]71
2019年02月22日，样本托管效劳器176.31.78[.]52上线，样本内嵌下载ip:176.31.78[.]52
2019年02月28日，样本托管效劳器142.93.11[.]223上线，样本内嵌下载ip:142.93.11[.]223
2019年03月15日，样本托管效劳器35.246.45[.]191上线，样本内嵌下载ip:35.246.45[.]191
2019年03月19日，样本托管效劳器68.183.121[.]242上线，样本内嵌下载ip:68.183.121[.]242
2019年03月20日，样本托管效劳器188.166.116[.]249上线，样本内嵌下载ip:188.166.116[.]249
2019年03月26日，样本托管效劳器157.230.92[.]69上线，样本内嵌下载ip:157.230.92[.]69
2019年03月27日，样本托管效劳器68.183.148[.]125上线，样本内嵌下载ip:68.183.148[.]125
2019年03月28日，样本托管效劳器46.36.35[.]127上线，样本内嵌下载ip:46.36.35[.]127
2019年03月31日，样本托管效劳器185.244.25[.]117上线，样本内嵌下载ip:185.244.25[.]117
2019年03月31日，样本托管效劳器68.183.24[.]85上线，样本内嵌下载ip:68.183.24[.]85
2019年04月03日，样本托管效劳器185.244.25[.]114上线，样本内嵌下载ip:185.244.25[.]114
2019年04月06日，样本托管效劳器194.135.92[.]252上线，样本内嵌下载ip:194.135.92[.]252
2019年04月09日，样本托管效劳器104.248.28[.]163上线，样本内嵌下载ip:104.248.28[.]163
2019年04月11日，样本托管效劳器134.209.8[.]154上线，样本内嵌下载ip:134.209.8[.]154
2019年04月11日，样本托管效劳器188.166.63[.]234上线，样本内嵌下载ip:188.166.63[.]234
2019年04月21日，样本托管效劳器157.230.4[.]62上线，样本内嵌下载ip:157.230.4[.]62
2019年04月30日，样本托管效劳器185.172.110[.]226上线，样本内嵌下载ip:185.172.110[.]226
2019年05月10日，样本托管效劳器37.49.225[.]230上线，样本内嵌下载ip:37.49.225[.]230
2019年05月14日，样本托管效劳器188.166.14[.]76上线，样本内嵌下载ip:188.166.14[.]76
2019年05月16日，样本托管效劳器198.12.97[.]73上线，样本内嵌下载ip:198.12.97[.]73
2019年05月17日，样本托管效劳器174.138.52[.]74上线，样本内嵌下载ip:174.1旅游38.52[.]74
2019年05月24日，样本托管效劳器107.173.57[.]152上线，样本内嵌下载ip:107.173.57[.]152
2019年06月03日，样本托管效劳器185.172.110[.]214上线，样本内嵌下载ip:185.172.110.214
2019年06月10日，样本托管效劳器204.48.18[.]12上线，样本内嵌下载ip:204.48.18[.]12
2019年06月13日，样本托管效劳器139.99.137[.]154上线，样本内嵌下载ip:139.99.137[.]154
2019年06月14日，样本托管效劳器185.172.110[.]238上线，样本内嵌下载ip:185.181.11[.]144
2019年06月17日，样本托管效劳器159.89.177[.]184上线，样本内嵌下载ip:159.89.177[.]184
2019年06月20日，样本托管效劳器195.231.8[.]82上线，样本内嵌下载ip:195.231.8[.]82
2019年06月20日，样本托管效劳器198.175.125[.]100上线，样本内嵌下载ip:104.248.167[.]251
2019年06月22日，样本托管效劳器54.39.7[.]243上线，样本内嵌下载ip: 195.231.8[.]82
2019年07月02日，样本托管效劳器198.199.76[.]237上线，样本内嵌下载ip:198.199.76[.]237
2019年07月07日，样本托管效劳器178.128.245[.]57上线，样本内嵌下载ip:178.128.245[.]57
2019年07月09日，样本托管效劳器134.209.80[.]188上线，样本内嵌下载ip:134.209.80[.]188
2019年07月26日，样本托管效劳器167.114.115[.]119上线，样本内嵌下载ip:167.114.115[.]119
2019年07月28日，样本托管效劳器165.22.187[.]56上线，样本内嵌下载ip:165.22.187[.]56
2019年08月06日，样本托管效劳器185.244.25[.]75上线，样本内嵌下载ip:185.244.25[.]75
2019年09月28日，样本托管效劳器174.128.226[.]101上线，样本内嵌下载ip:174.128.226[.]101

分散脚法:telnet强心令扫描，RCE破绽应用
目的地区:随机IP
目的装备:IOT
目的CPU架构:ARM，ARM(SYSV)，Intel 80386，MIPS-I，Motoroal 68020，PowerPC，Renesas SH，x86-64，SPARC
样本编译状况:静态链接，not stripped
破绽列表:
序号 CVE 称号 1 CVE-2018-10561 Dasan GPON近程号令施行破绽 2 CVE-2017-17215 HUAWEI HG532近程号令施行破绽 3 CVE-2014-8361 Miniigd UPnP SOAP号令施行破绽 4 – DLink DSL号令注进破绽 5 – ZyXEL路由器近程号令注进破绽 6 – ThinkPHP5近程号令施行破绽
IOC:
IP列表
序号 IP country 1 206.189.136[.]239 India 2 104.168.143[.]19 United States 3 104.168.169[.]89 United States 4 104.248.28[.]163 Germany 5 107.173.57[.]152 United States 6 134.209.8[.]154 United States 7 134.209.80[.]188 Netherlands 8 139.99.137[.]154 Australia 9 142.93.11[.]223 United States 10 157.230.4[.]62 United States 11 157.230.92[.]69 United States 12 159.89.177[.]184 United States 13 165.22.187[.]56 United States 14 167.114.115[.]119 Canada 15 174.128.226[.]101 United States 16 174.138.52[.]74 United States 17 176.31.78[.]52 France 18 178.128.245[.]57 Netherlands 19 185.172.110[.]214 Netherlands 20 185.172.110[.]226 Netherlands 21 185.172.110[.]238 Netherlands 22 185.244.25[.]114 Netherlands 23 185.244.25[.]117 Netherlands 24 185.244.25[.]75 Netherlands 25 188.166.116[.]249 Netherlands 26 188.166.14[.]76 Netherlands 27 188.166.63[.]234 Netherlands 28 194.135.92[.]252 Lithuania 29 195.231.8[.]82 Italy 30 198.12.97[.]73 United States 31 198.175.125[.]100 United States 32 198.199.76[.]237 United States 33 204.48.18[.]12 United States 34 31.214.157[.]71 Netherlands 35 35.246.45[.]191 United Kingdom 36 37.49.225[.]230 Netherlands 37 46.36.35[.]127 Czech 38 54.39.7[.]243 Canada 39 68.183.121[.]242 United States 40 68.183.148[.]125 United States 41 68.183.24[.]85 United States
（触及样本哈希较多，没有正在此列出）
因为止文匆促减之团体程度无限，不免会有剖析毛病或描绘没有浑的地方，欢送多多批判斧正.
*本文做者:已然尝试室_要挟疑息剖析团队，转载请说明去自FreeBuf.COM 前往new.jpwyj.com，检查更多

未经允许不得转载：新资讯 » Gafgyt家族物联网僵尸网络家族分析