深度剖析:云端博弈——木马屠城
近半年DDOS攻击愈发激烈,而作为攻击的执行者,DDOS木马也是应市场需求也在野蛮生长,笔者就观察到一款被国外安全厂商称之为”XOR DDOS”的木马不断更新代码和功能,甚至还加入了rootkit功能模块。本文将剖析此木马,并给出相应的检测方案。
XOR DDOS木马浅析
此木马因其代码使用xor来隐藏配置信息,被国外某专注于木马分析的网站(mmd-0028-2014-fuzzy-reversing-new-china)称之为‘Linux/XOR.DDoS ’,我们这里也沿用这个叫法。
XOR DDOS代码片段
此木马开发者也算得上是‘劳模’了,近一年的观察发现这个木马代码不断在更新,早先的版本并未有rootkit模块,在2014年下半年发现它已经更新了rootkit模块。
XOR DDOS函数变更趋势
XOR DDOS新版新增内核模块代码
rootkit功能分析
相似性分析
根据对控制内核模块的代码来看,借鉴了国外一个知名rootkit suterusu的代码,那么接下来XOR DDOS木马的内核模块功能我们直接看 suterusu 代码。
XORDDOS借鉴了Suterusu代码
源码分析
这个开源rootkit的代码剖析不是本文重点,这里仅简述其最新版功能:
l 提升任意用户权限至root权限:根据用户态指令,将当前进程设置为root权限,然后用户态进程在root上下文环境中 启动shell (sh);
l 隐藏进程:通过在系统调用readdir时抹掉返回的/proc/$pid 目录信息,来实现隐藏;
l 隐藏网络连接:在系统读取/proc/net/tcp文件信息中抹掉相应网络连接来实现隐藏;
l 隐藏文件:同隐藏进程,抹掉readdir返回信息中相应希望隐藏的文件信息实现隐藏;
l 隐藏混杂模式状态:hook获取设备状态的函数,始终返回非混杂模式。
检测方案
Rootkit检测
前面已经把木马的原理剖析得很清楚了,那么检测它并不是什么难事。因篇幅有限暂且把“发现隐藏进程”作为目标,设计检测方案。
正所谓知己知彼百战不殆,设计检测方案的第一步就是搞清楚这些rootkit“隐藏进程”是如何实现的。
Rootkit 隐藏进程流程
根据阅读suterusu和adore-ng两份代码,能看出来,它们都是通过截获并抹去ps等进程读取proc文件信息来实现的隐藏。Ps命令实现请读者自行阅读相关资料,这里不赘述。
在linux系统中,有个称之为task的进程信息内核链表,通过遍历它可以得到系统真实存在的所有进程信息。
内核进程链表
聪明的你应该已经知道了检测方案,那就是“把内核进程链表信息读取出来的pid与列举/proc得到的pid做对比”。
隐藏进程检测方案
隐藏进程检测效果
同时suterusu的其他隐藏功能也是通过对系统进程在读取/proc下的其他信息时做手脚,其他功能的检测,大家可以举一反三。检测工具demo稍后放出。J
通用行为检测
说完case by case的纯技术细节对抗,再看看从笔者‘老生常谈’的行为检测(参考《如何建立有效的安全策略》)模型有那些可做的地方。以下列举了几个可切入的点。
木马安装
分析XOR DDOS 用户态可执行文件,发现它在启动之后做了一系列的安装过程,这些过程又异于常见运维部署流程,可作为异常检测告警规则。并且非常有意思的是,它为了躲避清理,不断的改名启动,反倒是暴露了它的恶意软件本质。
XOR DDOS安装指令
异常进程
它在运行过程中不断在/etc/rc*d.d/S90*生成软链,指向之前安装的服务;而二进制文件保存在/boot目录;同时启动的进程,进程名又恶意修改为正常的运维命令,但遗憾的是类似于ls这类命令根本不应该有网络连接,这成了它很明显的罪证。
生成软链
注册服务指向恶意文件
伪装为普通命令
根据前面的几个异常行为建立检测模型规则,这个XORDDOS木马就不难检测,模型描述如下:
检测方案优选
文章到这里聪明的读者可能会冒出N多疑问,“为什么你要这样检测?网上貌似类似场景的检测工具很多,取证工具也很多”。我们在在检测方案优选时考虑以下几个要素:
l 大型网络里,较低的误报率是可运营的基本要求,大量的误报可能导致最终告警数据不被重视,进而安全系统被搁置;
l 在线业务对服务器性能对要求极为苛刻,非业务进程对系统资源对的大量占用是不可接受的;
l 检测方案尽可能的提炼其场景的核心环节和通用环节,以适应对手的不断变化,case by case的检测手段固然直接有效,但对于安全系统建设来说往往性价比太低。
本文所述检测方案既满足了本次case的检测需求,也满足上述方案选型要求。
由于安全管理和技术架构的原因,这种木马对腾讯自有的服务器没有太多影响,但是对腾讯云的用户影响较大。我们在完成预研工作后,将检测机制整合到腾讯云的入侵检测系统里(腾讯云的服务器入侵检测主要依靠我们安全平台部的入侵检测系统“洋葱”),现在只要启用安全组件的腾讯云商户就能够发现此类木马。
原创文章,作者:ItWorker,如若转载,请注明出处:https://blog.ytso.com/57845.html
linuxshell开源相关文章
- JVM:第一章:类加载机制深度解析
- 【深度学习入门】——亲手实现图像卷积操作[通俗易懂]
- 广度优先搜索和深度优先搜索的实现
- E往无前 | 日志成本下降25%+!腾讯云大数据ES Lucene压缩编码深度优化大揭秘
- 清华教授欧智坚专访,深度剖析ChatGPT的光环背后及未来挑战!
- 和 NULLMySQL字段 0 和 NULL:区别与深度剖析(mysql字段0)
- 系统Linux 系统深度剖析:从入门到精通(细说linux)
- Linux开发板资料深度解析(linux开发板资料)
- 深度剖析Oracle数据存储结构,了解存储原理与数据组织(oracle数据存储结构)
- 深度封装Linux系统,轻松实现强大功能(封装linux系统)
- MySQL实验报告:深度学习并实现功能(mysql实验报告)
- Adam Rice深度剖析高级网络攻击
- 深度剖析Oracle表现:精准分析完美实现(表分析 oracle)
- MSSQL列名设置技巧深度剖析(mssql 设置列名)
- 深入Linux:探索开源操作系统的深层秘密(深度 linux)
- 剖析破解狂神Redis深度剖析源码(狂神redis源码)
- 处理Oracle中结账过账流程深度剖析(oracle中结账 过账)
- 高效利用数据资源,MySQL下钻报表应用助您深度挖掘商业价值(mysql下钻报表)
- 深度洞察Oracle 代理商的分布情况(oracle代理商有哪些)
- Redis部分技术问题深度剖析(redis部分技术题详解)
- Redis的访问模式深度剖析(redis访问模型)
- 深度探索Oracle HR表中的数据(oracle hr表查询)
- Oracle11g AWR深度剖析发掘卓越表现(oracle11gawr)