Fbot僵尸网络正在攻击交通和运输智能设备
<!--kg-card-begin: markdown--><h3 id="">背景介绍</h3>
<p>Fbot是一个基于Mirai的僵尸网络，它一直很活跃，此前我们曾多次披露过该僵尸网络<a href="__GHOST_URL__/fbot-a-satori-related-block-chain-dns-based-worm/">[1]</a><a href="__GHOST_URL__/the-new-developments-of-the-fbot/">[2]</a>。我们已经看到Fbot僵尸网络使用了多个物联网（Internet of things）设备的N-day漏洞和0-day漏洞（部分未披露），现在它正在攻击车联网（Internet of Vehicles）领域的智能设备，这是一个新现象。</p>
<p>2021年2月20号，360网络安全研究院未知威胁检测系统监测到攻击者正在使用美国Iteris, Inc.公司的Vantage Velocity产品的远程命令执行漏洞（CVE-2020-9020）<a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=2020-9023">[3]</a><a href="https://sku11army.blogspot.com/2020/01/iteris-vantage-velocity-field-unit-no.html">[4]</a>，传播Fbot僵尸网络样本。</p>
<p>据维基百科介绍<a href="https://en.wikipedia.org/wiki/Iteris">[5]</a>，Iteris, Inc.公司为智能移动基础设施管理提供软件和咨询服务，包括软件即服务以及托管和咨询服务，并生产记录和预测交通状况的传感器和其他设备。</p>
<p>结合Vantage Velocity产品用途，并从受影响的设备上发现AIrLink GX450 Mobile Gateway产信息，因此我们推测受影响设备是路边设备系统。</p>
<h3 id="cve20209020">CVE-2020-9020漏洞分析</h3>
<p>通过360 FirmwareTotal系统，我们验证并分析了CVE-2020-9020漏洞。</p>
<ol>
<li>在Vantage Velocity产品Synchronize With NTP Server处，用户可以设置指定的ntp服务器地址。</li>
<li><code>timeconfig.py</code>脚本在接受前端用户Web请求后未对<code>htmlNtpServer</code>变量过滤，即将其拼接为<code>shell</code>变量格式 <code>&quot;ntpserver=&quot; + form[&quot;htmlNtpServer&quot;].value.strip()</code>，并写入到 <code>/root/timeparam</code> 文件中。</li>
<li>当<code>timeconfig.py</code> 脚本调用<code>shell</code>脚本 <code>/root/ntpconfig</code>，读取 <code>/root/timeparam</code> 文件初始化变量<code>ntpserver</code>时，触发命令执行漏洞。</li>
</ol>
<h3 id="">漏洞影响范围</h3>
<p>360 Quake网络空间测绘系统通过对全网资产测绘，发现Vantage Velocity设备具体分布如下图所示。<br>
<a href="__GHOST_URL__/content/images/2021/02/CVE_2020_9020_stats.png"><img src="__GHOST_URL__/content/images/2021/02/CVE_2020_9020_stats.png" class="kg-image"/></a></p>
<h3 id="fbot">Fbot僵尸网络</h3>
<p>Fbot已经是安全社区非常熟悉的老朋友了，它是在Mirai基础上开发的僵尸网络，主要改动体现在2个方面</p>
<ul>
<li>加密算法</li>
<li>上线包，心跳包</li>
</ul>
<p>此次通过Nday传播的样本（arm7），基本信息如下所示:</p>
<blockquote>
<p>MD5:deaee7ada44bf1c6af826d2d170c8698</p>
<p>ELF 32-bit LSB executable, ARM, version 1 (SYSV), statically linked, stripped</p>
<p>Packer:None</p>
</blockquote>
<p>它本身并没有特别之处，主要功能是</p>
<ul>
<li>DDoS攻击</li>
<li>Telnet扫描&amp;传播</li>
</ul>
<p>下文将围绕上述功能做简要分析。</p>
<h3 id="ddos">DDoS攻击</h3>
<p>首先Fbot通过以下代码片段和硬编码的C2(<code>198.23.238.203:5684</code>)建立连接</p>
<p><a href="__GHOST_URL__/content/images/2021/02/velo_fbot_c2.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_c2.png" class="kg-image"/></a></p>
<p>随后向C2发送长度为78字节的上线信息<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_reg-1.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_reg-1.png" class="kg-image"/></a><br>
实际中产生的网络流量如下所示：<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_regpkg.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_regpkg.png" class="kg-image"/></a></p>
<p>上线包中的信息用来验证BOT的合法身份，以上图上线包为例，格式解析如下所示：</p>
<pre><code>Main field parsing，others can be 0
——————————————————————————————————————————
02    ---&gt;type，register package
00 42 00 33 00 63  01 c8 02 fc 00 49   ---&gt;hardcoded，authentication
00 07   ---&gt;length of group string
75 6e 6b 6e 6f 77 6e ----&gt;group string，&quot;unknown&quot;
——————————————————————————————————————————
</code></pre>
<p>发送完上线包后Bot开始等待C2下发指令，指令包的<strong>第一个字节</strong>指定了指令类型。</p>
<h4 id="0x00">0x00，心跳指令码</h4>
<p>以下图心跳为例<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_beat.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_beat.png" class="kg-image"/></a></p>
<p>心跳包的格式解析如下所示</p>
<pre><code>Main field parsing，others can be 0
——————————————————————————————————————————
00  ---&gt;type，heartbeat package
1b 37 03 f3 25 e3  19 40 1e 68 1a d2   ---&gt;hardcoded
——————————————————————————————————————————
</code></pre>
<h4 id="0x01ddos">0x01，DDoS攻击指令码</h4>
<p>以下图攻击指令为例<br>
<a href="__GHOST_URL__/content/images/2021/02/ping_fbot_atk.png"><img src="__GHOST_URL__/content/images/2021/02/ping_fbot_atk.png" class="kg-image"/></a></p>
<p>攻击包的格式解析如下所示</p>
<pre><code>Main field parsing，others can be 0
——————————————————————————————————————————
01 　						---&gt;type，attack package 
01							---&gt;attack type
00 3c 						---&gt;time (sec)
01							---&gt;number of target
67 5f dd bc 00 20			---&gt;target/mask,103.95.221.188/32
02							---&gt;number of flag
	02							---&gt;flag type, attack package length
	00 04						---&gt;flag length
	31 34 36 30					---&gt;flag data，1460
	
	
	01							---&gt;flag type, port
	00 02						---&gt;flag length
	35 33						---&gt;flag data，53
——————————————————————————————————————————
</code></pre>
<h4 id="0x03">0x03，退出</h4>
<p><a href="__GHOST_URL__/content/images/2021/02/velo_fbot_exit.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_exit.png" class="kg-image"/></a></p>
<h3 id="telnet">Telnet扫描&amp;传播</h3>
<p>Fbot在传播过程中用到了SYN端口探测的技巧，来提高传播效率。</p>
<p><a href="__GHOST_URL__/content/images/2021/02/velo_fbot_scan.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_scan.png" class="kg-image"/></a></p>
<p>从上面的代码片段，可知其扫描流量有2个特征</p>
<ol>
<li>扫描23端口数量约为26端口的2倍</li>
<li>tcp头中的序列号与ip头中的目标地址相等</li>
</ol>
<p>当探测到端口开放时，使用硬编码的凭证列表尝试登录，将能成功登录的<code>IP，端口，帐号，密码</code>等信息通过以下代码片段回传给Reporter(<code>198.23.238.203:774</code>)。</p>
<p><a href="__GHOST_URL__/content/images/2021/02/velo_fbot_report.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_report.png" class="kg-image"/></a><br>
实际产生的网络流量如下图所示：<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_reportpkg.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_reportpkg.png" class="kg-image"/></a><br>
最后通过<code>网络下载</code>或<code>ECHO</code>的方式向存在telnet弱口令的设备植入Fbot样本，并将植入成功的信息回传给Reporter。</p>
<h4 id="1">1：网络下载</h4>
<p>如果设备有<code>wget，tftp</code>工具则直接通过网络下载在设备上下载对应CPU架构的Fbot样本。<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_dow_method.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_dow_method.png" class="kg-image"/></a></p>
<h4 id="2echo">2：ECHO</h4>
<p>如果设备没有网络下载工具则通过ECHO的方式向设备上传入相应CPU架构的<strong>Fbot downloader</strong>，用以下载Fbot样本。<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_echo_method.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_echo_method.png" class="kg-image"/></a><br>
其中样本内置的<strong>Fbot downloader</strong>信息如下图所示：<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_emelf.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_emelf.png" class="kg-image"/></a><br>
以上图中，文件偏移<code>0x1D794</code>的downloader为例，</p>
<blockquote>
<p>MD5:9b49507d1876c3a550f7b7a6e4ec696d</p>
<p>ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped</p>
<p>Packer:None</p>
</blockquote>
<p>它的功能就是向下载服务器(<code>198.23.238.203:80</code>)请求Fbot样本并执行。<br>
<a href="__GHOST_URL__/content/images/2021/02/velo_fbot_loader-1.png"><img src="__GHOST_URL__/content/images/2021/02/velo_fbot_loader-1.png" class="kg-image"/></a></p>
<h3 id="">处置建议</h3>
<p>我们建议Vantage Velocity用户及时检查并更新固件系统。<br>
我们建议Vantage Velocity用户为Web和SSH等管理接口设置复杂登陆密码。<br>
我们建议读者对相关IP和URL进行监控和封锁。</p>
<h3 id="">联系我们</h3>
<p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong>twitter</strong></a> 或者通过邮件<strong>netlab[at]360.cn</strong>联系我们。</p>
<h3 id="ioc">IoC</h3>
<p>IP:</p>
<pre><code>198.23.238.203      	United States       	ASN36352            	AS-COLOCROSSING
</code></pre>
<p>C2:</p>
<pre><code>198.23.238.203:5684
</code></pre>
<p>URL:</p>
<pre><code>http://198.23.238.203/arm7
</code></pre>
<p>MD5:</p>
<pre><code>deaee7ada44bf1c6af826d2d170c8698
</code></pre>
<h3 id="">招聘信息</h3>
<p>360网络安全研究院在杭州新成立了一个产品团队，把我们的安全数据和技术产品化，探索网络安全行业未知威胁检测难题，为360安全大脑添砖加瓦。</p>
<p>从一次平凡的网络扫描，到漏洞、样本、安全事件分析，再到0-day漏洞检测、未知恶意软件检测、高级威胁追踪，我们致力于通过数据驱动安全，构建网络安全看得见的能力。</p>
<p>招聘岗位：<br>
前端开发工程师、后端开发工程师、产品经理、安全工程师、算法工程师</p>
<p>详情链接：<a href="__GHOST_URL__/work-in-hangzhou/">https://blog.netlab.360.com/work-in-hangzhou/</a></p>
<!--kg-card-end: markdown-->
背景介绍


Fbot是一个基于Mirai的僵尸网络，它一直很活跃，此前我们曾多次披露过该僵尸网络[1][2]。我们已经看到Fbot僵尸网络使用了多个物联网（Internet of things）设备的N-day漏洞和0-day漏洞（部分未披露），现在它正在攻击车联网（Internet of Vehicles）领域的智能设备，这是一个新现象。


2021年2月20号，360网络安全研究院未知威胁检测系统监测到攻击者正在使用美国Iteris, Inc.公司的Vantage Velocity产品的远程命令执行漏洞（CVE-2020-9020）[3][4]，传播Fbot僵尸网络样本。


据维基百科介绍[5]，Iteris, Inc.公司为智能移动基础设施管理提供软件和咨询服务，包括软件即服务以及托管和咨询服务，并生产记录和预测交通状况的传感器和其他设备。


结合Vantage Velocity产品用途，并从受影响的设备上发现AIrLink GX450 Mobile Gateway产信息，因此我们推测受影响设备是路边设备系统。



CVE-2020-9020漏洞分析


通过360 FirmwareTotal系统，我们验证并分析了CVE-2020-9020漏洞。


 1. 在Vantage Velocity产品Synchronize With NTP Server处，用户可以设置指定的ntp服务器地址。
 2. timeconfig.py脚本在接受前端用户Web请求后未对htmlNtpServer变量过滤，即将其拼接为shell变量格式 "ntpserver=" + form["htmlNtpServer"].value.strip()，并写入到 /root/timeparam 文件中。
 3. 当timeconfig.py 脚本调用shell脚本 /root/ntpconfig，读取 /root/timeparam 文件初始化变量ntpserver时，触发命令执行漏洞。



漏洞影响范围


360 Quake网络空间测绘系统通过对全网资产测绘，发现Vantage Velocity设备具体分布如下图所示。





Fbot僵尸网络


Fbot已经是安全社区非常熟悉的老朋友了，它是在Mirai基础上开发的僵尸网络，主要改动体现在2个方面


 * 加密算法
 * 上线包，心跳包


此次通过Nday传播的样本（arm7），基本信息如下所示:





MD5:deaee7ada44bf1c6af826d2d170c8698


ELF 32-bit LSB executable, ARM, version 1 (SYSV), statically linked, stripped


Packer:None



它本身并没有特别之处，主要功能是


 * DDoS攻击
 * Telnet扫描&传播


下文将围绕上述功能做简要分析。



DDoS攻击


首先Fbot通过以下代码片段和硬编码的C2(198.23.238.203:5684)建立连接





随后向C2发送长度为78字节的上线信息



实际中产生的网络流量如下所示：




上线包中的信息用来验证BOT的合法身份，以上图上线包为例，格式解析如下所示：


Main field parsing，others can be 0
——————————————————————————————————————————
02    --->type，register package
00 42 00 33 00 63  01 c8 02 fc 00 49   --->hardcoded，authentication
00 07   --->length of group string
75 6e 6b 6e 6f 77 6e ---->group string，"unknown"
——————————————————————————————————————————



发送完上线包后Bot开始等待C2下发指令，指令包的第一个字节指定了指令类型。


0x00，心跳指令码


以下图心跳为例




心跳包的格式解析如下所示


Main field parsing，others can be 0
——————————————————————————————————————————
00  --->type，heartbeat package
1b 37 03 f3 25 e3  19 40 1e 68 1a d2   --->hardcoded
——————————————————————————————————————————



0x01，DDoS攻击指令码


以下图攻击指令为例




攻击包的格式解析如下所示


Main field parsing，others can be 0
——————————————————————————————————————————
01 　						--->type，attack package 
01							--->attack type
00 3c 						--->time (sec)
01							--->number of target
67 5f dd bc 00 20			--->target/mask,103.95.221.188/32
02							--->number of flag
	02							--->flag type, attack package length
	00 04						--->flag length
	31 34 36 30					--->flag data，1460
	
	
	01							--->flag type, port
	00 02						--->flag length
	35 33						--->flag data，53
——————————————————————————————————————————



0x03，退出






Telnet扫描&传播


Fbot在传播过程中用到了SYN端口探测的技巧，来提高传播效率。





从上面的代码片段，可知其扫描流量有2个特征


 1. 扫描23端口数量约为26端口的2倍
 2. tcp头中的序列号与ip头中的目标地址相等


当探测到端口开放时，使用硬编码的凭证列表尝试登录，将能成功登录的IP，端口，帐号，密码等信息通过以下代码片段回传给Reporter(198.23.238.203:774)。




实际产生的网络流量如下图所示：



最后通过网络下载或ECHO的方式向存在telnet弱口令的设备植入Fbot样本，并将植入成功的信息回传给Reporter。


1：网络下载


如果设备有wget，tftp工具则直接通过网络下载在设备上下载对应CPU架构的Fbot样本。




2：ECHO


如果设备没有网络下载工具则通过ECHO的方式向设备上传入相应CPU架构的Fbot downloader，用以下载Fbot样本。



其中样本内置的Fbot downloader信息如下图所示：



以上图中，文件偏移0x1D794的downloader为例，





MD5:9b49507d1876c3a550f7b7a6e4ec696d


ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped


Packer:None



它的功能就是向下载服务器(198.23.238.203:80)请求Fbot样本并执行。





处置建议


我们建议Vantage Velocity用户及时检查并更新固件系统。

我们建议Vantage Velocity用户为Web和SSH等管理接口设置复杂登陆密码。

我们建议读者对相关IP和URL进行监控和封锁。



联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



IoC


IP:


198.23.238.203      	United States       	ASN36352            	AS-COLOCROSSING



C2:


198.23.238.203:5684



URL:


http://198.23.238.203/arm7



MD5:


deaee7ada44bf1c6af826d2d170c8698




招聘信息


360网络安全研究院在杭州新成立了一个产品团队，把我们的安全数据和技术产品化，探索网络安全行业未知威胁检测难题，为360安全大脑添砖加瓦。


从一次平凡的网络扫描，到漏洞、样本、安全事件分析，再到0-day漏洞检测、未知恶意软件检测、高级威胁追踪，我们致力于通过数据驱动安全，构建网络安全看得见的能力。


招聘岗位：

前端开发工程师、后端开发工程师、产品经理、安全工程师、算法工程师


详情链接：https://blog.netlab.360.com/work-in-hangzhou/

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"### 背景介绍\nFbot是一个基于Mirai的僵尸网络，它一直很活跃，此前我们曾多次披露过该僵尸网络[[1]](__GHOST_URL__/fbot-a-satori-related-block-chain-dns-based-worm/)[[2]](__GHOST_URL__/the-new-developments-of-the-fbot/)。我们已经看到Fbot僵尸网络使用了多个物联网（Internet of things）设备的N-day漏洞和0-day漏洞（部分未披露），现在它正在攻击车联网（Internet of Vehicles）领域的智能设备，这是一个新现象。\n\n2021年2月20号，360网络安全研究院未知威胁检测系统监测到攻击者正在使用美国Iteris, Inc.公司的Vantage Velocity产品的远程命令执行漏洞（CVE-2020-9020）[[3]](https://cve.mitre.org/cgi-bin/cvename.cgi?name=2020-9023)[[4]](https://sku11army.blogspot.com/2020/01/iteris-vantage-velocity-field-unit-no.html)，传播Fbot僵尸网络样本。\n\n据维基百科介绍[[5]](https://en.wikipedia.org/wiki/Iteris)，Iteris, Inc.公司为智能移动基础设施管理提供软件和咨询服务，包括软件即服务以及托管和咨询服务，并生产记录和预测交通状况的传感器和其他设备。\n\n结合Vantage Velocity产品用途，并从受影响的设备上发现AIrLink GX450 Mobile Gateway产信息，因此我们推测受影响设备是路边设备系统。\n\n### CVE-2020-9020漏洞分析\n通过360 FirmwareTotal系统，我们验证并分析了CVE-2020-9020漏洞。\n\n1. 在Vantage Velocity产品Synchronize With NTP Server处，用户可以设置指定的ntp服务器地址。\n2. `timeconfig.py`脚本在接受前端用户Web请求后未对`htmlNtpServer`变量过滤，即将其拼接为`shell`变量格式 `\"ntpserver=\" + form[\"htmlNtpServer\"].value.strip()`，并写入到 `/root/timeparam` 文件中。\n3. 当`timeconfig.py` 脚本调用`shell`脚本 `/root/ntpconfig`，读取 `/root/timeparam` 文件初始化变量`ntpserver`时，触发命令执行漏洞。\n\n### 漏洞影响范围\n360 Quake网络空间测绘系统通过对全网资产测绘，发现Vantage Velocity设备具体分布如下图所示。\n<a href=\"__GHOST_URL__/content/images/2021/02/CVE_2020_9020_stats.png\"><img src=\"__GHOST_URL__/content/images/2021/02/CVE_2020_9020_stats.png\" class=\"kg-image\"/></a>\n\n### Fbot僵尸网络\nFbot已经是安全社区非常熟悉的老朋友了，它是在Mirai基础上开发的僵尸网络，主要改动体现在2个方面\n\n- 加密算法\n- 上线包，心跳包\n\n此次通过Nday传播的样本（arm7），基本信息如下所示:\n\n> MD5:deaee7ada44bf1c6af826d2d170c8698\n>\n> ELF 32-bit LSB executable, ARM, version 1 (SYSV), statically linked, stripped\n>\n> Packer:None\n\n它本身并没有特别之处，主要功能是\n\n- DDoS攻击\n- Telnet扫描&传播\n\n下文将围绕上述功能做简要分析。\n\n### DDoS攻击\n首先Fbot通过以下代码片段和硬编码的C2(```198.23.238.203:5684```)建立连接\n\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_c2.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_c2.png\" class=\"kg-image\"/></a>\n\n\n随后向C2发送长度为78字节的上线信息\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_reg-1.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_reg-1.png\" class=\"kg-image\"/></a>\n实际中产生的网络流量如下所示：\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_regpkg.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_regpkg.png\" class=\"kg-image\"/></a>\n\n\n上线包中的信息用来验证BOT的合法身份，以上图上线包为例，格式解析如下所示：\n\n```\nMain field parsing，others can be 0\n——————————————————————————————————————————\n02    --->type，register package\n00 42 00 33 00 63  01 c8 02 fc 00 49   --->hardcoded，authentication\n00 07   --->length of group string\n75 6e 6b 6e 6f 77 6e ---->group string，\"unknown\"\n——————————————————————————————————————————\n```\n\n发送完上线包后Bot开始等待C2下发指令，指令包的**第一个字节**指定了指令类型。\n\n#### 0x00，心跳指令码\n\n以下图心跳为例\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_beat.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_beat.png\" class=\"kg-image\"/></a>\n\n\n心跳包的格式解析如下所示\n\n```\nMain field parsing，others can be 0\n——————————————————————————————————————————\n00  --->type，heartbeat package\n1b 37 03 f3 25 e3  19 40 1e 68 1a d2   --->hardcoded\n——————————————————————————————————————————\n```\n\n#### 0x01，DDoS攻击指令码\n\n以下图攻击指令为例\n<a href=\"__GHOST_URL__/content/images/2021/02/ping_fbot_atk.png\"><img src=\"__GHOST_URL__/content/images/2021/02/ping_fbot_atk.png\" class=\"kg-image\"/></a>\n\n\n攻击包的格式解析如下所示\n\n```\nMain field parsing，others can be 0\n——————————————————————————————————————————\n01 　\t\t\t\t\t\t--->type，attack package \n01\t\t\t\t\t\t\t--->attack type\n00 3c \t\t\t\t\t\t--->time (sec)\n01\t\t\t\t\t\t\t--->number of target\n67 5f dd bc 00 20\t\t\t--->target/mask,103.95.221.188/32\n02\t\t\t\t\t\t\t--->number of flag\n\t02\t\t\t\t\t\t\t--->flag type, attack package length\n\t00 04\t\t\t\t\t\t--->flag length\n\t31 34 36 30\t\t\t\t\t--->flag data，1460\n\t\n\t\n\t01\t\t\t\t\t\t\t--->flag type, port\n\t00 02\t\t\t\t\t\t--->flag length\n\t35 33\t\t\t\t\t\t--->flag data，53\n——————————————————————————————————————————\n```\n#### 0x03，退出\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_exit.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_exit.png\" class=\"kg-image\"/></a>\n### Telnet扫描&传播\nFbot在传播过程中用到了SYN端口探测的技巧，来提高传播效率。\n\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_scan.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_scan.png\" class=\"kg-image\"/></a>\n\n从上面的代码片段，可知其扫描流量有2个特征\n\n1. 扫描23端口数量约为26端口的2倍\n2. tcp头中的序列号与ip头中的目标地址相等\n\n当探测到端口开放时，使用硬编码的凭证列表尝试登录，将能成功登录的```IP，端口，帐号，密码```等信息通过以下代码片段回传给Reporter(```198.23.238.203:774```)。\n\n\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_report.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_report.png\" class=\"kg-image\"/></a>\n实际产生的网络流量如下图所示：\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_reportpkg.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_reportpkg.png\" class=\"kg-image\"/></a>\n最后通过```网络下载```或```ECHO```的方式向存在telnet弱口令的设备植入Fbot样本，并将植入成功的信息回传给Reporter。\n\n#### 1：网络下载\n如果设备有```wget，tftp```工具则直接通过网络下载在设备上下载对应CPU架构的Fbot样本。\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_dow_method.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_dow_method.png\" class=\"kg-image\"/></a>\n\n#### 2：ECHO\n如果设备没有网络下载工具则通过ECHO的方式向设备上传入相应CPU架构的**Fbot downloader**，用以下载Fbot样本。\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_echo_method.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_echo_method.png\" class=\"kg-image\"/></a>\n其中样本内置的**Fbot downloader**信息如下图所示：\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_emelf.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_emelf.png\" class=\"kg-image\"/></a>\n以上图中，文件偏移```0x1D794```的downloader为例，\n>MD5:9b49507d1876c3a550f7b7a6e4ec696d\n>\n>ELF 32-bit LSB executable, ARM, version 1 (ARM), statically linked, stripped\n>\n>Packer:None\n\n它的功能就是向下载服务器(```198.23.238.203:80```)请求Fbot样本并执行。\n<a href=\"__GHOST_URL__/content/images/2021/02/velo_fbot_loader-1.png\"><img src=\"__GHOST_URL__/content/images/2021/02/velo_fbot_loader-1.png\" class=\"kg-image\"/></a>\n\n### 处置建议\n我们建议Vantage Velocity用户及时检查并更新固件系统。\n我们建议Vantage Velocity用户为Web和SSH等管理接口设置复杂登陆密码。\n我们建议读者对相关IP和URL进行监控和封锁。\n\n### 联系我们\n感兴趣的读者，可以在 [**twitter**](https://twitter.com/360Netlab) 或者通过邮件**netlab[at]360.cn**联系我们。\n\n\n### IoC\nIP:\n```\n198.23.238.203      \tUnited States       \tASN36352            \tAS-COLOCROSSING\n```\n\nC2:\n```\n198.23.238.203:5684\n```\n\nURL:\n```\nhttp://198.23.238.203/arm7\n```\n\nMD5:\n```\ndeaee7ada44bf1c6af826d2d170c8698\n```\n\n\n### 招聘信息\n360网络安全研究院在杭州新成立了一个产品团队，把我们的安全数据和技术产品化，探索网络安全行业未知威胁检测难题，为360安全大脑添砖加瓦。\n\n从一次平凡的网络扫描，到漏洞、样本、安全事件分析，再到0-day漏洞检测、未知恶意软件检测、高级威胁追踪，我们致力于通过数据驱动安全，构建网络安全看得见的能力。\n\n招聘岗位：\n前端开发工程师、后端开发工程师、产品经理、安全工程师、算法工程师\n\n详情链接：__GHOST_URL__/work-in-hangzhou/\n"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}