新P2P Botnet: PBot分析简报
<!--kg-card-begin: markdown--><p>本报告由国家互联网应急中心（CNCERT）与北京奇虎科技有限公司（360）共同发布。</p>
<h1 id="">版权</h1>
<p>版权声明: 本文为国家互联网应急中心（CNCERT）与北京奇虎科技有限公司（360）原创，依据 CC BY-SA 4.0 许可证进行授权，转载请附上出处链接及本声明。</p>
<h1 id="">概述</h1>
<p><a href="https://twitter.com/SethKingHi/status/1399320943684571136">2021-05-31</a>我们监测到一个可疑Linux可执行文件<code>0c47d63b0d1d917549a31debb68ab678(downloader: http://205.185[.126.254/bins/exxsdee.arm)</code>, 经分析我们发现这是一个全新的使用自定义P2P协议的正在发展中的P2P Botnet。其主要功能为DDoS。正在编写本文之际，我们收到了一封来自声称是<code>Keksec</code>组织成员的作者的邮件，称想和我们讨论关于一些事情，并提供了几张截图用来证明他就是该Botnet的作者。从其提供的截图看，该Botnet的项目名称为<code>PBot</code>，所以我们称之为PBot。当前Bot数为<code>1406</code>。作者提供的部分截图如下：<br>
<img src="__GHOST_URL__/content/images/2021/06/p2pbot.png" alt="p2pbot" loading="lazy"></p>
<h1 id="">样本传播</h1>
<p>我们观察到PBot样本主要通过SSH/Telnet弱口令以及一些NDay漏洞传播。相关NDay漏洞如下：</p>
<table>
<thead>
<tr>
<th>Vulnerability</th>
<th>Affected Aevice</th>
</tr>
</thead>
<tbody>
<tr>
<td><a href="https://www.exploit-db.com/exploits/41471">JAWS_DVR_RCE</a></td>
<td>MVPower DVR</td>
</tr>
<tr>
<td><a href="https://securityaffairs.co/wordpress/77951/malware/iot-botnet-backdoored.html">ZTE F460 and F660 backdoor</a></td>
<td>ZTE Router</td>
</tr>
<tr>
<td><a href="https://www.rapid7.com/db/modules/exploit/linux/misc/netcore_udp_53413_backdoor">Netis Backdoor</a></td>
<td>Netis Router</td>
</tr>
</tbody>
</table>
<h1 id="">样本分析</h1>
<p>Pbot自从进入我们视野后，一直在积极的迭代更新。我们在其downloader（<code>205.185.126.254:80</code>）服务器上不仅发现了全系CPU架构的bot样本，还发现了控制端。</p>
<p><img src="__GHOST_URL__/content/images/2021/06/pbot_opendir.png" alt="pbot_opendir" loading="lazy"></p>
<p>Pbot最独特的地方在于它实现了P2P网络通信，基于对Bot样本和控制端的逆向分析，它的简化网络结构如下所示：<br>
<img src="__GHOST_URL__/content/images/2021/06/pbot_brief.png" alt="pbot_opendir" loading="lazy"></p>
<p>事实上Pbot的功能比较简单，执行时首先会在Console输出<code>[main] bot deployed\r\n</code>字样，然后通过绑定本地端口实现单一实例，接着通过算法解密出<code>BootNode ,身份认证KEY</code>等敏感的资源信息，最后通过BootNode节点加入到P2P网络中，等待执行ControlNode下发的指令，主要有指令中DDoS攻击，开启telnet扫描传播等。其中支持的DDoS攻击方法如下所示：<br>
<img src="__GHOST_URL__/content/images/2021/06/pbot_attack.png" alt="pbot_opendir" loading="lazy"></p>
<p>BootNode，是一个超级节点，除了与各Bot相同的p2p通信功能之外，还具有以下功能：</p>
<ul>
<li>统计各Peer信息（Peer会向它注册，上传自身信息）</li>
<li>协助各Peer间寻找对方，BootNode保存了大量的P2P Peers列表，Bot向其注册后，可以请求一部分节点信息分享给Bot</li>
<li>承载样本，恶意shell脚本的下载服务</li>
</ul>
<p>而ControlNode，则是管理节点，主要功能为向节点发送具体的指令，如DDoS攻击，开启扫描等。它的控制面板如下所示：<br>
<img src="__GHOST_URL__/content/images/2021/06/pbot_panel.png" alt="pbot_opendir" loading="lazy"></p>
<p>2021年6月21日观测到的botnet状态如下所示：<br>
<img src="__GHOST_URL__/content/images/2021/06/pbot_stats.png" alt="pbot_opendir" loading="lazy"></p>
<h1 id="">联系我们</h1>
<p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong>twitter</strong></a> 或者通过邮件<strong>netlab[at]360.cn</strong>联系我们。</p>
<h1 id="">相关链接</h1>
<p><a href="https://www.cert.org.cn/publish/main/11/2021/20210628133948926376206/20210628133948926376206_.html">CNCERT: 关于新型P2P僵尸网络PBot的分析报告</a></p>
<h1 id="ioc">IoC</h1>
<h2 id="downloaderurl">Downloader URL</h2>
<pre><code>http://205.185[.126.254/bins/controller.x86
http://205.185[.126.254/bins/exxsdee.arm7
http://205.185[.126.254/bins/exxsdee.i586
http://205.185[.126.254/ssh.sh
http://205.185[.126.254:80/bins/crsfi.arm
http://205.185[.126.254:80/bins/exxsdee.arm
http://205.185[.126.254/korpze_jaws.sh
http://205.185[.126.254/korpze.sh
http://205.185[.126.254/sv.sh
http://205.185[.126.254/korpze_jaws.sh
http://205.185[.126.254///exxsdee.mpsl
http://monke[.tw/armz.sh
http://monke[.tw/u
</code></pre>
<h2 id="loaderip">Loader IP</h2>
<pre><code>23.94.22.111    AS36352|ColoCrossing    United_States|New_York|Buffalo
205.185.125.92  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas
143.198.99.95   AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business United_States|United_States|Unknown
23.95.9.192     AS36352|ColoCrossing    United_States|New_York|Buffalo
199.19.224.153  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas
143.198.48.62   AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business United_States|United_States|Unknown
69.55.62.38     AS14061|DigitalOcean,_LLC   United_States|New_York|New_York_City
199.19.225.131  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas
107.172.0.156   AS36352|ColoCrossing    United_States|Texas|Dallas
</code></pre>
<h2 id="samplemd5">Sample MD5</h2>
<pre><code>4bc46deb5372d11a2600377931db71c8
0205f44954c45fb24251087635c53296
0e86f26659eb6a32a09e82e42ee5d720
3155dd24f5377de6f43ff06981a6bbf2
3255a45b2ebe187c429fd088508db6b0
3484b80b33ee8d53336090d91ad31a6b
769bc673d858b063265d331ed226464f
8de9de4e14117e3ce4dfa60dacd673ef
9cb73e83b48062432871539b3f625a21
d209fe7d62f517de8b1cf1a5697e67c2
e84a59bb18afff664e887744d8afebd0
</code></pre>
<!--kg-card-end: markdown-->
本报告由国家互联网应急中心（CNCERT）与北京奇虎科技有限公司（360）共同发布。



版权


版权声明: 本文为国家互联网应急中心（CNCERT）与北京奇虎科技有限公司（360）原创，依据 CC BY-SA 4.0 许可证进行授权，转载请附上出处链接及本声明。



概述


2021-05-31我们监测到一个可疑Linux可执行文件0c47d63b0d1d917549a31debb68ab678(downloader: http://205.185[.126.254/bins/exxsdee.arm), 经分析我们发现这是一个全新的使用自定义P2P协议的正在发展中的P2P Botnet。其主要功能为DDoS。正在编写本文之际，我们收到了一封来自声称是Keksec组织成员的作者的邮件，称想和我们讨论关于一些事情，并提供了几张截图用来证明他就是该Botnet的作者。从其提供的截图看，该Botnet的项目名称为PBot，所以我们称之为PBot。当前Bot数为1406。作者提供的部分截图如下：





样本传播


我们观察到PBot样本主要通过SSH/Telnet弱口令以及一些NDay漏洞传播。相关NDay漏洞如下：





Vulnerability
Affected Aevice




JAWS_DVR_RCE
MVPower DVR


ZTE F460 and F660 backdoor
ZTE Router


Netis Backdoor
Netis Router






样本分析


Pbot自从进入我们视野后，一直在积极的迭代更新。我们在其downloader（205.185.126.254:80）服务器上不仅发现了全系CPU架构的bot样本，还发现了控制端。





Pbot最独特的地方在于它实现了P2P网络通信，基于对Bot样本和控制端的逆向分析，它的简化网络结构如下所示：




事实上Pbot的功能比较简单，执行时首先会在Console输出[main] bot deployed\r\n字样，然后通过绑定本地端口实现单一实例，接着通过算法解密出BootNode ,身份认证KEY等敏感的资源信息，最后通过BootNode节点加入到P2P网络中，等待执行ControlNode下发的指令，主要有指令中DDoS攻击，开启telnet扫描传播等。其中支持的DDoS攻击方法如下所示：




BootNode，是一个超级节点，除了与各Bot相同的p2p通信功能之外，还具有以下功能：


 * 统计各Peer信息（Peer会向它注册，上传自身信息）
 * 协助各Peer间寻找对方，BootNode保存了大量的P2P Peers列表，Bot向其注册后，可以请求一部分节点信息分享给Bot
 * 承载样本，恶意shell脚本的下载服务


而ControlNode，则是管理节点，主要功能为向节点发送具体的指令，如DDoS攻击，开启扫描等。它的控制面板如下所示：




2021年6月21日观测到的botnet状态如下所示：





联系我们


感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。



相关链接


CNCERT: 关于新型P2P僵尸网络PBot的分析报告



IoC



Downloader URL


http://205.185[.126.254/bins/controller.x86
http://205.185[.126.254/bins/exxsdee.arm7
http://205.185[.126.254/bins/exxsdee.i586
http://205.185[.126.254/ssh.sh
http://205.185[.126.254:80/bins/crsfi.arm
http://205.185[.126.254:80/bins/exxsdee.arm
http://205.185[.126.254/korpze_jaws.sh
http://205.185[.126.254/korpze.sh
http://205.185[.126.254/sv.sh
http://205.185[.126.254/korpze_jaws.sh
http://205.185[.126.254///exxsdee.mpsl
http://monke[.tw/armz.sh
http://monke[.tw/u




Loader IP


23.94.22.111    AS36352|ColoCrossing    United_States|New_York|Buffalo
205.185.125.92  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas
143.198.99.95   AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business United_States|United_States|Unknown
23.95.9.192     AS36352|ColoCrossing    United_States|New_York|Buffalo
199.19.224.153  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas
143.198.48.62   AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business United_States|United_States|Unknown
69.55.62.38     AS14061|DigitalOcean,_LLC   United_States|New_York|New_York_City
199.19.225.131  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas
107.172.0.156   AS36352|ColoCrossing    United_States|Texas|Dallas




Sample MD5


4bc46deb5372d11a2600377931db71c8
0205f44954c45fb24251087635c53296
0e86f26659eb6a32a09e82e42ee5d720
3155dd24f5377de6f43ff06981a6bbf2
3255a45b2ebe187c429fd088508db6b0
3484b80b33ee8d53336090d91ad31a6b
769bc673d858b063265d331ed226464f
8de9de4e14117e3ce4dfa60dacd673ef
9cb73e83b48062432871539b3f625a21
d209fe7d62f517de8b1cf1a5697e67c2
e84a59bb18afff664e887744d8afebd0


{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"\n本报告由国家互联网应急中心（CNCERT）与北京奇虎科技有限公司（360）共同发布。\n\n# 版权\n版权声明: 本文为国家互联网应急中心（CNCERT）与北京奇虎科技有限公司（360）原创，依据 CC BY-SA 4.0 许可证进行授权，转载请附上出处链接及本声明。\n# 概述\n[2021-05-31](https://twitter.com/SethKingHi/status/1399320943684571136)我们监测到一个可疑Linux可执行文件`0c47d63b0d1d917549a31debb68ab678(downloader: http://205.185[.126.254/bins/exxsdee.arm)`, 经分析我们发现这是一个全新的使用自定义P2P协议的正在发展中的P2P Botnet。其主要功能为DDoS。正在编写本文之际，我们收到了一封来自声称是`Keksec`组织成员的作者的邮件，称想和我们讨论关于一些事情，并提供了几张截图用来证明他就是该Botnet的作者。从其提供的截图看，该Botnet的项目名称为`PBot`，所以我们称之为PBot。当前Bot数为`1406`。作者提供的部分截图如下：\n![p2pbot](__GHOST_URL__/content/images/2021/06/p2pbot.png)\n\n# 样本传播\n我们观察到PBot样本主要通过SSH/Telnet弱口令以及一些NDay漏洞传播。相关NDay漏洞如下：\n\n| Vulnerability | Affected Aevice |\n| ------------- | ---------------- |\n| [JAWS_DVR_RCE](https://www.exploit-db.com/exploits/41471) | MVPower DVR |\n| [ZTE F460 and F660 backdoor](https://securityaffairs.co/wordpress/77951/malware/iot-botnet-backdoored.html) | ZTE Router |\n| [Netis Backdoor](https://www.rapid7.com/db/modules/exploit/linux/misc/netcore_udp_53413_backdoor) | Netis Router|\n\n# 样本分析\nPbot自从进入我们视野后，一直在积极的迭代更新。我们在其downloader（`205.185.126.254:80`）服务器上不仅发现了全系CPU架构的bot样本，还发现了控制端。\n\n![pbot_opendir](__GHOST_URL__/content/images/2021/06/pbot_opendir.png)\n\n\n\nPbot最独特的地方在于它实现了P2P网络通信，基于对Bot样本和控制端的逆向分析，它的简化网络结构如下所示：\n![pbot_opendir](__GHOST_URL__/content/images/2021/06/pbot_brief.png)\n\n\n\n\n事实上Pbot的功能比较简单，执行时首先会在Console输出```[main] bot deployed\\r\\n```字样，然后通过绑定本地端口实现单一实例，接着通过算法解密出```BootNode ,身份认证KEY```等敏感的资源信息，最后通过BootNode节点加入到P2P网络中，等待执行ControlNode下发的指令，主要有指令中DDoS攻击，开启telnet扫描传播等。其中支持的DDoS攻击方法如下所示：\n![pbot_opendir](__GHOST_URL__/content/images/2021/06/pbot_attack.png)\n\n\n\n\n\nBootNode，是一个超级节点，除了与各Bot相同的p2p通信功能之外，还具有以下功能：\n\n- 统计各Peer信息（Peer会向它注册，上传自身信息）\n- 协助各Peer间寻找对方，BootNode保存了大量的P2P Peers列表，Bot向其注册后，可以请求一部分节点信息分享给Bot\n- 承载样本，恶意shell脚本的下载服务\n\n而ControlNode，则是管理节点，主要功能为向节点发送具体的指令，如DDoS攻击，开启扫描等。它的控制面板如下所示：\n![pbot_opendir](__GHOST_URL__/content/images/2021/06/pbot_panel.png)\n\n\n2021年6月21日观测到的botnet状态如下所示：\n![pbot_opendir](__GHOST_URL__/content/images/2021/06/pbot_stats.png)\n\n\n\n\n\n\n\n\n\n# 联系我们\n感兴趣的读者，可以在 [**twitter**](https://twitter.com/360Netlab) 或者通过邮件**netlab[at]360.cn**联系我们。\n\n# 相关链接\n[CNCERT: 关于新型P2P僵尸网络PBot的分析报告](https://www.cert.org.cn/publish/main/11/2021/20210628133948926376206/20210628133948926376206_.html)\n# IoC\n## Downloader URL\n```\nhttp://205.185[.126.254/bins/controller.x86\nhttp://205.185[.126.254/bins/exxsdee.arm7\nhttp://205.185[.126.254/bins/exxsdee.i586\nhttp://205.185[.126.254/ssh.sh\nhttp://205.185[.126.254:80/bins/crsfi.arm\nhttp://205.185[.126.254:80/bins/exxsdee.arm\nhttp://205.185[.126.254/korpze_jaws.sh\nhttp://205.185[.126.254/korpze.sh\nhttp://205.185[.126.254/sv.sh\nhttp://205.185[.126.254/korpze_jaws.sh\nhttp://205.185[.126.254///exxsdee.mpsl\nhttp://monke[.tw/armz.sh\nhttp://monke[.tw/u\n```\n\n## Loader IP\n```\n23.94.22.111    AS36352|ColoCrossing    United_States|New_York|Buffalo\n205.185.125.92  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas\n143.198.99.95   AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business United_States|United_States|Unknown\n23.95.9.192     AS36352|ColoCrossing    United_States|New_York|Buffalo\n199.19.224.153  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas\n143.198.48.62   AS2828|MCI_Communications_Services,_Inc._d/b/a_Verizon_Business United_States|United_States|Unknown\n69.55.62.38     AS14061|DigitalOcean,_LLC   United_States|New_York|New_York_City\n199.19.225.131  AS53667|FranTech_Solutions  United_States|Nevada|Las_Vegas\n107.172.0.156   AS36352|ColoCrossing    United_States|Texas|Dallas\n```\n\n## Sample MD5\n```\n4bc46deb5372d11a2600377931db71c8\n0205f44954c45fb24251087635c53296\n0e86f26659eb6a32a09e82e42ee5d720\n3155dd24f5377de6f43ff06981a6bbf2\n3255a45b2ebe187c429fd088508db6b0\n3484b80b33ee8d53336090d91ad31a6b\n769bc673d858b063265d331ed226464f\n8de9de4e14117e3ce4dfa60dacd673ef\n9cb73e83b48062432871539b3f625a21\nd209fe7d62f517de8b1cf1a5697e67c2\ne84a59bb18afff664e887744d8afebd0\n```"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}