威胁快讯：Log4j漏洞已经被用来组建botnet，针对Linux设备
<p>年末曝光的Log4j漏洞无疑可以算是今年的安全界大事了。作为专注于蜜罐和botnet检测跟踪的团队，我们自该漏洞被公开后就一直关注它会被哪些botnet利用。今早我们等来了首批答案，我们的Anglerfish和Apacket蜜罐先后捕获到2波利用Log4j漏洞组建botnet的攻击，快速的样本分析表明它们分别用于组建 Muhstik 和Mirai botnet，针对的都是Linux设备。</p><!--kg-card-begin: markdown--><h2 id="">样本分析</h2>
<h3 id="mirai">MIRAI</h3>
<p>这一波传播的为miria新变种，相比最初代码，它做了如下变动：</p>
<ol>
<li>移除了 table_init/table_lock_val/table_unlock_val 等mirai特有的配置管理函数。</li>
<li>attack_init 函数也被抛弃，ddos攻击函数会被指令处理函数直接调用。</li>
</ol>
<p>同时，其C2域名选用了一个 uy 顶级域的域名，这在国内也是很少见的。</p>
<h3 id="muhstik">Muhstik</h3>
<p>Muhstik 这个网络最早被披露于 <a href="__GHOST_URL__/botnet-muhstik-is-actively-exploiting-drupal-cve-2018-7600-in-a-worm-style/">2018</a> 年，系一个借鉴了Mirai代码的Tsunami变种。在本次捕获的样本中，我们注意到新Muhstik变种增加了一个后门模块ldm，它具有增加SSH后门公钥的能力，其安装的后门公钥为：</p>
<pre><code>ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQBtGZHLQlMLkrONMAChDVPZf+9gNG5s2rdTMBkOp6P7mKIQ/OkbgiozmZ3syhELI4L0M1TmJiRbbrIta8662z4WAKhXpiU22llfwrkN0m8yKJApd8lDzvvdBw+ShzJr+WaEWX7uW3WCe5NCxGxc6AU7c2vmuLlO0B203pIGVIbV1xJmj6MXrdZpNy7QRo9zStWmgmVY4GR4v26R3XDOn1gshuQ6PgUqgewQ+AlslLVuekdH23sLQfejXyJShcoFI6BbH67YTcoh4G/TuQdGe8lIeAAmp7lzzHMyu+2iSNoFFCeF48JSA2YZvssFOsGuAtV/9uPNQoi9EyvgM2mGDgJ
</code></pre>
<p>该公钥被增加到 ~/.ssh/authorized_keys 文件后，攻击者即可无需密码认证直接登陆远程服务器，实现对目标服务器的持续操控。</p>
<p>考虑到 log4j2 的漏洞机理比较特殊，“攻击者只需漫无目的的散播 payload 即会有机器被攻击，有点愿者上钩的意思。所以，攻击者很难直接判断被攻击的机器实际在哪里”，为确保后续可以使用这个后门，攻击者还要建立一个汇报机制，将受控机器的实际位置/用户名汇报到攻击者指定的服务器。Muhstik 通过 TOR 网络完成该汇报任务，这可能会给溯源工作增加一层难度。</p>
<p>Muhstik 在访问 TOR 网络前，会通过一些公开的 DoH服务查询 <code>relay.l33t-ppl.inf</code> 的内容。在这个过程中，会产生一些与之相关的 DNS 请求。考虑到这些请求可能为判断失陷主机提供一些帮助。所以这里把相关域名列在下面。注意：这些域名不是CC域名，不是黑域名，而是正常的 DoH 服务。各运维相关读者需要根据自身业务情况酌情处理。</p>
<pre><code>doh.defaultroutes.de
dns.hostux.net
dns.dns-over-https.com
uncensored.lux1.dns.nixnet.xyz
dns.rubyfish.cn dns.twnic.tw
doh.centraleu.pi-dns.com
doh.dns.sb doh-fi.blahdns.com
fi.doh.dns.snopyta.org
dns.flatuslifir.is
doh.li
dns.digitale-gesellschaft.ch
</code></pre>
<p>当无法直接从 TOR 网络汇报攻陷信息时，Muhstik 还会通过 TOR 的公网映射域名进行提交，相关域名列表如下：</p>
<pre><code>bvprzqhoz7j2ltin.onion.ws
bvprzqhoz7j2ltin.onion.ly
bvprzqhoz7j2ltin.tor2web.s
</code></pre>
<p>Muhstik的ELF样本则集成了如下命令：<br>
<img src="__GHOST_URL__/content/images/2021/12/tsunami_command-1-1.png" alt="tsunami_command-1-1" loading="lazy"></p>
<p>能看到样本支持DDoS和后门指令。样本的C2保存在mirai风格的配置中，明文的配置信息如下：</p>
<pre><code> [0x02]: &quot;listening tun0\x00&quot;, size=15
 [0x03]: &quot;irc.de-za&quot;\x1f\x90&quot;listening tun0\x00&quot;l&quot;, size=30
 [0x04]: &quot;\x1f\x90&quot;, size=2
 [0x05]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x06]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x07]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x08]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x0a]: &quot;/proc/\x00&quot;, size=7
 [0x0c]: &quot;/exe\x00&quot;, size=5
 [0x0d]: &quot;/status\x00&quot;, size=8
 [0x0e]: &quot;/fd\x00&quot;, size=4
 [0x0f]: &quot;\x58\x4D\x4E\x4E\x43\x50\x46\x22\x00&quot;, size=33
 [0x10]: &quot;zollard\x00&quot;, size=8
 [0x11]: &quot;muhstik-11052018\x00&quot;, size=17
 [0x12]: &quot;\x02^nL\x0b\x1a\x06_nL\x02\x0f\x00&quot;, size=13
 [0x13]: &quot;eth1\x00&quot;, size=5
 [0x14]: &quot;lan0\x00&quot;, size=5
 [0x15]: &quot;-\x00&quot;, size=2
 [0x16]: &quot;eth0\x00&quot;, size=5
 [0x17]: &quot;inet0\x00&quot;, size=6
 [0x18]: &quot;lano\x00&quot;, size=5
 [0x19]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x1a]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x1b]: &quot;d4cf8e4ab26f7fd15ef7df9f7937493d\x00&quot;, size=33
 [0x1c]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x1d]: &quot;37.44.244.124\x00&quot;, size=14
 [0x1e]: &quot;37.44.244.124\x00&quot;, size=14
 [0x1f]: &quot;37.44.244.124\x00&quot;, size=14
 [0x20]: &quot;37.44.244.124\x00&quot;, size=14
 [0x21]: &quot;37.44.244.124\x00&quot;, size=14
 [0x22]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
 [0x23]: &quot;log.exposedbotnets.ru\x00&quot;, size=22
</code></pre>
<p>其中log.exposedbotnets.ru便是C2，它刚好解析到37.44.244.124。作者注册一个log开头的域名也许是故意切合Log4j这个漏洞。</p>
<h2 id="">结论</h2>
<p>鉴于Log4j的漏洞影响面比较大，我们预计后续会有更多的botnet使用它来传播。对此我们会持续保持关注，有新的观察会第一时间在这里公布。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h2 id="ioc">IOC:</h2>
<h3 id="mirai">Mirai</h3>
<p>C2:</p>
<pre><code>nazi.uy
</code></pre>
<p>URL:</p>
<pre><code>http:[//62.210.130.250/lh.sh
http:[//62.210.130.250:80/web/admin/x86_64
http:[//62.210.130.250:80/web/admin/x86
http:[//62.210.130.250:80/web/admin/x86_g
</code></pre>
<h3 id="muhstik">Muhstik</h3>
<p>C2:</p>
<pre><code>log.exposedbotnets.ru
</code></pre>
<p>URL:</p>
<pre><code>http:[//45.130.229.168:9999/Exploit.class
http:[//18.228.7.109/.log/log
http:[//18.228.7.109/.log/pty1;
http:[//18.228.7.109/.log/pty2;
http:[//18.228.7.109/.log/pty3;
http:[//18.228.7.109/.log/pty4;
http:[//18.228.7.109/.log/pty5;
http:[//210.141.105.67:80/wp-content/themes/twentythirteen/m8
http:[//159.89.182.117/wp-content/themes/twentyseventeen/ldm
</code></pre>
<!--kg-card-end: markdown--><p></p>
年末曝光的Log4j漏洞无疑可以算是今年的安全界大事了。作为专注于蜜罐和botnet检测跟踪的团队，我们自该漏洞被公开后就一直关注它会被哪些botnet利用。今早我们等来了首批答案，我们的Anglerfish和Apacket蜜罐先后捕获到2波利用Log4j漏洞组建botnet的攻击，快速的样本分析表明它们分别用于组建 Muhstik 和Mirai botnet，针对的都是Linux设备。


样本分析



MIRAI


这一波传播的为miria新变种，相比最初代码，它做了如下变动：


 1. 移除了 table_init/table_lock_val/table_unlock_val 等mirai特有的配置管理函数。
 2. attack_init 函数也被抛弃，ddos攻击函数会被指令处理函数直接调用。


同时，其C2域名选用了一个 uy 顶级域的域名，这在国内也是很少见的。



Muhstik


Muhstik 这个网络最早被披露于 2018 年，系一个借鉴了Mirai代码的Tsunami变种。在本次捕获的样本中，我们注意到新Muhstik变种增加了一个后门模块ldm，它具有增加SSH后门公钥的能力，其安装的后门公钥为：


ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQBtGZHLQlMLkrONMAChDVPZf+9gNG5s2rdTMBkOp6P7mKIQ/OkbgiozmZ3syhELI4L0M1TmJiRbbrIta8662z4WAKhXpiU22llfwrkN0m8yKJApd8lDzvvdBw+ShzJr+WaEWX7uW3WCe5NCxGxc6AU7c2vmuLlO0B203pIGVIbV1xJmj6MXrdZpNy7QRo9zStWmgmVY4GR4v26R3XDOn1gshuQ6PgUqgewQ+AlslLVuekdH23sLQfejXyJShcoFI6BbH67YTcoh4G/TuQdGe8lIeAAmp7lzzHMyu+2iSNoFFCeF48JSA2YZvssFOsGuAtV/9uPNQoi9EyvgM2mGDgJ



该公钥被增加到 ~/.ssh/authorized_keys 文件后，攻击者即可无需密码认证直接登陆远程服务器，实现对目标服务器的持续操控。


考虑到 log4j2 的漏洞机理比较特殊，“攻击者只需漫无目的的散播 payload 即会有机器被攻击，有点愿者上钩的意思。所以，攻击者很难直接判断被攻击的机器实际在哪里”，为确保后续可以使用这个后门，攻击者还要建立一个汇报机制，将受控机器的实际位置/用户名汇报到攻击者指定的服务器。Muhstik 通过 TOR 网络完成该汇报任务，这可能会给溯源工作增加一层难度。


Muhstik 在访问 TOR 网络前，会通过一些公开的 DoH服务查询 relay.l33t-ppl.inf 的内容。在这个过程中，会产生一些与之相关的 DNS 请求。考虑到这些请求可能为判断失陷主机提供一些帮助。所以这里把相关域名列在下面。注意：这些域名不是CC域名，不是黑域名，而是正常的 DoH 服务。各运维相关读者需要根据自身业务情况酌情处理。


doh.defaultroutes.de
dns.hostux.net
dns.dns-over-https.com
uncensored.lux1.dns.nixnet.xyz
dns.rubyfish.cn dns.twnic.tw
doh.centraleu.pi-dns.com
doh.dns.sb doh-fi.blahdns.com
fi.doh.dns.snopyta.org
dns.flatuslifir.is
doh.li
dns.digitale-gesellschaft.ch



当无法直接从 TOR 网络汇报攻陷信息时，Muhstik 还会通过 TOR 的公网映射域名进行提交，相关域名列表如下：


bvprzqhoz7j2ltin.onion.ws
bvprzqhoz7j2ltin.onion.ly
bvprzqhoz7j2ltin.tor2web.s



Muhstik的ELF样本则集成了如下命令：




能看到样本支持DDoS和后门指令。样本的C2保存在mirai风格的配置中，明文的配置信息如下：


 [0x02]: "listening tun0\x00", size=15
 [0x03]: "irc.de-za"\x1f\x90"listening tun0\x00"l", size=30
 [0x04]: "\x1f\x90", size=2
 [0x05]: "log.exposedbotnets.ru\x00", size=22
 [0x06]: "log.exposedbotnets.ru\x00", size=22
 [0x07]: "log.exposedbotnets.ru\x00", size=22
 [0x08]: "log.exposedbotnets.ru\x00", size=22
 [0x0a]: "/proc/\x00", size=7
 [0x0c]: "/exe\x00", size=5
 [0x0d]: "/status\x00", size=8
 [0x0e]: "/fd\x00", size=4
 [0x0f]: "\x58\x4D\x4E\x4E\x43\x50\x46\x22\x00", size=33
 [0x10]: "zollard\x00", size=8
 [0x11]: "muhstik-11052018\x00", size=17
 [0x12]: "\x02^nL\x0b\x1a\x06_nL\x02\x0f\x00", size=13
 [0x13]: "eth1\x00", size=5
 [0x14]: "lan0\x00", size=5
 [0x15]: "-\x00", size=2
 [0x16]: "eth0\x00", size=5
 [0x17]: "inet0\x00", size=6
 [0x18]: "lano\x00", size=5
 [0x19]: "log.exposedbotnets.ru\x00", size=22
 [0x1a]: "log.exposedbotnets.ru\x00", size=22
 [0x1b]: "d4cf8e4ab26f7fd15ef7df9f7937493d\x00", size=33
 [0x1c]: "log.exposedbotnets.ru\x00", size=22
 [0x1d]: "37.44.244.124\x00", size=14
 [0x1e]: "37.44.244.124\x00", size=14
 [0x1f]: "37.44.244.124\x00", size=14
 [0x20]: "37.44.244.124\x00", size=14
 [0x21]: "37.44.244.124\x00", size=14
 [0x22]: "log.exposedbotnets.ru\x00", size=22
 [0x23]: "log.exposedbotnets.ru\x00", size=22



其中log.exposedbotnets.ru便是C2，它刚好解析到37.44.244.124。作者注册一个log开头的域名也许是故意切合Log4j这个漏洞。



结论


鉴于Log4j的漏洞影响面比较大，我们预计后续会有更多的botnet使用它来传播。对此我们会持续保持关注，有新的观察会第一时间在这里公布。



IOC:



Mirai


C2:


nazi.uy



URL:


http:[//62.210.130.250/lh.sh
http:[//62.210.130.250:80/web/admin/x86_64
http:[//62.210.130.250:80/web/admin/x86
http:[//62.210.130.250:80/web/admin/x86_g




Muhstik


C2:


log.exposedbotnets.ru



URL:


http:[//45.130.229.168:9999/Exploit.class
http:[//18.228.7.109/.log/log
http:[//18.228.7.109/.log/pty1;
http:[//18.228.7.109/.log/pty2;
http:[//18.228.7.109/.log/pty3;
http:[//18.228.7.109/.log/pty4;
http:[//18.228.7.109/.log/pty5;
http:[//210.141.105.67:80/wp-content/themes/twentythirteen/m8
http:[//159.89.182.117/wp-content/themes/twentyseventeen/ldm




{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"## 样本分析\n\n### MIRAI\n这一波传播的为miria新变种，相比最初代码，它做了如下变动：\n1. 移除了 table_init/table_lock_val/table_unlock_val 等mirai特有的配置管理函数。\n2. attack_init 函数也被抛弃，ddos攻击函数会被指令处理函数直接调用。\n\n同时，其C2域名选用了一个 uy 顶级域的域名，这在国内也是很少见的。\n\n### Muhstik\n\nMuhstik 这个网络最早被披露于 [2018](__GHOST_URL__/botnet-muhstik-is-actively-exploiting-drupal-cve-2018-7600-in-a-worm-style/) 年，系一个借鉴了Mirai代码的Tsunami变种。在本次捕获的样本中，我们注意到新Muhstik变种增加了一个后门模块ldm，它具有增加SSH后门公钥的能力，其安装的后门公钥为：\n```\nssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQBtGZHLQlMLkrONMAChDVPZf+9gNG5s2rdTMBkOp6P7mKIQ/OkbgiozmZ3syhELI4L0M1TmJiRbbrIta8662z4WAKhXpiU22llfwrkN0m8yKJApd8lDzvvdBw+ShzJr+WaEWX7uW3WCe5NCxGxc6AU7c2vmuLlO0B203pIGVIbV1xJmj6MXrdZpNy7QRo9zStWmgmVY4GR4v26R3XDOn1gshuQ6PgUqgewQ+AlslLVuekdH23sLQfejXyJShcoFI6BbH67YTcoh4G/TuQdGe8lIeAAmp7lzzHMyu+2iSNoFFCeF48JSA2YZvssFOsGuAtV/9uPNQoi9EyvgM2mGDgJ\n```\n\n该公钥被增加到 ~/.ssh/authorized_keys 文件后，攻击者即可无需密码认证直接登陆远程服务器，实现对目标服务器的持续操控。\n\n考虑到 log4j2 的漏洞机理比较特殊，“攻击者只需漫无目的的散播 payload 即会有机器被攻击，有点愿者上钩的意思。所以，攻击者很难直接判断被攻击的机器实际在哪里”，为确保后续可以使用这个后门，攻击者还要建立一个汇报机制，将受控机器的实际位置/用户名汇报到攻击者指定的服务器。Muhstik 通过 TOR 网络完成该汇报任务，这可能会给溯源工作增加一层难度。\n\nMuhstik 在访问 TOR 网络前，会通过一些公开的 DoH服务查询 `relay.l33t-ppl.inf` 的内容。在这个过程中，会产生一些与之相关的 DNS 请求。考虑到这些请求可能为判断失陷主机提供一些帮助。所以这里把相关域名列在下面。注意：这些域名不是CC域名，不是黑域名，而是正常的 DoH 服务。各运维相关读者需要根据自身业务情况酌情处理。\n\n```\ndoh.defaultroutes.de\ndns.hostux.net\ndns.dns-over-https.com\nuncensored.lux1.dns.nixnet.xyz\ndns.rubyfish.cn dns.twnic.tw\ndoh.centraleu.pi-dns.com\ndoh.dns.sb doh-fi.blahdns.com\nfi.doh.dns.snopyta.org\ndns.flatuslifir.is\ndoh.li\ndns.digitale-gesellschaft.ch\n```\n\n当无法直接从 TOR 网络汇报攻陷信息时，Muhstik 还会通过 TOR 的公网映射域名进行提交，相关域名列表如下：\n```\nbvprzqhoz7j2ltin.onion.ws\nbvprzqhoz7j2ltin.onion.ly\nbvprzqhoz7j2ltin.tor2web.s\n```\n\nMuhstik的ELF样本则集成了如下命令：\n![tsunami_command-1-1](__GHOST_URL__/content/images/2021/12/tsunami_command-1-1.png)\n\n能看到样本支持DDoS和后门指令。样本的C2保存在mirai风格的配置中，明文的配置信息如下：\n```\n [0x02]: \"listening tun0\\x00\", size=15\n [0x03]: \"irc.de-za\"\\x1f\\x90\"listening tun0\\x00\"l\", size=30\n [0x04]: \"\\x1f\\x90\", size=2\n [0x05]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x06]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x07]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x08]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x0a]: \"/proc/\\x00\", size=7\n [0x0c]: \"/exe\\x00\", size=5\n [0x0d]: \"/status\\x00\", size=8\n [0x0e]: \"/fd\\x00\", size=4\n [0x0f]: \"\\x58\\x4D\\x4E\\x4E\\x43\\x50\\x46\\x22\\x00\", size=33\n [0x10]: \"zollard\\x00\", size=8\n [0x11]: \"muhstik-11052018\\x00\", size=17\n [0x12]: \"\\x02^nL\\x0b\\x1a\\x06_nL\\x02\\x0f\\x00\", size=13\n [0x13]: \"eth1\\x00\", size=5\n [0x14]: \"lan0\\x00\", size=5\n [0x15]: \"-\\x00\", size=2\n [0x16]: \"eth0\\x00\", size=5\n [0x17]: \"inet0\\x00\", size=6\n [0x18]: \"lano\\x00\", size=5\n [0x19]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x1a]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x1b]: \"d4cf8e4ab26f7fd15ef7df9f7937493d\\x00\", size=33\n [0x1c]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x1d]: \"37.44.244.124\\x00\", size=14\n [0x1e]: \"37.44.244.124\\x00\", size=14\n [0x1f]: \"37.44.244.124\\x00\", size=14\n [0x20]: \"37.44.244.124\\x00\", size=14\n [0x21]: \"37.44.244.124\\x00\", size=14\n [0x22]: \"log.exposedbotnets.ru\\x00\", size=22\n [0x23]: \"log.exposedbotnets.ru\\x00\", size=22\n```\n\n其中log.exposedbotnets.ru便是C2，它刚好解析到37.44.244.124。作者注册一个log开头的域名也许是故意切合Log4j这个漏洞。\n\n## 结论\n鉴于Log4j的漏洞影响面比较大，我们预计后续会有更多的botnet使用它来传播。对此我们会持续保持关注，有新的观察会第一时间在这里公布。"}],["markdown",{"markdown":"## IOC:\n### Mirai\nC2:\n```\nnazi.uy\n```\n\nURL:\n```\nhttp:[//62.210.130.250/lh.sh\nhttp:[//62.210.130.250:80/web/admin/x86_64\nhttp:[//62.210.130.250:80/web/admin/x86\nhttp:[//62.210.130.250:80/web/admin/x86_g\n```\n\n### Muhstik\nC2:\n```\nlog.exposedbotnets.ru\n```\n\nURL:\n```\nhttp:[//45.130.229.168:9999/Exploit.class\nhttp:[//18.228.7.109/.log/log\nhttp:[//18.228.7.109/.log/pty1;\nhttp:[//18.228.7.109/.log/pty2;\nhttp:[//18.228.7.109/.log/pty3;\nhttp:[//18.228.7.109/.log/pty4;\nhttp:[//18.228.7.109/.log/pty5;\nhttp:[//210.141.105.67:80/wp-content/themes/twentythirteen/m8\nhttp:[//159.89.182.117/wp-content/themes/twentyseventeen/ldm\n```"}]],"markups":[],"sections":[[1,"p",[[0,[],0,"年末曝光的Log4j漏洞无疑可以算是今年的安全界大事了。作为专注于蜜罐和botnet检测跟踪的团队，我们自该漏洞被公开后就一直关注它会被哪些botnet利用。今早我们等来了首批答案，我们的Anglerfish和Apacket蜜罐先后捕获到2波利用Log4j漏洞组建botnet的攻击，快速的样本分析表明它们分别用于组建 Muhstik 和Mirai botnet，针对的都是Linux设备。"]]],[10,0],[10,1],[1,"p",[]],[1,"p",[]]],"ghostVersion":"3.0"}