TheMoon : 一个僵尸网络的老皇历和新变种
<!--kg-card-begin: markdown--><p>TheMoon 是一个恶意代码家族的代号。早在2014年2月，该恶意代码家族就引起了安全研究人员的普遍关注。在当时，TheMoon是一个针对 Linksys 路由器的、有类似蠕虫式传播行为的僵尸网络。由于其感染传播能力较强，安全社区里的讨论较多。</p>
<p>2014～2017年期间，又陆续有各安全厂商对TheMoon恶意代码家族做了分析。报告反应了当时 TheMoon 家族的演化情况。</p>
<p>从2017年开始，我们也对 TheMoon 家族做了持续跟踪，并注意到以下的新发现：</p>
<ul>
<li>感染阶段： TheMoon 集成了最近的一组漏洞利用代码，提高其感染能力；</li>
<li>运营阶段： TheMoon 的代理网络，由正向代理改为反向代理，避免被安全研究人员探测度量；</li>
<li>样本特征： TheMoon 开始使用压缩外壳，提高安全研究人员分析的难度</li>
</ul>
<p>下文仅仅是我们对 TheMoon 恶意代码家族监控结果的概括描述，详细的技术分析文档可见 <a href="__GHOST_URL__/file/TheMoon-botnet.pdf">TheMoon-botnet.pdf</a></p>
<h4 id="2017themoon">2017年以前的 TheMoon</h4>
<p>2014-02-13 ，这是我们能查到的 TheMoon 相关最早记录。当时，SANS 安全研究机构的博士 Johannes B. Ullrich <a href="https://isc.sans.edu/forums/diary/Linksys+Worm+TheMoon+Captured/17630">报告发现</a> 了该恶意代码，并在随后给出了<a href="https://isc.sans.edu/diary/Linksys+Worm+%22TheMoon%22+Summary%3A+What+we+know+so+far/17633">更新</a> 。TheMoon家族的一些关键特点，在最初被发现的这个阶段就已经确定下来了：</p>
<ul>
<li>攻击目标：最初是 Linksys E1000 系列路由器，后续发展也是以 IoT 设备、特别是家用路由器为主。设备目标常见是 MIPS 架构</li>
<li>蠕虫式的感染传播：被感染的设备，会在一个较短的时间窗口期内提供二进制下载。这种蠕虫式的感染，这使得其传播能力大大增强</li>
<li>简单的自我保护：会设定 iptables 规则限制漏洞利用端口的访问，仅允许作者控制的几个IP地址所在地址段访问，减少被其他攻击者利用相同漏洞的风险</li>
<li>命名来源：样本文件内嵌了几张图片，加上文件中的一些其他字符串 &quot;lunar&quot;, &quot;moon&quot;, &quot;planets&quot;，这些共同的信息指向一部2009年的电影 <a href="http://www.imdb.com/title/tt1182345/">&quot;Moon&quot;</a>，这是这个家族被命名为 TheMoon 的原因。</li>
</ul>
<p>由于该恶意代码家族被定位是蠕虫，这引起了安全社区的广泛讨论。几天之内，相关的设备漏洞和利用代码就被各大安全厂商收录，例如 <a href="https://www.securityfocus.com/bid/65585">securityfocus</a>， <a href="https://packetstormsecurity.com/files/125253">packetstormsecurity</a>, <a href="https://secuniaresearch.flexerasoftware.com/advisories/56994">flexerasoftware</a>， <a href="https://www.vulnerabilitycenter.com/#!vul=43986">vulnerabilitycenter</a>， <a href="https://www.exploit-db.com/exploits/31683/">exploit-db</a>， <a href="https://exchange.xforce.ibmcloud.com/vulnerabilities/91196?spm=0.0.0.0.SsE6B5">IBM X-force</a>，等等。</p>
<p>2015-07-16，阿里安全的谢君，在 <a href="https://security.alibaba.com/blog/blog?id=26&amp;type=security"><br>
解密“智魁”攻击行动——针对路由器蠕虫攻击事件分析报告</a> 中，分析了该恶意代码家族当时的变种。这个阶段 TheMoon 家族表现出来的新特征包括：</p>
<ul>
<li>socks代理：开始利用被感染节点搭建 Socks 代理网络；上述代理网络是主动式的，被感染节点上开启的代理节点有特征可循，文章中根据该特征，对全网扫描并给出了度量；</li>
<li>感染手段：开始使用华硕路由器漏洞 <a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9583">CVE-2014-9583</a>，UDP 9999 ，以及 <a href="https://sekurak.pl/tp-link-httptftp-backdoor/?spm=0.0.0.0.aOpRH8">TP-Link路由器漏洞</a>。2014年版本所使用的原有 Linksys 漏洞仍然在利用。</li>
<li>文中还列出了若干打码后的 C2 服务器IP地址</li>
</ul>
<p>虽然文章中通篇没有提及 TheMoon 的名字，但是恶意代码的二进制特征一致，可以判定是 TheMoon 家族。另外，文章中还将攻击行为追溯到具体人，但是这部分的归因过程没有给出具体分析过程，故而这部分的结论待考。</p>
<p>2016-10-20 Fortinet 的 Bing Liu 在 <a href="https://blog.fortinet.com/2016/10/20/themoon-a-p2p-botnet-targeting-home-routers">TheMoon A P2P botnet targeting Home Routers</a> 中分析了当时的 TheMoon 恶意代码变种。文中提及了一些新特性：</p>
<ul>
<li>P2P 特性：代码中集成了P2P 特性（但不成熟，也未启用）</li>
<li>C2通信协议：详细的分析了恶意代码的 C2 通信协议</li>
<li>下载服务器：hxxp://78.128.92.137/.nttpd</li>
<li>若干硬编码的 NTP IP 地址：
<ul>
<li>207.46.232.182 (未显式标注)</li>
<li>82.68.206.125</li>
<li>194.25.252.5</li>
<li>129.6.15.28</li>
<li>129.6.15.28</li>
</ul>
</li>
<li>若干硬编码的 C2 IP 地址：
<ul>
<li>185.53.8.22 (未显式标注)</li>
<li>185.56.30.189</li>
<li>217.79.182.212</li>
<li>85.114.135.20</li>
<li>95.213.143.220</li>
<li>46.148.18.154</li>
</ul>
</li>
</ul>
<p>值得一提是，尽管这份恶意代码中集成了 P2P 特性，但相关代码是不成熟的，未能遵循应用密码学最佳实践，存在被接管的可能性。这部分代码特性并未启用，作者与 bot 的通信仍主要主要基于硬编码的 C2 IP<br>
地址。</p>
<h4 id="2017themoon">2017年以来我们观测到的 TheMoon 家族</h4>
<p>从 2017年4月 以来，我们开始持续观察到 TheMoon 家族。我们监控到的新变化包括：</p>
<ul>
<li>样本特征：TheMoon 开始使用压缩外壳，提高安全研究人员分析的难度</li>
<li>感染手段：集成了至少 6 种 IoT 设备漏洞利用手段，扩大感染基数</li>
<li>代理网络：从正向改为反向。感染节点通过咨询上联节点得知需要访问的网页和参数，感染节点上不再直接开放端口。这样我们也无法通过全网扫描的方式来度量僵尸网络的规模。</li>
<li>代理流量：代理网络中流传的流量大致分为有明文和密文两部分，流量均不高。明文部分，经人肉筛选，和色情、赌博、挖矿等内容有关，另有一小部分看起来像门户网站；密文部分的流量推测与电商或者在线邮箱有关。时间分布不明显，似乎24小时都有流量发生。</li>
<li>P2P 机制：仍然存在，仍然存在被接管可能，仍然没有启用</li>
</ul>
<p>C2 IP 地址方面，我们累计观察到以下 IP 地址被攻击者以年为单位长期占用：</p>
<ul>
<li>149.202.211.227</li>
<li>173.208.219.26</li>
<li>173.208.219.42</li>
<li>173.208.219.50</li>
<li>173.208.219.58</li>
<li>185.53.8.22</li>
<li>185.56.30.189</li>
<li>185.56.30.189</li>
<li>208.110.66.34</li>
<li>217.79.182.212</li>
<li>46.148.18.154</li>
<li>69.197.128.34</li>
<li>85.114.135.20</li>
<li>91.215.158.118</li>
<li>95.213.143.220</li>
</ul>
<p>值得一提的是之前其他文章中披露的 C2 IP 地址已经被作者放弃使用，但是 185.53.8.22 这个IP地址没有被显式披露，作者就一直使用并未放弃。</p>
<p>感染过程中至少使用了6种 IoT 设备漏洞利用，相关的设备类型和漏洞利用如下：</p>
<ul>
<li>Linksys E-series 的 <a href="https://www.exploit-db.com/exploits/31683/">漏洞利用</a> ，这是 2014 年首次被批露时使用的漏洞</li>
<li>ASUS WRT UDP 9999的 <a href="https://github.com/jduck/asus-cmd">漏洞利用</a>，这是 TheMoon从2015年至2017年主要使用的漏洞利用</li>
<li>D-Link 850L的 <a href="https://blogs.securiteam.com/index.php/archives/3364">漏洞利用</a></li>
<li>D-Link 815的 <a href="https://github.com/Cr0n1c/dlink_shell_poc/blob/master/dlink_auth_rce">漏洞利用</a></li>
<li>VIVOTEK Network Cameras的 <a href="http://blog.cal1.cn/post/An%20easy%20way%20to%20pwn%20most%20of%20the%20vivotek%20network%20cameras">漏洞利用</a></li>
<li>D-Link DIR-890L D-Link DIR-645的 <a href="http://www.devttys0.com/2015/04/hacking-the-d-link-dir-890l/">漏洞利用</a></li>
</ul>
<h4 id="">详细技术分析文档</h4>
<p><a href="__GHOST_URL__/file/TheMoon-botnet.pdf">TheMoon-botnet.pdf</a></p>
<h4 id="ioc">IoC</h4>
<p>样本MD5和下载URL</p>
<pre><code>2017-04-02 7bca40bba278b0021a87bcbc35b2e144  hxxp://domstates.su/nmlt1.sh
2017-04-02 70461da8b94c6ca5d2fda3260c5a8c3b  hxxp://domstates.su/.nttpd
2017-04-02 c8f17d7403ac5ff2896a713a7175ed19  hxxp://domstates.su/archi.txt
2017-04-06 bc56979a0b381a791dd59713198a87fb  hxxp://domstates.su/nmlt1.sh
2017-04-06 bc56979a0b381a791dd59713198a87fb  hxxp://domstates.su/archi.txt
2017-04-09 11f060ffd8a87f824c1df3063560bc9e  hxxp://domstates.su/.nttpd,19-mips-le-t1
2017-04-09 c0c1d535d5f76c5a69ad6421ff6209fb  hxxp://domstates.su/.nttpd,17-mips-be-t2
2017-04-09 4d90e3a14ebb282bcdf3095e377c8d26  hxxp://domstates.su/.nttpd,18-arm-le-t1 
2017-08-11 106d9eb6a7c14f4722898b89ccacb17e  hxxp://domstates.su/nmlt1.sh
2017-08-11 6f2fabf40ad39a5738e40dbe2c0a1b53  hxxp://domstates.su/.nttpd,20-mips-le-t1
2017-08-11 b731e5136f0ced58618af98c7426d628  hxxp://domstates.su/.nttpd,19-arm-le-t1 
2017-10-03 9c79b0a54e70cf0a65ba058e57aee6f1  hxxp://domstates.su/nmlt1.sh
2017-10-03 27002860c26c2298a398c0a8f0093ef6  hxxp://domstates.su/.nttpd,19-arm-le-t1 
2017-10-03 54631bbc01b934ee3dbcafdc6055599c  hxxp://domstates.su/.nttpd,18-mips-be-t2
2017-10-05 e2673d513125bcae0865ccf0139cef0c  hxxp://domstates.su/nmlt1.sh
2017-10-05 b8e16a37997ada06505667575f8577d6  hxxp://domstates.su/.nttpd,19-arm-le-t1 
2017-10-05 98c678ee656325b0aee1fe98f2ca6f55  hxxp://domstates.su/.nttpd,18-mips-be-t2
2017-10-09 96219e644bf69ff7359ecc5e9687bcd0  hxxp://domstates.su/nmlt1.sh
2017-10-09 f9d87043d2e99098f35a27237925992f  hxxp://domstates.su/.nttpd,20-arm-le-t1-z
2017-10-09 089d304877930d3dfe232a2e98e63f6f  hxxp://domstates.su/.nttpd,19-mips-be-t2-z
2017-10-14 275cc8ed50368fa72e46551e41824683  hxxp://domstates.su/nmlt1.sh
2017-10-14 7fa47de462e743607eb9a2f93b7193ce  hxxp://domstates.su/.nttpd,20-mips-be-t2-z
2017-10-16 810ea41f35f9fe40855900db9406d7a0  hxxp://domstates.su/nmlt1.sh
2017-10-21 dbf24da7b27c12ae65c98675eb435c81  hxxp://domstates.su/nmlt1.sh
2017-11-12 8ad5b160dd7a976044d6a2dd631efc4b  hxxp://domstates.su/nmlt1.sh
2017-11-12 20f9f7ae0c6d385b0bedcdd618c478dc  hxxp://domstates.su/.nttpd,21-arm-le-t1-z
2017-11-12 53494b8867654d06ea1b5aec0ed981c1  hxxp://domstates.su/.nttpd,21-mips-be-t2-z
2017-11-12 016cc0097560bbbb07b4891256600eb8  hxxp://domstates.su/d8ug.sh 
2017-11-27 2ceb4822e1e0f72e8b88968165d9a99f  hxxp://domstates.su/nmlt1.sh
2017-11-27 057d56b7de1e9460bd13c5c6eafd4559  hxxp://domstates.su/.nttpd,21-mips-le-t1

</code></pre>
<p>C2 IP</p>
<pre><code>149.202.211.227
173.208.219.26
173.208.219.42
173.208.219.50
173.208.219.58
185.53.8.22
185.56.30.189
185.56.30.189
208.110.66.34
217.79.182.212
46.148.18.154
69.197.128.34
85.114.135.20
91.215.158.118
95.213.143.220
</code></pre>
<!--kg-card-end: markdown-->
TheMoon 是一个恶意代码家族的代号。早在2014年2月，该恶意代码家族就引起了安全研究人员的普遍关注。在当时，TheMoon是一个针对 Linksys 路由器的、有类似蠕虫式传播行为的僵尸网络。由于其感染传播能力较强，安全社区里的讨论较多。


2014～2017年期间，又陆续有各安全厂商对TheMoon恶意代码家族做了分析。报告反应了当时 TheMoon 家族的演化情况。


从2017年开始，我们也对 TheMoon 家族做了持续跟踪，并注意到以下的新发现：


 * 感染阶段： TheMoon 集成了最近的一组漏洞利用代码，提高其感染能力；
 * 运营阶段： TheMoon 的代理网络，由正向代理改为反向代理，避免被安全研究人员探测度量；
 * 样本特征： TheMoon 开始使用压缩外壳，提高安全研究人员分析的难度


下文仅仅是我们对 TheMoon 恶意代码家族监控结果的概括描述，详细的技术分析文档可见 TheMoon-botnet.pdf


2017年以前的 TheMoon


2014-02-13 ，这是我们能查到的 TheMoon 相关最早记录。当时，SANS 安全研究机构的博士 Johannes B. Ullrich 报告发现 了该恶意代码，并在随后给出了更新 。TheMoon家族的一些关键特点，在最初被发现的这个阶段就已经确定下来了：


 * 攻击目标：最初是 Linksys E1000 系列路由器，后续发展也是以 IoT 设备、特别是家用路由器为主。设备目标常见是 MIPS 架构
 * 蠕虫式的感染传播：被感染的设备，会在一个较短的时间窗口期内提供二进制下载。这种蠕虫式的感染，这使得其传播能力大大增强
 * 简单的自我保护：会设定 iptables 规则限制漏洞利用端口的访问，仅允许作者控制的几个IP地址所在地址段访问，减少被其他攻击者利用相同漏洞的风险
 * 命名来源：样本文件内嵌了几张图片，加上文件中的一些其他字符串 "lunar", "moon", "planets"，这些共同的信息指向一部2009年的电影 "Moon"，这是这个家族被命名为 TheMoon 的原因。


由于该恶意代码家族被定位是蠕虫，这引起了安全社区的广泛讨论。几天之内，相关的设备漏洞和利用代码就被各大安全厂商收录，例如 securityfocus， packetstormsecurity, flexerasoftware， vulnerabilitycenter， exploit-db， IBM X-force，等等。


2015-07-16，阿里安全的谢君，在

解密“智魁”攻击行动——针对路由器蠕虫攻击事件分析报告 中，分析了该恶意代码家族当时的变种。这个阶段 TheMoon 家族表现出来的新特征包括：


 * socks代理：开始利用被感染节点搭建 Socks 代理网络；上述代理网络是主动式的，被感染节点上开启的代理节点有特征可循，文章中根据该特征，对全网扫描并给出了度量；
 * 感染手段：开始使用华硕路由器漏洞 CVE-2014-9583，UDP 9999 ，以及 TP-Link路由器漏洞。2014年版本所使用的原有 Linksys 漏洞仍然在利用。
 * 文中还列出了若干打码后的 C2 服务器IP地址


虽然文章中通篇没有提及 TheMoon 的名字，但是恶意代码的二进制特征一致，可以判定是 TheMoon 家族。另外，文章中还将攻击行为追溯到具体人，但是这部分的归因过程没有给出具体分析过程，故而这部分的结论待考。


2016-10-20 Fortinet 的 Bing Liu 在 TheMoon A P2P botnet targeting Home Routers 中分析了当时的 TheMoon 恶意代码变种。文中提及了一些新特性：


 * P2P 特性：代码中集成了P2P 特性（但不成熟，也未启用）
 * C2通信协议：详细的分析了恶意代码的 C2 通信协议
 * 下载服务器：hxxp://78.128.92.137/.nttpd
 * 若干硬编码的 NTP IP 地址：
   
   * 207.46.232.182 (未显式标注)
   * 82.68.206.125
   * 194.25.252.5
   * 129.6.15.28
   * 129.6.15.28
   
 * 若干硬编码的 C2 IP 地址：
   
   * 185.53.8.22 (未显式标注)
   * 185.56.30.189
   * 217.79.182.212
   * 85.114.135.20
   * 95.213.143.220
   * 46.148.18.154
   


值得一提是，尽管这份恶意代码中集成了 P2P 特性，但相关代码是不成熟的，未能遵循应用密码学最佳实践，存在被接管的可能性。这部分代码特性并未启用，作者与 bot 的通信仍主要主要基于硬编码的 C2 IP

地址。


2017年以来我们观测到的 TheMoon 家族


从 2017年4月 以来，我们开始持续观察到 TheMoon 家族。我们监控到的新变化包括：


 * 样本特征：TheMoon 开始使用压缩外壳，提高安全研究人员分析的难度
 * 感染手段：集成了至少 6 种 IoT 设备漏洞利用手段，扩大感染基数
 * 代理网络：从正向改为反向。感染节点通过咨询上联节点得知需要访问的网页和参数，感染节点上不再直接开放端口。这样我们也无法通过全网扫描的方式来度量僵尸网络的规模。
 * 代理流量：代理网络中流传的流量大致分为有明文和密文两部分，流量均不高。明文部分，经人肉筛选，和色情、赌博、挖矿等内容有关，另有一小部分看起来像门户网站；密文部分的流量推测与电商或者在线邮箱有关。时间分布不明显，似乎24小时都有流量发生。
 * P2P 机制：仍然存在，仍然存在被接管可能，仍然没有启用


C2 IP 地址方面，我们累计观察到以下 IP 地址被攻击者以年为单位长期占用：


 * 149.202.211.227
 * 173.208.219.26
 * 173.208.219.42
 * 173.208.219.50
 * 173.208.219.58
 * 185.53.8.22
 * 185.56.30.189
 * 185.56.30.189
 * 208.110.66.34
 * 217.79.182.212
 * 46.148.18.154
 * 69.197.128.34
 * 85.114.135.20
 * 91.215.158.118
 * 95.213.143.220


值得一提的是之前其他文章中披露的 C2 IP 地址已经被作者放弃使用，但是 185.53.8.22 这个IP地址没有被显式披露，作者就一直使用并未放弃。


感染过程中至少使用了6种 IoT 设备漏洞利用，相关的设备类型和漏洞利用如下：


 * Linksys E-series 的 漏洞利用 ，这是 2014 年首次被批露时使用的漏洞
 * ASUS WRT UDP 9999的 漏洞利用，这是 TheMoon从2015年至2017年主要使用的漏洞利用
 * D-Link 850L的 漏洞利用
 * D-Link 815的 漏洞利用
 * VIVOTEK Network Cameras的 漏洞利用
 * D-Link DIR-890L D-Link DIR-645的 漏洞利用


详细技术分析文档


TheMoon-botnet.pdf


IoC


样本MD5和下载URL


2017-04-02 7bca40bba278b0021a87bcbc35b2e144  hxxp://domstates.su/nmlt1.sh
2017-04-02 70461da8b94c6ca5d2fda3260c5a8c3b  hxxp://domstates.su/.nttpd
2017-04-02 c8f17d7403ac5ff2896a713a7175ed19  hxxp://domstates.su/archi.txt
2017-04-06 bc56979a0b381a791dd59713198a87fb  hxxp://domstates.su/nmlt1.sh
2017-04-06 bc56979a0b381a791dd59713198a87fb  hxxp://domstates.su/archi.txt
2017-04-09 11f060ffd8a87f824c1df3063560bc9e  hxxp://domstates.su/.nttpd,19-mips-le-t1
2017-04-09 c0c1d535d5f76c5a69ad6421ff6209fb  hxxp://domstates.su/.nttpd,17-mips-be-t2
2017-04-09 4d90e3a14ebb282bcdf3095e377c8d26  hxxp://domstates.su/.nttpd,18-arm-le-t1 
2017-08-11 106d9eb6a7c14f4722898b89ccacb17e  hxxp://domstates.su/nmlt1.sh
2017-08-11 6f2fabf40ad39a5738e40dbe2c0a1b53  hxxp://domstates.su/.nttpd,20-mips-le-t1
2017-08-11 b731e5136f0ced58618af98c7426d628  hxxp://domstates.su/.nttpd,19-arm-le-t1 
2017-10-03 9c79b0a54e70cf0a65ba058e57aee6f1  hxxp://domstates.su/nmlt1.sh
2017-10-03 27002860c26c2298a398c0a8f0093ef6  hxxp://domstates.su/.nttpd,19-arm-le-t1 
2017-10-03 54631bbc01b934ee3dbcafdc6055599c  hxxp://domstates.su/.nttpd,18-mips-be-t2
2017-10-05 e2673d513125bcae0865ccf0139cef0c  hxxp://domstates.su/nmlt1.sh
2017-10-05 b8e16a37997ada06505667575f8577d6  hxxp://domstates.su/.nttpd,19-arm-le-t1 
2017-10-05 98c678ee656325b0aee1fe98f2ca6f55  hxxp://domstates.su/.nttpd,18-mips-be-t2
2017-10-09 96219e644bf69ff7359ecc5e9687bcd0  hxxp://domstates.su/nmlt1.sh
2017-10-09 f9d87043d2e99098f35a27237925992f  hxxp://domstates.su/.nttpd,20-arm-le-t1-z
2017-10-09 089d304877930d3dfe232a2e98e63f6f  hxxp://domstates.su/.nttpd,19-mips-be-t2-z
2017-10-14 275cc8ed50368fa72e46551e41824683  hxxp://domstates.su/nmlt1.sh
2017-10-14 7fa47de462e743607eb9a2f93b7193ce  hxxp://domstates.su/.nttpd,20-mips-be-t2-z
2017-10-16 810ea41f35f9fe40855900db9406d7a0  hxxp://domstates.su/nmlt1.sh
2017-10-21 dbf24da7b27c12ae65c98675eb435c81  hxxp://domstates.su/nmlt1.sh
2017-11-12 8ad5b160dd7a976044d6a2dd631efc4b  hxxp://domstates.su/nmlt1.sh
2017-11-12 20f9f7ae0c6d385b0bedcdd618c478dc  hxxp://domstates.su/.nttpd,21-arm-le-t1-z
2017-11-12 53494b8867654d06ea1b5aec0ed981c1  hxxp://domstates.su/.nttpd,21-mips-be-t2-z
2017-11-12 016cc0097560bbbb07b4891256600eb8  hxxp://domstates.su/d8ug.sh 
2017-11-27 2ceb4822e1e0f72e8b88968165d9a99f  hxxp://domstates.su/nmlt1.sh
2017-11-27 057d56b7de1e9460bd13c5c6eafd4559  hxxp://domstates.su/.nttpd,21-mips-le-t1




C2 IP


149.202.211.227
173.208.219.26
173.208.219.42
173.208.219.50
173.208.219.58
185.53.8.22
185.56.30.189
185.56.30.189
208.110.66.34
217.79.182.212
46.148.18.154
69.197.128.34
85.114.135.20
91.215.158.118
95.213.143.220


{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"TheMoon 是一个恶意代码家族的代号。早在2014年2月，该恶意代码家族就引起了安全研究人员的普遍关注。在当时，TheMoon是一个针对 Linksys 路由器的、有类似蠕虫式传播行为的僵尸网络。由于其感染传播能力较强，安全社区里的讨论较多。\n\n2014～2017年期间，又陆续有各安全厂商对TheMoon恶意代码家族做了分析。报告反应了当时 TheMoon 家族的演化情况。\n\n从2017年开始，我们也对 TheMoon 家族做了持续跟踪，并注意到以下的新发现：\n\n - 感染阶段： TheMoon 集成了最近的一组漏洞利用代码，提高其感染能力；\n - 运营阶段： TheMoon 的代理网络，由正向代理改为反向代理，避免被安全研究人员探测度量；\n - 样本特征： TheMoon 开始使用压缩外壳，提高安全研究人员分析的难度\n\n下文仅仅是我们对 TheMoon 恶意代码家族监控结果的概括描述，详细的技术分析文档可见 [TheMoon-botnet.pdf](__GHOST_URL__/file/TheMoon-botnet.pdf)\n\n\n#### 2017年以前的 TheMoon\n\n2014-02-13 ，这是我们能查到的 TheMoon 相关最早记录。当时，SANS 安全研究机构的博士 Johannes B. Ullrich [报告发现](https://isc.sans.edu/forums/diary/Linksys+Worm+TheMoon+Captured/17630) 了该恶意代码，并在随后给出了[更新](https://isc.sans.edu/diary/Linksys+Worm+%22TheMoon%22+Summary%3A+What+we+know+so+far/17633) 。TheMoon家族的一些关键特点，在最初被发现的这个阶段就已经确定下来了：\n\n - 攻击目标：最初是 Linksys E1000 系列路由器，后续发展也是以 IoT 设备、特别是家用路由器为主。设备目标常见是 MIPS 架构\n - 蠕虫式的感染传播：被感染的设备，会在一个较短的时间窗口期内提供二进制下载。这种蠕虫式的感染，这使得其传播能力大大增强\n - 简单的自我保护：会设定 iptables 规则限制漏洞利用端口的访问，仅允许作者控制的几个IP地址所在地址段访问，减少被其他攻击者利用相同漏洞的风险\n - 命名来源：样本文件内嵌了几张图片，加上文件中的一些其他字符串 \"lunar\", \"moon\", \"planets\"，这些共同的信息指向一部2009年的电影 [\"Moon\"](http://www.imdb.com/title/tt1182345/)，这是这个家族被命名为 TheMoon 的原因。\n\n由于该恶意代码家族被定位是蠕虫，这引起了安全社区的广泛讨论。几天之内，相关的设备漏洞和利用代码就被各大安全厂商收录，例如 [securityfocus](https://www.securityfocus.com/bid/65585)， [packetstormsecurity](https://packetstormsecurity.com/files/125253), [flexerasoftware](https://secuniaresearch.flexerasoftware.com/advisories/56994)， [vulnerabilitycenter](https://www.vulnerabilitycenter.com/#!vul=43986)， [exploit-db](https://www.exploit-db.com/exploits/31683/)， [IBM X-force](https://exchange.xforce.ibmcloud.com/vulnerabilities/91196?spm=0.0.0.0.SsE6B5)，等等。\n\n2015-07-16，阿里安全的谢君，在 [\n解密“智魁”攻击行动——针对路由器蠕虫攻击事件分析报告](https://security.alibaba.com/blog/blog?id=26&type=security) 中，分析了该恶意代码家族当时的变种。这个阶段 TheMoon 家族表现出来的新特征包括：\n\n - socks代理：开始利用被感染节点搭建 Socks 代理网络；上述代理网络是主动式的，被感染节点上开启的代理节点有特征可循，文章中根据该特征，对全网扫描并给出了度量；\n - 感染手段：开始使用华硕路由器漏洞 [CVE-2014-9583](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-9583)，UDP 9999 ，以及 [TP-Link路由器漏洞](https://sekurak.pl/tp-link-httptftp-backdoor/?spm=0.0.0.0.aOpRH8)。2014年版本所使用的原有 Linksys 漏洞仍然在利用。\n - 文中还列出了若干打码后的 C2 服务器IP地址\n\n虽然文章中通篇没有提及 TheMoon 的名字，但是恶意代码的二进制特征一致，可以判定是 TheMoon 家族。另外，文章中还将攻击行为追溯到具体人，但是这部分的归因过程没有给出具体分析过程，故而这部分的结论待考。\n\n2016-10-20 Fortinet 的 Bing Liu 在 [TheMoon A P2P botnet targeting Home Routers](https://blog.fortinet.com/2016/10/20/themoon-a-p2p-botnet-targeting-home-routers) 中分析了当时的 TheMoon 恶意代码变种。文中提及了一些新特性：\n\n - P2P 特性：代码中集成了P2P 特性（但不成熟，也未启用）\n - C2通信协议：详细的分析了恶意代码的 C2 通信协议\n - 下载服务器：hxxp://78.128.92.137/.nttpd\n - 若干硬编码的 NTP IP 地址： \n    - 207.46.232.182 (未显式标注)\n    - 82.68.206.125\n    - 194.25.252.5\n    - 129.6.15.28\n    - 129.6.15.28\n - 若干硬编码的 C2 IP 地址：\n    - 185.53.8.22 (未显式标注)\n    - 185.56.30.189\n    - 217.79.182.212\n    - 85.114.135.20\n    - 95.213.143.220\n    - 46.148.18.154\n\n\n值得一提是，尽管这份恶意代码中集成了 P2P 特性，但相关代码是不成熟的，未能遵循应用密码学最佳实践，存在被接管的可能性。这部分代码特性并未启用，作者与 bot 的通信仍主要主要基于硬编码的 C2 IP\n地址。\n\n#### 2017年以来我们观测到的 TheMoon 家族\n\n从 2017年4月 以来，我们开始持续观察到 TheMoon 家族。我们监控到的新变化包括：\n\n - 样本特征：TheMoon 开始使用压缩外壳，提高安全研究人员分析的难度\n - 感染手段：集成了至少 6 种 IoT 设备漏洞利用手段，扩大感染基数\n - 代理网络：从正向改为反向。感染节点通过咨询上联节点得知需要访问的网页和参数，感染节点上不再直接开放端口。这样我们也无法通过全网扫描的方式来度量僵尸网络的规模。\n - 代理流量：代理网络中流传的流量大致分为有明文和密文两部分，流量均不高。明文部分，经人肉筛选，和色情、赌博、挖矿等内容有关，另有一小部分看起来像门户网站；密文部分的流量推测与电商或者在线邮箱有关。时间分布不明显，似乎24小时都有流量发生。\n - P2P 机制：仍然存在，仍然存在被接管可能，仍然没有启用\n\nC2 IP 地址方面，我们累计观察到以下 IP 地址被攻击者以年为单位长期占用：\n\n  - 149.202.211.227\n  - 173.208.219.26\n  - 173.208.219.42\n  - 173.208.219.50\n  - 173.208.219.58\n  - 185.53.8.22\n  - 185.56.30.189\n  - 185.56.30.189\n  - 208.110.66.34\n  - 217.79.182.212\n  - 46.148.18.154\n  - 69.197.128.34\n  - 85.114.135.20\n  - 91.215.158.118\n  - 95.213.143.220\n\n值得一提的是之前其他文章中披露的 C2 IP 地址已经被作者放弃使用，但是 185.53.8.22 这个IP地址没有被显式披露，作者就一直使用并未放弃。\n\n感染过程中至少使用了6种 IoT 设备漏洞利用，相关的设备类型和漏洞利用如下：\n\n\n - Linksys E-series 的 [漏洞利用](https://www.exploit-db.com/exploits/31683/) ，这是 2014 年首次被批露时使用的漏洞\n - ASUS WRT UDP 9999的 [漏洞利用](https://github.com/jduck/asus-cmd)，这是 TheMoon从2015年至2017年主要使用的漏洞利用\n - D-Link 850L的 [漏洞利用](https://blogs.securiteam.com/index.php/archives/3364)\n - D-Link 815的 [漏洞利用](https://github.com/Cr0n1c/dlink_shell_poc/blob/master/dlink_auth_rce)\n - VIVOTEK Network Cameras的 [漏洞利用](http://blog.cal1.cn/post/An%20easy%20way%20to%20pwn%20most%20of%20the%20vivotek%20network%20cameras)\n - D-Link DIR-890L D-Link DIR-645的 [漏洞利用](http://www.devttys0.com/2015/04/hacking-the-d-link-dir-890l/)\n\n#### 详细技术分析文档\n\n [TheMoon-botnet.pdf](__GHOST_URL__/file/TheMoon-botnet.pdf)\n\n#### IoC\n样本MD5和下载URL\n\n```\n2017-04-02 7bca40bba278b0021a87bcbc35b2e144  hxxp://domstates.su/nmlt1.sh\n2017-04-02 70461da8b94c6ca5d2fda3260c5a8c3b  hxxp://domstates.su/.nttpd\n2017-04-02 c8f17d7403ac5ff2896a713a7175ed19  hxxp://domstates.su/archi.txt\n2017-04-06 bc56979a0b381a791dd59713198a87fb  hxxp://domstates.su/nmlt1.sh\n2017-04-06 bc56979a0b381a791dd59713198a87fb  hxxp://domstates.su/archi.txt\n2017-04-09 11f060ffd8a87f824c1df3063560bc9e  hxxp://domstates.su/.nttpd,19-mips-le-t1\n2017-04-09 c0c1d535d5f76c5a69ad6421ff6209fb  hxxp://domstates.su/.nttpd,17-mips-be-t2\n2017-04-09 4d90e3a14ebb282bcdf3095e377c8d26  hxxp://domstates.su/.nttpd,18-arm-le-t1 \n2017-08-11 106d9eb6a7c14f4722898b89ccacb17e  hxxp://domstates.su/nmlt1.sh\n2017-08-11 6f2fabf40ad39a5738e40dbe2c0a1b53  hxxp://domstates.su/.nttpd,20-mips-le-t1\n2017-08-11 b731e5136f0ced58618af98c7426d628  hxxp://domstates.su/.nttpd,19-arm-le-t1 \n2017-10-03 9c79b0a54e70cf0a65ba058e57aee6f1  hxxp://domstates.su/nmlt1.sh\n2017-10-03 27002860c26c2298a398c0a8f0093ef6  hxxp://domstates.su/.nttpd,19-arm-le-t1 \n2017-10-03 54631bbc01b934ee3dbcafdc6055599c  hxxp://domstates.su/.nttpd,18-mips-be-t2\n2017-10-05 e2673d513125bcae0865ccf0139cef0c  hxxp://domstates.su/nmlt1.sh\n2017-10-05 b8e16a37997ada06505667575f8577d6  hxxp://domstates.su/.nttpd,19-arm-le-t1 \n2017-10-05 98c678ee656325b0aee1fe98f2ca6f55  hxxp://domstates.su/.nttpd,18-mips-be-t2\n2017-10-09 96219e644bf69ff7359ecc5e9687bcd0  hxxp://domstates.su/nmlt1.sh\n2017-10-09 f9d87043d2e99098f35a27237925992f  hxxp://domstates.su/.nttpd,20-arm-le-t1-z\n2017-10-09 089d304877930d3dfe232a2e98e63f6f  hxxp://domstates.su/.nttpd,19-mips-be-t2-z\n2017-10-14 275cc8ed50368fa72e46551e41824683  hxxp://domstates.su/nmlt1.sh\n2017-10-14 7fa47de462e743607eb9a2f93b7193ce  hxxp://domstates.su/.nttpd,20-mips-be-t2-z\n2017-10-16 810ea41f35f9fe40855900db9406d7a0  hxxp://domstates.su/nmlt1.sh\n2017-10-21 dbf24da7b27c12ae65c98675eb435c81  hxxp://domstates.su/nmlt1.sh\n2017-11-12 8ad5b160dd7a976044d6a2dd631efc4b  hxxp://domstates.su/nmlt1.sh\n2017-11-12 20f9f7ae0c6d385b0bedcdd618c478dc  hxxp://domstates.su/.nttpd,21-arm-le-t1-z\n2017-11-12 53494b8867654d06ea1b5aec0ed981c1  hxxp://domstates.su/.nttpd,21-mips-be-t2-z\n2017-11-12 016cc0097560bbbb07b4891256600eb8  hxxp://domstates.su/d8ug.sh \n2017-11-27 2ceb4822e1e0f72e8b88968165d9a99f  hxxp://domstates.su/nmlt1.sh\n2017-11-27 057d56b7de1e9460bd13c5c6eafd4559  hxxp://domstates.su/.nttpd,21-mips-le-t1\n\n```\n\nC2 IP\n```\n149.202.211.227\n173.208.219.26\n173.208.219.42\n173.208.219.50\n173.208.219.58\n185.53.8.22\n185.56.30.189\n185.56.30.189\n208.110.66.34\n217.79.182.212\n46.148.18.154\n69.197.128.34\n85.114.135.20\n91.215.158.118\n95.213.143.220\n```"}]],"sections":[[10,0]],"ghostVersion":"3.0"}