进程随机重命名：

关闭 Watchdog，防止设备重启：

RobinBot 的代码中还借鉴了 Mirai 的 Table 机制，试图隐藏自身携带的关键信息：

解码用到的 Key：

经过我们分析，这个 Table 在代码中还没启用，不排除将来作者更新样本，把这个机制真正用起来。

RobinBot 还会杀掉 Telnet 23 端口、SSH 22 端口和 HTTP 80 端口对应的进程：

RobinBot 集成了 12 个经典的 IoT 设备漏洞 Exp 来增强自身的传播能力：

RobinBot 当前样本的 C&C 服务器地址 89.203.251.188:7267，上线包为 "12354544\n\n"：

对于目前支持的 6 种 DDoS 攻击指令，RobinBot 作者有自己的命名方式：

DDoS 方法也仅有 TCP 和 UDP 两种：

在 2022年6 月份，作者更新了第二版的样本，与初始版本相比加入了 Mirai 的 Table 机制以及其特有的弱口令暴破函数。但是不包含漏洞利用的部分，并且上线包略微不同：

作者在 2022年7 月份更新了第三版，加入了漏洞利用，此时仅集成两个漏洞的 Exp，分别是针对 Dasan GPON 设备的 CVE-2018-10562，和针对 ZyXEL 设备的 CVE-2017-18368：

并且，第三版的上线包也有所变化：

在我们对攻击者的资产进行梳理过程中，通过一系列关联分析，我们发现 RobinBot 的作者所属某一资产下发的一个独特的 PE 样本。该样本会调用 curl 命令下载并执行一个 Jar 文件：

该样本可以在 Linux 和 Windows 平台上运行，针对 Windows 平台会有额外的操作：

额外的 Inject 函数功能是把自身移动到 Startup 文件夹以 Cmd 命令的方式进行自启动，文件名为 "0ff1995" + 随机字符串，该操作同时也用来区分样本是否是首次运行：

下发远程命令时样本也会区分平台进行命令执行：

RobinBot-Jar 还会设置系统的 HTTP User-Agent 为 "Chrome":

创建与 C&C 通信的线程：

上线包如下，其中包含样本版本、受害机器系统 OS 及用户名：

RobinBot-Jar 的指令设计，与 C 语言版本的木马几乎一致，也是类似 Gafgyt 家族的明文协议，并且 "console" 开头的指令代表执行命令，"at" 开头代表执行DDoS指令：

不同的地方在于作者自定义的 DDoS 方法名：

JAVA版样本支持的DDos方法除了与C版相同的以外，还包括：HTTP Flood、OVH Flood、针对 Roblox 视频游戏平台的 DDoS 攻击、基于 Bootstrap 的 DDoS 攻击。

RobinBot-Jar 发起 DDoS 攻击时，会选用 Socks 代理。对于代理的设置，可以是过指令下发指定的代理服务器：

也可以选择公开的第三方代理：

收到更新的指令后，RobinBot-Jar 会通过硬编码的 URL 进行更新：

收到清理的指令后，针对 Windows 平台会进行专门的清理工作：

在对 RobinBot 分析期间，我们对它进行了初步监控，并观察到它下发的若干攻击指令，发现该僵尸网络处于快速扩张 + 测试阶段：

分析数据发现作者对其自身IP进行过DDos攻击，说明此僵尸网络还在测试阶段并未正式投入使用。

其余攻击目标中有多个游戏相关联的资产，其中一个攻击目标 *.jonesdev.xyz，该资产为"Sonar Anti Bot"所有，用于 Minecraft 服务器的实验性反机器人插件：

点击阅读原文至ALPHA 5.0

即刻助力威胁研判