数万台设备已被影响!疑似DDOS团伙Blackmoon再现江湖
2023-2-20 13:44:27 Author: www.secpulse.com(查看原文) 阅读量:35 收藏

恶意家族名称:

BlackMoon

威胁类型:

僵尸网络

简单描述:

BlackMoon 是一款僵尸网络,曾于 2022 年 1 月至 3 月大规模爆发。该僵尸网络能够与 C2 服务器连接,并通过C2服务器下达的指令对指定目标实行不同类型的 DDOS 攻击,导致目标可能遭受服务器瘫痪、核心数据被窃等损失。

恶意文件分析

1.恶意文件描述

近期,深信服深盾终端实验室在运营工作中发现了一款僵尸网络病毒,通过跟踪监测发现,该病毒近期肉鸡控制规模已达 6 万以上。

经分析,该病毒所使用的网络资产与 DDOS 团伙 BlackMoon 的网络资产存在重叠。该病毒已产生一次变种,但功能基本一致,均由对应 C2 下达指令对目标 IP发起 DDOS 攻击。该攻击占用宿主机大量资源,同时被攻击目标也将遭受网站堵塞、服务器瘫痪等巨大威胁。

2.恶意文件分析

该僵尸网络病毒样本由 go 语言编写。

在初次运行时,该样本会通过查询注册表键值以获取当前宿主机名称等信息,并将在后续功能中使用到该类信息。

随后程序通过 TCP 协议与 C2 服务器进行远程通信。程序会将硬编码在样本中的域名作为 C2 地址。

与 C2 服务器建立连接之后,程序首先向 C2 服务器发送一个 “ok” 字符串,并进入预定时长等待。

若 C2 服务器接收到该请求,将会回复字符串 “1337”。该阶段表示样本成功上线,随后病毒进入第一次循环监听状态,等待接受 C2 服务器下达的指令。

当 C2 发送第一轮指令时,病毒对接受的指令进行判断,并进入对应的 DDOS 攻击类型分支,如 post、http 等。

随后病毒创建一个周期性计时器,在有效时间内进入第二次监听状态,等待 C2 服务器下发第二轮指令,包括但不限于需要攻击的 IP 或域名。

病毒还会根据之前获得的宿主机信息,判断操作系统是 Windows 还是 Android、IOS,将取得的结果进行比对后,不同的操作系统执行 DDOS 攻击时会采用不同的UA,不同的攻击类型也会拥有不同的请求头。

C2 指令形式大致如下:

情报关联分析

本次样本于 2023 年 2 月 2 日发现,为变种样本,活动最早可追溯至 2022 年 7 月。

在情报识别中,样本下载链接与 DDOS 团伙 BlackMoon 团队曾使用的网络资产重叠,故初步判断此次僵尸网络事件所属团伙可能为 BlackMoon。

以下是情报的具体流程图:

原始样本与变种样本功能相似,不同点在于通信协议较多,且不判断系统,下图是原始样本功能场景:

IOCs

B34D7ED024EC71421EAA857E98E5B2E2

57ACC280049394A4FE8581D7A29D1F6B

83DD26840EE3606A406553F82DDB66B9

4AE2CDF1BB4E2A53B40FBA1024911E10

3FF63F13497A2F8271634166B585CB7C

ddc.wuxianlequ.com

yyy.wuxianlequ.com

8.219.160.241

8.218.16.68

8.219.214.251

解决方案

处置建议

1. 避免将重要服务在外网开放,若一定要开放,需增加口令复杂度,避免使用弱口令。

2. 避免打开可疑或来历不明的邮件,尤其是其中的链接和附件等,如一定要打开未知文件,请先使用杀毒软件进行扫描。

3. 安装信誉良好的防病毒/反间谍软件,定期进行系统全盘扫描,并删除检测到的威胁,按时升级打补丁。

4. 使用官方和经过验证的下载渠道,使用正版开发人员提供的工具/功能激活和更新产品,不建议使用非法激活工具和第三方下载器,因为它们通常用于分发恶意内容。

本文作者:Further_eye

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/196115.html


文章来源: https://www.secpulse.com/archives/196115.html
如有侵权请联系:admin#unsafe.sh