九游老哥云
全新恶意软件VPNFilter控制全球至少50万台网络装备
2018-05-29
克日，有一款名为VPNFilter的恶意软件被发明熏染了至少50万的网络装备，Talos团队在近几个月来一直在与各威胁情报厂商和执法机构相助，通过研究后发明，这款恶意软件十分先进，可能是由国家资助或与国家级别的攻击者提倡的，是一种先进的�？榛褚馊砑低常╩odular malware system）。 本文展现了该恶意软件的手艺细节并提出了防护步伐。
虽然现在研究还没有完全完成，可是果真的信息应该会有助于受影响的客户可以实时的接纳防护步伐。 值得一提的是，该恶意软件的代码与BlackEnergy恶意软件有相似的代码片断，BlackEnergy恶意软件一经针对乌克兰装备提倡过多次大规模攻击。 虽然还无法完全一定，但VPNFilter作为一种潜在的破损性恶意软件，使用特别的CC（Command & control）步伐，正在以惊人的速率自动熏染乌克兰主机。综合这些因素，现在虽然还没有完全剖析完成，但宣布现在的效果可以很好的资助各方接纳响应的防护步伐。
该恶意软件的破损能力和影响规模都是值得注重的，在Talos 与其相助同伴的统计下，全球至少54个国家/地区受影响，熏染的装备数目至少为500000。 受VPNFilter影响的已知装备有小型和家庭办公室（SOHO）空间中的Linksys，MikroTik，NETGEAR和TP-Link网络装备以及QNAP网络附加存储（NAS）装备。 现在没有其他供应商，包括思科（Cisco），被视察到被VPNFilter熏染。 这种恶意软件在网络设惫亓行为尤其令人关注，由于VPNFilter恶意软件的组件可以窃取网站证书并监控Modbus SCADA协议。 最后，恶意软件具有破损性能力，可能导致受熏染的装备无法使用，这可能会在个体受害者机械上触发或整体触发，因此有可能切断全球数十万受害者的互联网接入。
另外，受该恶意软件攻击的装备很难举行防护。 由于它们经常位于网络的外围，没有入侵�；は低常↖PS），并且通常没有可用的基于主机的�；は低�，如防病毒（AV）软件。 现在研究职员还无法确认熏染是怎样举行的，但大大都装备，尤其是旧版本，都保存已知的果真的误差，这使得攻击者的攻击变得容易了许多也导致了自2016年以来这种威胁的悄然增添。
执行办法
VPNFilter是一个多阶段的，�？榛�，具有多种功效的，可支持情报网络和破损性网络攻击操作的恶意软件。
第一阶段恶意软件通过重新启动而一连保存，这与大大都其他针对物联网装备的恶意软件差别，由于恶意软件通常无法在装备重新启动后存活。 阶段1的主要目的是获得长期的驻足点，并能够安排后续的恶意软件。阶段1使用多个冗余C&C（C2）机制来发明目今阶段安排服务器的IP地点，使得这种恶意软件很是强盛并且能够处置惩罚不可展望的C2基础设施转变。
第二阶段的恶意软件不会在重新启动后一连保存，它拥有情报网络平台的功效，例如文件网络，下令执行，数据泄露和装备治理。 可是，阶段2的某些版本还具有自毁功效，可笼罩装备固件的要害部分并重新启动装备，使其无法使用。 现在经研究职员剖析，该自毁功效很可能会被安排到所有受熏染的装备上。
别的，第二阶段的恶意软件还拥有多个插件作为后续的第三阶段�？� ，提供附加功效。阻止现在，共有两个插件�？椋河糜谕缤ü氨傅牧髁康氖莅崽狡�，包括窃取网站证书和监视Modbus SCADA协议以及允许阶段2通过Tor举行通讯的通讯�？�。
Tradecraft讨论
Talos认真评估后，以为这种恶意软件是用来建设一个普遍的，难以追踪的，可用于知足攻击者的多种需求的平台。 由于受影响的装备由企业或小我私家正当拥有，因此从受熏染装备举行的恶意运动可能会导致无法确认攻击的准确爆发地区。 同时，内置于恶意软件各个阶段和插件的功效很是无邪，可以使攻击者以多种方法使用装备。
APT的幕后职员，包括民族国家，将起劲使其网络运动的归属判断变得极其难题，除非为了知足他们自己一些奇异的需求，才会果真宣告归属。 为此，攻击者使用了多种手艺，包括由他人拥有的配合基础设施来执行其操作。 在毗连到最终受害者的终端装备之前，攻击者可以轻松使用受熏染的装备作为中转，以便混淆它们的真实位置。
恶意软件也可以用来网络装备的数据。 除了纯粹的数据网络，攻击者可能也会评估该装备所在网络的潜在价值。若是攻击者判断该装备网确实有价值，可能会选择继续网络信息并且毗连到装备所在的网络来获取更多信息。 阻止现在，研究职员尚未获得能够进一步使用装备所服务的网络的第三阶段插件，可是简直发明了该功效插件保存的痕迹，攻击者可以很轻松的讲这个功效加入到�？榛亩褚馊砑�。
最后，攻击者可以通过使用“kill”下令使熏染的装备举行大规模的破损性攻击，这会导致部分或所有物理装备无法使用。 该下令泛起在视察到的许多阶段2样本中，但也可以通过使用所有阶段2样本中的“exec”下令来触发。 在大大都情形下，大大都受害者无法恢复此项，由于恢复所需要的手艺能力，专有手艺或一些工具通常是平台用户所没有的。 这就使得情形变得十分危急，迫使研究职员们举行更多的研究。
视察到的恶意行为
在5月初，研究职员通过扫描视察到该威胁涉及全球。随后在端口23802000和8080上举行TCP扫描受熏染装备，这些端口批注晰该恶意软件在扫描其他Mikrotik和QNAP NAS装备，针对100多个国家/地区。 这些受害者中的许多IP似乎很明确的体现其数据泄露的行为。
最后，在5月8日，Talos团队视察到VPNFilter熏染行为急剧增添。 险些所有新的受害者都位于乌克兰。 还值得注重的是，大大都乌克兰熏染共享了来自天下其他地方的自力第2阶段C2基础设施，IP 46.151.209 [。] 33。 在这一点上，研究职员意识到BlackEnergy和VPNFilter之间的代码重叠，凭证之前乌克兰的攻击，这一轮攻击很可能即将爆发。 在5月17日，乌克兰的受熏染装备再次大幅增添，鉴于这些因素，Talos团队决议提前果真研究效果。
手艺细节
使用
现在，研究职员还没发明攻击者是怎样使用这些受熏染的装备的，可是鉴于这些装备都保存果真的误差，推测VPNFilter不需要其他的0-day攻击手艺。
阶段1加载器
VPNFilter的阶段1恶意软件会熏染基于Busybox和Linux运行固件的装备，并针对多种CPU架构举行编译。 这些第一阶段二进制文件的主要目的是找到一台提供更周全的第二阶段的服务器，并下载并维护受熏染装备的下一阶段的长期性。 它能够修改非易失性设置内存（NVRAM）值并将其自身添加到Linux作业调理程序crontab中以实现长期性，这与以前的物联网恶意软件有所差别。
Talos剖析了用于MIPS和x86处置惩罚器的样本。 C2通讯和其他恶意软件下载通过Tor或SSL加密毗连举行。 虽然二进制文件自己在被剥离之后不会被混淆，但某些字符串以加密形式存储，并且仅在运行时解密。 在静态剖析中，解密程序看起来与RC4很是相似，但看起来恶意软件作者得在初始化s-box时出了错。 在置换办法中，值被异或，但未交流。 对RC4实验情形的剖析批注，它与BlackEnergy中使用的执法机构相同， 并以为应该来自国家级别的行为。
一旦恶意软件完成初始化，它就最先从种子URL下载相关页面。 在MIPS示例缓存和x86示例中，除一个URL之外的所有URL都指向图像共享主机Photobucket.com。 恶意软件从URL所引用的库中下载第一个映像，然后继续提取下载服务器的IP地点。 IP地点是从EXIF信息中的六个GPS纬度和经度整数值中提取的。
若是阶段1无法毗连或从Photobucket中的图像IP地点下载图像或乐成获取IP地点，则恶意软件会去备份的域toknowall [。] com下载图像并实验相同的历程。
若是对备份域的实验失败，则阶段1将翻开一个侦听器（listener），该侦听器期待特定的触发包翻开毗连，以便演员交互毗连到装备。 当侦听器翻开时，它会从api.ipify [。] org中检查其公共IP并将其存储以供以后较量。 然后，当任何数据包抵达任何端口时，监听器执行一系列检查来识别触发数据包。 若是数据包切合预界说的一组标准，它将从数据包中提取IP地点并实验举行第2阶段下载。
listener行为：
- 检查所有设置了SYN标记的TCP / IPv4数据包
- 检查目的IP是否与侦听器翻开时找到的内容匹配（注重：若是侦听器未能从ipify [。] org获取IP，它将跳过此检查）
- 确保数据包有八个或更多字节
- 扫描字节 x0c x15 x22 x2b的数据
- 紧接在该4字节标记之后的字节被诠释为IP，因此 x01 x02 x03 x04变为- > 1.2.3 [。] 4
- 向第2阶段的寻常呼叫新收到的IP
- 确认阶段2至少为1001字节（注重：这比其他标注要领小得多，要求阶段2为100000或更多）
阶段2（非一连）
阶段2恶意软件首先通过建设�？槲募校�/ var / run / vpnfilterm）和事情目录（/ var / run / vpnfilterw）来设置事情情形。 之后，它将运行在一个循环中，首先抵达C&C服务器，然后执行从C&C中检索的下令。 下令名使用与阶段1中相同的RC4函数举行加密。幸运的是，较早版本的x86阶段2示例很是详细，并且调试打印了它执行的所有办法。 较新版本的x86和MIPS样本在阶段2中不包括调试打印。
x86示例可以执行以下操作：
- kill：用零笼罩/ dev / mtdblock0的前5000个字节，然后重启装备（有用地对其举行刷新）。
- exec：执行一个shell下令或插件。
- tor：设置Tor设置标记（0或1）。
- 复制：将文件从客户端复制到服务器。
- seturl：设置目今设置面板的URL。
- 署理：设置目今的署理URL。
- 端口：设置目今的署理端口。
- delay：设置主循环执行之间的延迟。
- 重启：若是装备启动凌驾256秒，则重新启动装备，并在参数中指定天生名称。
- 下载：将URL下载到文件。这可以应用于所有装备或只是一个特定的构建名称。
MIPS示例具有以下附加操作：
- 阻止：终止恶意软件历程。
- relay：x86版本的\`delay\`下令的拼写过失版本。
在装置Tor�？橹�，阶段2会将其设置中存储的一个或多个IP作为SOCKS5署理服务器使用，并实验与其设置中找到的控制面板举行通讯。 与阶段1一样，恶意软件与署理之间的通讯将通过验证的SSL毗连举行毗连。 当装置Tor�？槭�，它将通过�？樘峁┑耐獾豐OCKS5署理通过通俗的HTTP毗连到.onion域名。
恶意软件将请求编码成一个JSON工具，然后以base64编码并发送到HTTP POST参数“me”中的路径/bin32/update.php。
阶段3（非一连）
研究职员已经剖析了恶意软件的两个插件�？�，一个数据包嗅探器和一个允许恶意软件通过Tor举行通讯的通讯插件，以及几个还未被发明的�？�。 在Talos获取的最初样本中，有一个MIPS阶段2的插件，它是一个数据包嗅探器。 它通过原始套接字阻挡所有网络流量，并查找HTTP基自己份验证中使用的字符串。 别的，它专门跟踪Modbus TCP / IP数据包。 天生的日志文件安排在第2阶段的事情目录/ var / run / vpnfilterw中。 这使得攻击者可以相识，捕获并跟踪流经装备的流量。
Tor插件�？椴糠至唇拥浇锥�2，但有一个单独的Tor可执行文件，该文件被下载到/ var / run / tor并运行在与阶段2疏散的历程中。Tor二进制文件看起来像标准的Tor客户端，静态链接和剥离二进制的形式。 它在/ var / run / torrc中建设一个设置文件，并在/ var / run / tord中建设一个事情目录。
防护步伐
由于受影响的装备的性子，针对此威胁举行防御很是难题。 他们中的大大都直接毗连到互联网，他们和潜在的攻击者之间没有清静装备或服务。 由于大大都受影响的装备都具有已知的误差，这一事实进一步加剧了防护的难度。 另外，大大都装备没有内置的反恶意软件功效。 这使得该威胁很是难以抵消，阻挡恶意软件，消除误差或阻止威胁的时机极其有限。
只管面临这些挑战，Talos团队针对与此威胁关联的装备果真已知的误差，开发并安排了凌驾100个Snort署名。 这些规则已经安排在公共Snort集中，任何人都可以使用这些规则来资助�；に堑淖氨�。 别的，恶意的域名/ IP已被列入黑名单。 Talos就该威胁与Linksys，Mikrotik，Netgear，TP-Link和QNAP举行了相同。
建议用户接纳以下步伐：
- SOHO路由器和/或NAS装备的用户将它们恢复出厂默认设置并重新启动，以消除潜在的破损性阶段2和阶段3的恶意软件。
- 提供SOHO路由器的互联网服务提供商代表客户重新启动路由器。
- 若是您有任何已知或疑似受此威胁影响的装备，与制造商相助很是主要，以确保您的装备具有最新的修补程序版本。若是不是，则应连忙应用更新的修补程序。
- 互联网服务提供商起劲与他们的客户相助，以确保他们的装备升级更新到最新的固件/软件版本。
由于攻击者可能接纳破损性行动，因此建议各人审慎看待所有SOHO或NAS装备并接纳这些步伐，无论装备是否已知受该恶意软件影响。
结论
VPNFilter是一种普遍，强盛，功效强盛且危险的威胁 其高度�？榛目蚣茉市砉セ髡叨云渚傩锌焖俑谋�，提供情报网络和和其他服务。
VPNFilter的破损性能力值得关注。 攻击者使用受熏染的用户装备来掩饰他们的踪迹，而不但仅是删除恶意软件的痕迹，同时，攻击者可能随时运行“kill”下令，可能会导致成千上万的装备无法使用，导致全球数十万受害者无法会见互联网，或者在特定区域限制用户的网络使用。
虽然对物联网装备的攻击并不是什么新鲜事，但这些装备正被国家级别的团队用于举行网络破损，这加剧了各方厂商处置惩罚此问题的紧迫性。
参考链接：
https://blog.talosintelligence.com/2018/05/VPNFilter.html
https://www.fortinet.com/blog/threat-research/defending-against-the-new-vpnfilter-botnet.html
IOCs
如前所述，我们高度嫌疑现在还没有意识到这个恶意软件尚有其他IOC和版本。 下面的IOC清单包括了迄今所知道的情形。
已知的C2域和IP
与第一阶段相关
的photobucket [。] COM /用户/ nikkireed11 /库
的photobucket [。] COM /用户/ kmila302 /库
的photobucket [。] COM /用户/ lisabraun87 /库
的photobucket [。] COM /用户/ eva_green1 /库
的photobucket [。] COM /用户/ monicabelci4 /库
的photobucket [。] COM /用户/ katyperry45 /库
的photobucket [。] COM /用户/ saragray1 /库
的photobucket [。] COM /用户/ millerfred /库
的photobucket [。] COM /用户/ jeniferaniston1 /库
的photobucket [。] COM /用户/ amandaseyfried1 /库
的photobucket [。] COM /用户/ suwe8 /库
的photobucket [。] COM /用户/ bob7301 /库
toknowall [。] COM
与第二阶段相关
91.121.109 [。] 209
217.12.202 [。] 40
94.242.222 [。] 68
82.118.242 [。] 124
46.151.209 [。] 33
217.79.179 [。] 14
91.214.203 [。] 144
95.211.198 [。] 231
195.154.180 [。] 60
5.149.250 [。] 54
91.200.13 [。] 76
94.185.80 [。] 82
62.210.180 [。] 229
zuh3vcyskd4gipkm [。]洋葱/ bin32中/ update.php
已知的文件哈希
第一阶段恶意软件
50ac4fcd3fbc8abcaa766449841b3a0a684b3e217fc40935f1ac22c34c58a9ec
0e0094d9bd396a6594da8e21911a3982cd737b445f591581560d766755097d92
第二阶段恶意软件
9683b04123d7e9fe4c8c26c69b09c2233f7e1440f828837422ce330040782d17
d6097e942dd0fdc1fb28ec1814780e6ecc169ec6d24f9954e71954eedbc4c70e
4b03288e9e44d214426a02327223b5e516b1ea29ce72fa25a2fcef9aa65c4b0b
9eb6c779dbad1b717caa462d8e040852759436ed79cc2172692339bc62432387
37e29b0ea7a9b97597385a12f525e13c3a7d02ba4161a6946f2a7d978cc045b4
776cb9a7a9f5afbaffdd4dbd052c6420030b2c7c3058c1455e0a79df0e6f7a1d
8a20dc9538d639623878a3d3d18d88da8b635ea52e5e2d0c2cce4a8c5a703db1
0649fda8888d701eb2f91e6e0a05a2e2be714f564497c44a3813082ef8ff250b
第三阶段插件
f8286e29faa67ec765ae0244862f6b7914fcdde10423f96595cb84ad5cc6b344
afd281639e26a717aead65b1886f98d6d6c258736016023b4e59de30b7348719
自署名证书指纹
d113ce61ab1e4bfcb32fb3c53bd3cdeee81108d02d3886f6e2286e0b6a006747
c52b3901a26df1680acbfb9e6184b321f0b22dd6c4bb107e5e071553d375c851
f372ebe8277b78d50c5600d0e2af3fe29b1e04b5435a7149f04edd165743c16d
be4715b029cbd3f8e2f37bc525005b2cb9cad977117a26fac94339a721e3f2a5
27af4b890db1a611d0054d5d4a7d9a36c9f52dffeb67a053be9ea03a495a9302
110da84f31e7868ad741bcb0d9f7771a0bb39c44785055e6da0ecc393598adc8
fb47ba27dceea486aab7a0f8ec5674332ca1f6af962a1724df89d658d470348f
b25336c2dd388459dec37fa8d0467cf2ac3c81a272176128338a2c1d7c083c78
cd75d3a70e3218688bdd23a0f618add964603736f7c899265b1d8386b9902526
110da84f31e7868ad741bcb0d9f7771a0bb39c44785055e6da0ecc393598adc8
909cf80d3ef4c52abc95d286df8d218462739889b6be4762a1d2fac1adb2ec2b
044bfa11ea91b5559f7502c3a504b19ee3c555e95907a98508825b4aa56294e4
c0f8bde03df3dec6e43b327378777ebc35d9ea8cfe39628f79f20b1c40c1b412
8f1d0cd5dd6585c3d5d478e18a85e7109c8a88489c46987621e01d21fab5095d
d5dec646c957305d91303a1d7931b30e7fb2f38d54a1102e14fd7a4b9f6e0806
c0f8bde03df3dec6e43b327378777ebc35d9ea8cfe39628f79f20b1c40c1b412
已知受影响的装备
已知下列装备受此威胁的影响。 凭证这项研究的规模，我们的视察许多都是遥远的，而不是在装备上，因此在许多情形下很难确定详细的版本号和模子。 应该指出的是，所有这些装备都有果真的已知误差。
鉴于我们对这种威胁的视察，我们高度自信地评估此列表不完整，其他装备可能受到影响。
LINKSYS DEVICES：
E1200
E2500
WRVS4400N
MIKROTIK ROUTEROS适用于云焦点路由器的版本：
1016
1036
1072
NETGEAR装备：
DGN2200
R6400
R7000
R8000
WNR1000
WNR2000
威联通装备：
TS251
TS439 Pro
其他运行QTS软件的QNAP NAS装备
TP-LINK装备：
R600VPN
VPNFILTER特定的SNORT检测：
45563 45564 46782 46783
SNORT规则可避免受熏染装备中的已知误差：
25589 26276 26277 26278 26279 29830 29831 44743 46080 46081 46082 46083 46084 46085 46086 46287 46121 46122 46123 46124 41445 44971 46297 46298 46299 46300 46301 46305 46306 46307 46308 46309 46310 46315 46335 46340 46311 46342 46376 46377 37963 45555 46076 40063 44643 44790 26275 35734 41095 41096 41504 41698 41699 41700 41748 41749 41750 41751 44687 44688 44698 44699 45001 46312 46313 46314 46317 46318 46322 46323 40866 40907 45157
CLAMAV署名：
Unix.Trojan.Vpnfilter-6425811-0
Unix.Trojan.Vpnfilter-6425812-0
Unix.Trojan.Vpnfilter-6550590-0
Unix.Trojan.Vpnfilter-6550591-0
Unix.Trojan.Vpnfilter-6550592-0
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
关于九游老哥科技
北京神州九游老哥信息清静科技股份有限公司（简称九游老哥科技）建设于2000年4月，总部位于北京。在海内外设有30多个分支机构，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户，提供具有焦点竞争力的清静产品及解决计划，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究，九游老哥科技在网络及终端清静、互联网基础清静、合规及清静治理等领域，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
北京神州九游老哥信息清静科技股份有限公司于2014年1月29日起在深圳证券生意所创业板上市生意，股票简称：九游老哥科技，股票代码：300369。
