众号：渗透师老A
专注分享渗透经验，干货技巧….
AT&T 的安全研究人员最近发现了一组隐蔽性极强的 ELF 可执行文件，它们在 VirusTotal 上的杀软检出率很低或为零。
在分析样本后，AT&T 已将它们确定为多个攻击者在多次攻击行动中使用的开源 PRISM 后门的修改版。
深入分析了使用这些恶意软件的攻击活动，在长达三年半的时间内这些攻击者仍然保持活跃。
最早的攻击行动中的样本出现在 2017 年 11 月 8 日。
WaterDrop 分析
WaterDrop 的变种很容易识别，它包含一个名为 xencrypt的函数，该函数使用硬编码的单字节 0x1F密钥执进行异或加密。
从 WaterDrop 变种的第 7 版开始，恶意样本也包含纯文本字符串 WaterDropx vX started，其中 X 是恶意样本的版本号。
到目前为止，已经观察到版本 1、2.2 和 3 使用 PRISM 命名，而版本 7、9 和 12 被命名为 WaterDropx。
WaterDrop 使用 agent-waterdropx作为 User-Agent 进行 HTTP 协议的 C&C 通信，C&C 使用 waterdropx.com 域名的子域名。
尽管这些都是非常明显的特征，但攻击者仍然保持了在 VirusTotal 上极低的检出率，这可能是因为攻击行动的规模较小。
攻击者在 2017 年 8 月 18 日注册 waterdropx.com 域名。截至 2021 年 8 月 10 日，该域名仍在使用。
除了 PRISM 的基本功能外，WaterDrop 还额外引入了异或加密与定期轮询 C&C 服务器的功能。
恶意软件与 C&C 服务器的通信是纯文本 HTTP 协议，且所有版本的恶意软件都使用了 agent-waterdropx作为 User-Agent。
一些变种还会在以 root 权限执行时加载内核模块。
版本进化
PRISM v1
第一个版本的样本就是使用 waterdropx.com 作为 C&C 域名的攻击者使用的，他们的 User-Agent 相同。
与公开的 PRISM 相比，该版本创建了子进程，该子进程不断向 C&C 服务器轮询要执行的命令。
第一个版本的样本没有对恶意样本进行任何混淆、加壳或者加密。
PRISM v2.2
2.2 版本的 PRISM 开始使用异或加密来处理敏感数据，例如使用的 shell 命令等。
单字节密钥硬编码为 0x1F，该密钥用于发现同一攻击者的所有样本。
对于这个版本的恶意软件，初始的 C&C URI 请求格式是：
PRISM v3
3 版本的 PRISM 与 2.2 版本基本相同，额外多了 BOT ID 被保存到 /etc/.xid。
初始请求格式为：
PRISM v7
Waterdrop v7 引入了内核模块的使用，如果进程具有 root 权限，则使用 insmod 安装。安全分析人员暂时无法确定此 Payload 的用途。
其余代码与 PRISM v3 相同，仅更改了硬编码版本号。其初始请求格式为：
PRISM v9
延续之前版本的风格，Waterdrop v9 的变化微乎其微。
在这个版本中发现的唯一变化是，使用 BOT ID 作为 ICMP 密码来生成反向 Shell，而不是使用硬编码的 ICMP 密码。
初始请求格式为：
PRISM v12
Waterdrop v12 与其前序版本几乎相同，但增强了后门的稳定性。
其初始请求格式为：
恶意软件家族 PrismaticSuccessor
域名 z0gg.me 可解析为由另外 12 个域名共享的 IP 地址。
一些存在重叠的域名是已知的 PRISM 的 C&C 域名，但 z0gg.me 也与几个其他恶意样本存在关联。
特别是，观察到与
https://github.com/lirongchun/i存储库有关。
在这个存储库中，可以观察到以下文件：
三个包含 IP 地址（README.md）和端口号（README1.md 和 MP.md）的文档
针对脏牛（CVE-2016-5195）漏洞的 Bash 脚本，名为
111
几个 ELF 二进制文件，包括：
1.git：自定义恶意软件植入工具
2.ass：为 x64 架构编译的名为hide my ass的开源安全工具
3.ass32：为 x86 架构编译的名为hide my ass的开源安全工具
由于攻击者使用公共 GIT 存储库来托管其恶意软件和基础设施信息，可以查看历史数据观察其演变。
例如，我们可以使用以下命令收集参与者用作 C&C 服务器的所有 IP 地址：
按大小进行分组，可以发现大约 15K 的样本是 PRISM 后门，而大约 1.1 MB 的样本是另外的恶意软件。
攻击者在 2019 年 7 月 16 日提交了自定义 implant，该恶意软件使用修改版的 UPX 加壳。
恶意软件明显变大是由于二进制文件静态编译进了 libcurl，AT&T 将这个恶意软件家族命名为 PrismaticSuccessor。
分析可知，配置由两个 URL 组成：
HostUrl 用于获取 C&C 主机
PortUrl 用于获取端口号
执行后会尝试加锁 /var/lock/sshd.lock来当作互斥量。
接下来，恶意软件解密包含进程名称的字符串，该字符串用于覆盖 argv。
请注意，aMcwfkvf 变量包含 [mcwfkvf]值，该值在 src中被解密为 [kauditd]。
解密使用 ROT13，密钥为 -2。这个 ROT13 只处理大小字母，不处理符号和数字。
接下来，恶意软件通过子进程进行多任务处理。
某个子进程会打开一个硬编码 C&C 服务器的反向 Shell 会话，配置中最多有三个 C&C 地址（z0gg.me、x63.in 和 x47.in）并使用 ROT13 加密。
服务器还需要使用密码进行回复，以便成功建立反向 Shell。
恶意软件会计算回复缓冲区的 MD5 哈希值，并将其与硬编码值
ef4a85e8fcba5b1dc95adaa256c5b482进行比较。
无论主 C&C 服务器是否成功联系，都会进行通信。
某个子进程通过 GitHub 获取 C&C 主机和端口，并打开反向 Shell。
生成 Shell 的函数与 PRISM 源代码很相似，但不完全相同。
某个子进程跳转到 Shellcode 异或解密，硬编码的 8 字节密钥：
构建的命令如下所示：
在 StackOverflow 上也能发现有用户抱怨被攻击，与之相符。
其他变种
我们也观察到其他攻击者使用 PRISM 后门进行攻击。
然而，在大多数情况下，攻击者者会原样使用原始的 PRISM 后门，而不进行任何重大修改。
某种程度上说，这也阻碍了我们正确跟踪攻击者的攻击行动。
结论
PRISM 是一个开源的、简单的后门。它的流量是清晰可辨的，恶意文件很容易被检测到
其 C&C 服务器已经保持在线长达三年半。这表明，虽然受到更多关注的大型攻击行动通常会在数小时内被检测到，但较小的攻击行动可能会被漏掉。
检测方法
rule PrismaticSuccessor : LinuxMalware
{
meta:
author = “AlienLabs”
description = “Prismatic Successor malware backdoor”
reference = “aaeee0e6f7623f0087144e6e318441352fef4000e7a8dd84b74907742c244ff5”
copyright = “Alienvault Inc. 2021”strings:
$s1 = “echo -e “”
$s2 = “[x1B[32m+x1B[0m]`/bin/hostname`”
$s3 = “[x1B[32m+x1B[0m]`/usr/bin/id`”
$s4 = “[x1B[32m+x1B[0m]`uname -r`”
$s5 = “[+]HostUrl->t%sn”
$s6 = “[+]PortUrl->t%sn”
$s7 = “/var/run/sshd.lock”$shellcode = {
48 31 C9
48 81 E9 [4]
48 8D 05 [4]
48 BB [8]
48 31 [2]
48 2D [2-4]
E2 F4
}$c1 = {
8B 45 ??
BE 00 00 00 00
89 C7
E8 [4]
8B 45 ??
BE 01 00 00 00
89 C7
E8 [4]
8B 45 ??
BE 02 00 00 00
89 C7
E8 [4]
8B 45 ??
BA [4]
BE [4]
89 C7
E8
}condition:
uint32(0) == 0x464C457F and
filesize > 500KB and filesize < 5MB and
5 of ($s*) and
all of ($c*) and
#shellcode == 2
}rule PRISM {
meta:
author = “AlienLabs”
description = “PRISM backdoor”
reference = “https://github.com/andreafabrizi/prism/blob/master/prism.c”strings:
$s1 = “I’m not root :(“
$s2 = “Flush Iptables:t”
$s3 = ” Version:tt%sn”
$s4 = ” Shell:ttt%sn”
$s5 = ” Process name:tt%sn”
$s6 = “iptables -F 2> /dev/null”
$s7 = “iptables -P INPUT ACCEPT 2> /dev/null”
$s8 = ” startednn# “$c1 = {
E8 [4] 8B 45 ?? BE 00 00 00 00 89 C7 E8 [4] 8B 45 ?? BE 01 00 00 00
89 C7 E8 [4] 8B 45 ?? BE 02 00 00 00 89 C7 E8 [4] BA 00 00 00 00
BE [4] BF [4] B8 00 00 00 00 E8
}
$c2 = {
BA 00 00 00 00
BE 01 00 00 00
BF 02 00 00 00
E8 [4]
89 45 [1]
83 ?? ?? 00
}condition:
uint32(0) == 0x464C457F and
filesize < 30KB and
(4 of ($s*) or all of ($c*))
}
IOC
05fc4dcce9e9e1e627ebf051a190bd1f73bc83d876c78c6b3d86fc97b0dfd8e8
0af3e44967fb1b8e0f5026deb39852d4a13b117ee19986df5239f897914d9212
0f42b737e30e35818bbf8bd6e58fae980445f297034d4e07a7e62a606d219af8
0fba35856fadad942a59a90fc60784e6cceb1d8002af96d6cdf8e8c3533025f7
342e7a720a738bf8dbd4e5689cad6ba6a4fc6dd6808512cb4eb294fb3ecf61cd
3a3c701e282b7934017-dadc33d95e0cc57e43a124f14d852f39c2657e0081683
5999c1a4a281a853378680f20f6133e53c7f6d0167445b968eb49b844f37eab5
98fe5ed342da2b5a9d206e54b5234cfeeed35cf74b60d48eb0ef3dd1d7d7bd59
a8c68661d1632f3a55ff9b7294d7464cc2f3ece63a782c962f1dc43f0f968e33
af55b76d6c3c1f8368ddd3f9b40d1b6be50a2b97b25985d2dde1288ceab9ff24
b6844ca4d1d7c07ed349f839c861c940085f1a30bbc3fc4aad0b496e8d492ce0
b8215cafbea9c61df8835a3d52c40f9d2c6a37604dd329ef784e9d92bad1f30f
b8cceb317a5d2febcd60318c1652af61cd3d4062902820e79a9fb9a4717f7ba2
be7ec385e076c1c1f676d75e99148f05e754ef5b189e006fb53016ce9aef59e0
c679600b75c6e84b53f4e6e21f3acbec1621c38940c8f3756d0b027c7a058d9c
c802fa50409edf26e551ee0d134180aa1467a4923c759a2d3204948e14a52f12
c8525243a68cba92521fb80a73136aaa19794b4772c35d6ecfec0f82ecad5207
d3fa1155810be25f9b9a889ee64f845fc6645b2b839451b59cfa77bbc478531f
dd5f933598184426a626d261922e1e82cb009910c25447b174d46e9cac3d391a
e14d75ade6947141ac9b34f7f5743c14dbfb06f4dfb3089f82595d9b067e88c2
f126c4f8b4823954c3c69121b0632a0e2061ef13feb348eb81f634379d011913
933b4c6c48f82bbb62c9b1a430c7e758b88c03800c866b36c2da2a5f72c93657
aaeee0e6f7623f00来源：掌控安全
声明：本站部分文章及图片转载于互联网，内容版权归原作者所有，如本站任何资料有侵权请您尽早请联系jinwei@zod.com.cn进行处理,非常感谢！