幽影之网：揭密OpenNIC域名背后的新生僵尸网络DawnBot
颁布功夫 2023-06-298827太阳集团与昭通大学网安学院发现了一个使用OpenNIC域名作为C2的物联网僵尸网络，，，，，，，并将其定名为DawnBot。。 。。。本文将从僵尸网络规模及失陷主机散布、传布方式、样本技术分析等方面，，，，，，，对该僵尸网络的习染、传布、攻击全性命周期细节等进行全面介绍，，，，，，，以作为各行业及有关企业造订网络安全战术的参考。。 。。。
2023年5月中下旬，，，，，，，8827太阳集团在参加国度沉点研发打算项目“大规模异构物联网威胁可控捕获与分析技术（2022YFB3104100）”的钻研过程中，，，，，，，发现了一个使用OpenNIC域名作为C2的物联网僵尸网络。。 。。。这是继Focha之后，，，，，，，又一个使用OpenNIC域名的僵尸网络，，，，，，，并且其C2的单词语义和Fodcha极度类似。。 。。。目前，，，，，，，它的DDoS攻击并不活跃，，，，，，，但依然值得高度关注。。 。。。
在我们跟踪监测期间，，，，，，，该僵尸网络一向在急剧迭代其代码，，，，，，，甚至一天内更新数次，，，，，，，最终在6月下旬趋于不变。。 。。。有趣的是，，，，，，，它运行后会在Console上打印输出“monke”，，，，，，，并且其中一个C2域名是boat.pirate（海盗船），，，，，，，该僵尸网络节造者应该是驰名漫画《One Piece》（中文名：海贼王/航海王）的粉丝。。 。。。其中monkey是该漫画主角姓氏，，，，，，，该角色家族以字母“D”为代号，，，，，，，代表平明（Dawn）的意思。。 。。。因而我们将该僵尸网络定名为DawnBot，，，，，，，简称DBot。。 。。。
网络规模及失陷主机散布
据不齐全统计，，，，，，，DawnBot节造的境内肉鸡数（IP数推算）超过3000个，，，，，，，宽泛散布在全国24个省级行政区。。 。。。以下是被控主机排名前10位的省级行政区：
传布方式
目前为止，，，，，，，DawnBot重要使用telnet弱口令传布，，，，，，，共硬编码96个加密的telnet弱口令，，，，，，，临时还没发现利用缝隙的行为。。 。。。在最初样本里，，，，，，，并没有telnet传布职能。。 。。。后续曾参与此职能，，，，，，，但期间也曾一度取缔。。 。。。
DawnBot随机天生IP地址，，，，，，，当其23端口盛开时，，，，，，，尝试使用硬编码telnet弱口令登录。。 。。。若是登录成功，，，，，，，会把有关信息回传给如下C2服务器：smellychink[.]geek，，，，，，，telnethakkas[.]pirate，，，，，，，hellochineseman[.]dyn，，，，，，，95[.]214[.]26[.]112。。 。。。
样本技术分析
DawnBot僵尸网络支持多种CPU架构，，，，，，，蕴含arm、mips、mpsl和x86。。 。。。为了跟踪以及行文描述更方便，，，，，，，我们凭据其重要职能个性的迭代变动，，，，，，，划分为V1和V2两个版本。。 。。。以下是重要变动对比：
5月19号，，，，，，，我们初次检测到V1样本；；；；；；；6月8号出现V2样本，，，，，，，V2最大变动是使用RC4加密敏感资源，，，，，，，并参与telnet传布职能。。 。。。
在本文中，，，，，，，我们重要以V2样本为主进行分析，，，，，，，并穿插介绍V1到V2样本的重要迭代变动。。 。。。这些变动的细节可能蕴含代码逻辑的微调、加密算法的调整等。。 。。。整体而言，，，，，，，DawnBot僵尸网络维持了相对不变的基础架构和C2通讯模式。。 。。。
1、初始化
为匹敌沙盒等模拟环境的自动化分析，，，，，，，与其它盛行僵尸网络一样，，，，，，，DawnBot运行时首先会对启动参数进行查抄，，，，，，，以确保自身的安全性。。 。。。若是不携带参数，，，，，，，则直接退出。。 。。。分歧于其它家族的是，，，，，，，DawnBot运行后会将启动参数发送至C2服务器进行额表的二次校验。。 。。。
当参数正确时，，，，，，，则进入执行流程：过程名假装、解密资源、检测watchdog、开启telnet扫描。。 。。。随后和C2成立通讯并期待执行C2下发的指令。。 。。。
在V2版本中会将过程名假装成“-/bin/sh”或者“-sh”，，，，，，，V1则为“TopG”。。 。。。V2使用RC4加密敏感资源，，，，，，，在早期的V2样本里，，，，，，，依然存在部门明文字符串。。 。。。但在急剧更新迭代之后，，，，，，，最新V2版本里，，，，，，，除alphaset字符串之表，，，，，，，所有资源都被加密。。 。。。
而在V1版本中，，，，，，，所有字符串都是明文的，，，，，，，蕴含C2、OpenNIC域名系统的NameServer以及其它所有字符串。。 。。。
资源解密实现之后，，，，，，，DawnBot将在Console上打印解密出的字符串“monke”。。 。。。V1版本则是打印明文的“what color is your botnet?”。。 。。。
V2通过打开“/dev/watchdog”“/bin/watchdog”“/sbin/watchdog”设备，，，，，，，来检测Linux看门狗。。 。。。存在watchdog，，，，，，，即退出过程。。 。。。
2、OpenNIC域名
从V1到早期的V2版本，，，，，，，DawnBot一向使用OpenNIC域名作为C2服务器，，，，，，，但从6月23号起头，，，，，，，V2样本改用ICANN域名。。 。。。OpenNIC是独立于ICANN的另一套域名系统，，，，，，，它支持的TLDs如下：
DawnBot共有10个OpenNIC域名C2，，，，，，，其中3个用来回传汇报telnet传布数据。。 。。。另表7个用来作为节造C2，，，，，，，拥有二层节造结构：boat.pirate、hahaidiot.dyn、eggfriedrice.geek、stoleyourbots.geek、donteatmycat.geek、donteatmydog.geek、ihateyellowpeople.dyn。。 。。。
OpenNIC的域名无法通过常见的DNS（如8.8.8.8、114.114.114.114）解析，，，，，，，必须使用指定的NameServer。。 。。。V1硬编码了10个NameServer：
V1运行后，，，，，，，随机选择一个NameServer，，，，，，，向其要求解析C2，，，，，，，现实解析如下：
无数V2通过API接口动态获取NameSever，，，，，，，6月8号的V2使用“/geoip/?res=1&r”。。 。。。
6月12号的V2使用“/geoip/?res=10&r"，，，，，，，从6月15号起头一向使用“/geoip/?res=20&r”。。 。。。
V2通过硬编码的IP:116.203.98.109动态获取NameServer，，，，，，，并不是解析api.opennicproject.org得来的IP。。 。。。且host是假冒的1.1.1.1，，，，，，，如下动态获取NameServer：
在动态获取到NameServer之后，，，，，，，随机选择一个，，，，，，，要求解析C2域名。。 。。。
也有部门V2样本，，，，，，，内部同样硬编码了RC4加密的NameServer，，，，，，，在动态获取失败时，，，，，，，使用硬编码的NameServer解析C2。。 。。。
从6月23号起头，，，，，，，DawnBot改用ICANN系统的C2:skidlord.re，，，，，，，但对应的IP没有变动。。 。。。
DawnBot是继Fodcha之后，，，，，，，第二个尝试使用OpenNIC域名作为C2的物联网僵尸网络家族。。 。。。它C2的单词语义和Fodcha极度类似，，，，，，，险些难以分辨。。 。。。合理猜测，，，，，，，也许两者有某种关联。。 。。。目前，，，，，，，DawnBot依然在持续更新中，，，，，，，固然DDoS攻击并不活跃，，，，，，，但仍值得高度关注。。 。。。
3、通讯和谈
DawnBot和C2的通讯和谈相对单一，，，，，，，只必要4轮即可与C2成立通讯，，，，，，，且全程都是明文。。 。。。第1字节是号令码或者说数据类型。。 。。。我们运行arm7样本，，，，，，，以下是现实流量：
Step1：Bot→C2向C2发送参数，，，，，，，第1字节\x01是硬编码的号令码，，，，，，，其后是参数字符串“telnet. arm7”。。 。。。C2目前似乎只支持类似参数telnet.arm4、telnet.arm6、telnet.arm7、telnet.mips、telnet.mpsl。。 。。。我们尝试过其它参数，，，，，，，很快会收到RST包，，，，，，，或者退出过程号令。。 。。。
Step2：C2→BotC2在收到\x01暗示的参数后，，，，，，，返回确认数据\x09。。 。。。DawnBot只有收到\x09才会进行后续的操作。。 。。。不然，，，，，，，会实现当前tcp衔接，，，，，，，再沉新衔接C2。。 。。。
Step3：Bot→C2向C2发送当前所使用C2服务器字符串，，，，，，，第1字节是号令码\x10，，，，，，，随后是C2服务器donteatmycat.geek，，，，，，，暗示当前C2IP是由donteatmycat.geek解析而来。。 。。。
Step4：Bot→C2向C2发送当前权限，，，，，，，第1字节是号令码\x11，，，，，，，随后是字符串root。。 。。。若是当前不是运行在root权限下，，，，，，，则发送\x11nonroot。。 。。。
至此，，，，，，，DawnBot上线成功，，，，，，，起优期待执行C2下发的指令。。 。。。目前为止，，，，，，，只收到过6次DDoS攻击指令，，，，，，，收到的重要是C2返回的心跳数据\x02，，，，，，，但DawnBot不会有任何回应，，，，，，，即心跳包是单方面面由C2发送的。。 。。。
4、攻击指令
可能是DawnBot还处在构建迭代更新过程中，，，，，，，它的DDoS攻击不是太活跃。。 。。。截止到6月28号，，，，，，，我们只捕获到6次DDoS攻击指令。。 。。。初次捕获到的DDoS攻击指令如下：
DawnBot的攻击指令是明文的，，，，，，，各个参数以空格分隔。。 。。。DDoS号令体式为：攻击类型(1字节)、攻击指标IP、端口，，，，，，，攻击持续功夫、攻击payload长度。。 。。。上述攻击指令即是对指标85.217.xxx.xxx:80，，，，，，，提议icmp flood攻击，，，，，，，持续120秒钟，，，，，，，icmp payload长度为512字节。。 。。。
必须指出的是，，，，，，，85.217.xxx.xxx是某个非�；；；；；；；钤綧irai的C2以及下载服务器。。 。。。这颇有些黑吃黑的意味。。 。。。
DawnBot共支持12类号令，，，，，，，蕴含DDoS攻击号令，，，，，，，如下：
DawnBot支持3种和谈(tcp、udp、icmp)共5个DDoS攻击类型，，，，，，，蕴含syn_flood、ack_flood、udp_flood、udpbypass_flood、icmp_flood。。 。。。
5、与其他家族的关联
DawnBot v1会在Console上打印字符串“what color is your botnet? ”，，，，，，，我们曾分析过的新家族Andoryu是打印字符串“Project Andoryu (12/30/2022). What color is your botnet”。。 。。。
除此之表，，，，，，，它们还有一个共同点，，，，，，，城市对衔接C2失败次数进行计数。。 。。。DawnBot衔接C2失败超过肯定次数会退出过程，，，，，，，Andoryu则是将该服务器拔除不用。。 。。。这在其它主流僵尸网络里，，，，，，，并不多见。。 。。。这切实不像是偶合，，，，，，，或许两者背后的开发者存在某种关联。。 。。。
从DawnBot C2的单词语义来看，，，，，，，作者充斥了种族歧视。。 。。。这一点和Fodcha极度类似，，，，，，，两者C2险些难以分辨。。 。。。以下是两者C2的对比：
鉴于Andoryu和Focha也有肯定类似之处，，，，，，，我们合理猜测，，，，，，，很可能三者背后的攻击者存在某种关联甚至是沉合。。 。。。但目前，，，，，，，我们还没有更确切的证据。。 。。。我们会持续跟踪观察，，，，，，，查找它们之间的关联。。 。。。
IOC
关于“大规模异构物联网威胁可控捕获与分析技术”项目
8827太阳集团是国度沉点研发打算项目“大规模异构物联网威胁可控捕获与分析技术（2022YFB3104100）”课题一“异构物联网僵尸网络威胁感知关键技术及系统（2022YFB3104101）”的主题承担单元之一。。 。。。项目及课题均由昭通大学网络空间安全学院牵头，，，，，，，旨在构建大规模物联网攻击威胁自动防护能力。。 。。。
京公网安备11010802024551号