Mbedbot：TLS加密的后门化僵尸网络
颁布功夫 2023-09-278827太阳集团与昭通大学网安学院发现了一个后门化的物联网DDoS僵尸网络，， ，， ，并将其定名为Mbedbot。。。 。。。。本文将从其执行流程、通讯和谈、节造号令及后门等技术分析角度动手，， ，， ，对该僵尸网络进行全面介绍，， ，， ，以作为各行业及有关企业造订网络安全战术的参考。。。 。。。。
2023年7月初，， ，， ，8827太阳集团在参加国度沉点研发打算项目“大规模异构物联网威胁可控捕获与分析技术（2022YFB3104100）”的钻研过程中，， ，， ，发现了一个后门化的物联网DDoS僵尸网络家族。。。 。。。。
代码结构上，， ，， ，该僵尸网络复用了Mirai的DDoS攻击有关代码，， ，， ，并在其基础上增长https ddos以及tcp syn攻击能力。。。 。。。。与其它基于Mirai源码的主流僵尸网络分歧的是，， ，， ，除DDoS职能之表，， ，， ，该僵尸网络还实现了远程文件治理、过程操作等诸多后门职能。。。 。。。。
并且，， ，， ，其使用tls和谈与C2进行加密通讯。。。 。。。。因其所用tls类库为mbedtls，， ，， ，所以我们把此僵尸网络家族定名为Mbedbot。。。 。。。。
技术分析
目前为止，， ，， ，我们临时只捕获到arm4架构的样本，， ，， ，未发显熹它架构的样本。。。 。。。。Mbedbot整体代码很简洁，， ，， ，没有太多花哨的处所，， ，， ，实现常见操作流程后，， ，， ，即进入和C2的交互通讯。。。 。。。。
1、执行流程
运行后，， ，， ，打印字符串"listening tun0"，， ，， ，并通过监听31212端口，， ，， ，实现单一事俘运行。。。 。。。。之后通过异或解密出字符串资源，， ，， ，与Mirai的字符串高度沉合：
随后，， ，， ，初始化DDoS攻击向量，， ，， ，共支持11个DDoS攻击方式。。。 。。。。初始化代码以及各个DDoS代码齐全复用自Mirai：
但Mbedbot比Mirai多一个针对https和谈的DDoS攻击类型attack_app_https，， ，， ，同样使用mbedtls库，， ，， ，这也是初次发现支持https和谈的DDoS攻击。。。 。。。。
实现上述操作后，， ，， ，进入和C2交互通讯的循环函数。。。 。。。。在交互函数里，， ，， ，首先通过异或解密出C2地址，， ，， ，并使用tls和谈和C2成立通讯。。。 。。。。tls类库为mbedtls，， ，， ，其前身是PolarSLL，， ，， ，现已被ARM公司收购，， ，， ，由ARM技术团队守护更新。。。 。。。。
使用tls加密之前网络的系统信息，， ，， ，发送给C2，， ，， ，随后期待执行C2下发的各类号令。。。 。。。。
2、通讯和谈
Mbedbot的通讯和谈相对单一。。。 。。。。在和C2成立tls通讯之后，， ，， ，先向C2发送4字节的上线数据长度，， ，， ，2字节的数据类型"\xFF\xFF"，， ，， ，再发送受害系统信息（上线数据）。。。 。。。。
可见，， ，， ，Mbedbot网络的系统信息很全面。。。 。。。。其中：
huuid是硬编码的字符串，， ，， ，批示C2服务器（host）身份id;
buuid则随机天生，， ，， ，暗示受害主机（bot）身份id ；；；；；
version用于批示版本信息。。。 。。。。
发奉上线数据之后，， ，， ，执行select函数，， ，， ，尝试接管C2下发的各类号令。。。 。。。。其中，， ，， ，Mbedbot每15分钟会向C2发送一次硬编码的“心跳“包，， ，， ，用以更新主机存活状态。。。 。。。。发送心跳包如下：
同时C2返回的17字节心跳包数据，， ，， ，如下：
其中前16字节"\xD9\x01....\x3B\x3F"是随机天生的SessionID，， ，， ，第16字节是号令码，， ，， ，\xFF暗示是心跳包数据。。。 。。。。
3、节造号令&后门
Mbedbot实现了好多后门职能，， ，， ，蕴含文件类(创建读取上传下载执行)，， ，， ，执行shell过程，， ，， ，DDoS攻击，， ，， ，实现指定过程，， ，， ，沉置C2服务器，， ，， ，退出自身过程等。。。 。。。。
Mbedbot的号令体式比力单一，， ，， ，前16字节是C2随机天生SessionID，， ，， ，统一通讯会话是唯一的。。。 。。。。第16字节是号令码，， ，， ，其后是号令参数。。。 。。。。
以如下号令为例：
FC12…57D2，， ，， ，16字节SessionID ；；；；；
0x0F，， ，， ，1字节号令码，， ，， ，此号令用来设置并沉新衔接新的C2服务器。。。 。。。。
fakembedbotc2.com，， ，， ，号令参数，， ，， ，将C2服务器沉设为此。。。 。。。。
随后，， ，， ，受害主机尝试解析并衔接fakembedbotc2.com：
以下是各号令码及其对应后门职能：
结 语
Mbedbot齐全复用了Mirai的DDoS代码，， ，， ，并在其基础上新增两个“自延装的tcp syn攻击以及https ddos攻击能力。。。 。。。。并且，， ，， ，针对自身的后门职能进行了丰硕，， ，， ，以尝试加强对bot主机的节造能力。。。 。。。。
此表，， ，， ，相较于其它僵尸网络，， ，， ，Mbedbot直接使用tls加密和C2的通讯，， ，， ，只管通讯和谈自身并不复杂，， ，， ，但在tls加持下，， ，， ，可能有效的躲避通例特点指纹检测。。。 。。。。
IOC
66.42.52.39:443
92.38.135.146:77
dftiscasdwe.w8510.com:443
京公网安备11010802024551号