近日，Sucuri和ESET公司結(jié)合研究，發(fā)現(xiàn)近期Blackhole在報復(fù)打擊中利用了一種“精美”的apache后門—— Linux/Cdorked.A。
Linux/Cdorked.A后門除點(diǎn)竄了守護(hù)過程“httpd”外，不會在硬盤中留下任何線索，所有有關(guān)后門的信息都存放在辦事器的共享內(nèi)存中。報復(fù)打擊者會經(jīng)由過程HTTP要求來發(fā)送后門的建設(shè)信息，不單會顛末混合措置，并且不會被常規(guī)的apache日記記實(shí)，從而削減被傳統(tǒng)監(jiān)控東西發(fā)現(xiàn)的可能。而建設(shè)文件信息也是存放在內(nèi)存中，這意味著后門的C&C辦事器信息不成見，使得取證闡發(fā)加倍復(fù)雜。
當(dāng)拜候被攻下的的web辦事器時，它不是簡單的就被重定向到歹意網(wǎng)站，還會設(shè)置一個cookie，從而第二次拜候的時辰不會再重定向到歹意網(wǎng)站。以此削減被思疑的風(fēng)險。并且cookie對治理頁面進(jìn)行出格設(shè)置，不傳染治理頁面，后門會查抄拜候者的referrer字段，這個手藝手段跟Darkleech apache后門很近似，而事實(shí)上恰是Sucuri和ESET延續(xù)跟蹤Darkleech木馬時發(fā)現(xiàn)了它有了新的這個改變。
兩個安然公司在比來幾個月里，發(fā)現(xiàn)了一些基于cPanel的受傳染辦事器上，歹意軟件手法不再是增加模塊，或點(diǎn)竄apache建設(shè)文件，而是開端替代Apache的守護(hù)過程文件httpd，此前安然公司Sucuri曾建議利用“rpm -Va”、“rpm -qf”或“dpkg -S”來查抄Apache的模塊是不是被點(diǎn)竄了。但是cPanel把a(bǔ)pache安裝在/usr/local/apache上，不成以用上面提到的包治理東西號令來進(jìn)行查抄Apache二進(jìn)制文件httpd是不是被點(diǎn)竄了。Sucuri公司跟蹤到此類型報復(fù)打擊，把被點(diǎn)竄的httpd提交給了ESET進(jìn)行闡發(fā)。下面請看具體的闡發(fā)。
共享內(nèi)存存儲木馬有關(guān)信息：
闡發(fā)被點(diǎn)竄的httpd發(fā)現(xiàn)，它會成立大年夜約6M的共享內(nèi)存，以此來存放建設(shè)信息，這個共享內(nèi)存不單可以被所有Apache的子過程利用，并且設(shè)計者沒有做限制，任何其他過程都可以拜候到。以下圖所示：
經(jīng)由過程HTTP要求節(jié)制木馬：
報復(fù)打擊者有兩種編制節(jié)制被植進(jìn)后門的辦事器。一個是經(jīng)由過程反向連接的shell，一個是經(jīng)由過程特別的號令。兩個別例都是經(jīng)由過程HTTP要求來觸發(fā)。
經(jīng)由過程特別的HTTP GET要求，便可以觸發(fā)擺設(shè)了反向連接后門的http辦事器。要求是一個特制的地址，包含查詢特定格局的字符串，包含hostname和端口。而要求者的ip是用于解密要求字符串的key(一個4byte的XOR key)。別的，在http頭信息里X-Real-IP或X-Forwarded-For字段內(nèi)的ip地址會籠蓋作為異或key(XOR key)的客戶端IP地址。是以研究人員可以捏造一個 X-Real-IP頭信息，作為解密的key如 “\x00\x00\x00\x00” key 。最后，所有要求查詢的字符串城市顛末hex編碼才發(fā)送給傳染木馬的web辦事器。
而因?yàn)閔ttpd被hook了，所以這個被修悔改的apache是不會把這類要求記實(shí)到log文件中。
重定向：
當(dāng)用戶拜候受傳染的web辦事器，被重定向的時辰，辦事器的歹意軟件會在返回的重定向內(nèi)容中加進(jìn)顛末base64編碼的信息，好比原始拜候的URL，原始要求是不是來自javascript等，辦事器(正在存放歹意內(nèi)容的辦事器)以此鑒定可供給響應(yīng)的payload。例如：
Location: hxxp://dcb84fc82e1f7b01. ******gsm.be/index.php?j=anM9MSZudmNiaW11Zj1jY3
Zja3FqdSZ0aW1lPTEzMDQxNjE4MjctMzYwNDUzNjUwJnNyYz0yMzImc3VybD13d3cuaW5mZWN0ZWRzZXJ2
ZXIuY29tJnNwb3J0PTgwJmtleT0xM0Q5MDk1MCZzdXJpPS9mb3J1bS93Y2YvanMvM3JkUGFydHkvcHJvdG
9hY3Vsb3VzLjEuOC4yLm1pbi5qcw==
顛末解碼后：
js=1&nvcbimuf=ccvckqju&time=1304161827-360453650&src=232&surl=www.infectedserver
.com&sport=80&key=13D90950&suri=/forum/wcf/js/3rdParty/protoaculous.1.8.2.min.js
此中surl參數(shù)顯示來自哪個受傳染的主機(jī)。suri顯示原始的要求來歷。
Sucuri公司的闡發(fā)發(fā)現(xiàn)會被重定向到一些***，有一些則重定向到Blackhole Exploit Kit。
設(shè)置cookie：
當(dāng)重定向后，就會給來訪的客戶端設(shè)置一個cookie，以包管不會再被重定向。而疑似為治理頁面的要求也會設(shè)置cookie，不會被重定向。木馬會查抄URL，server name，referer，假定有關(guān)治理的字符串，就不會發(fā)送歹意內(nèi)容到治理者的website。這些字符串包含：‘*adm*’, ‘*webmaster*’, ‘*submit*’, ‘*stat*’, ‘*mrtg*’, ‘*webmin*’, ‘*cpanel*’, ‘*memb*’, ‘*bucks*’, ‘*bill*’, ‘*host*’, ‘*secur*’, ‘*support*’。以下圖所示：
應(yīng)對：
ESET寫了個腳本，讓系統(tǒng)治理員可以查抄共享內(nèi)存的內(nèi)容，和把內(nèi)容導(dǎo)出到一個文件中。因?yàn)椴《咀髡邲]有限制共享內(nèi)存的拜候，任何過程都可對木馬成立的那段共享內(nèi)存進(jìn)行拜候。
Sucuri則建議查抄h(huán)ttpd的地點(diǎn)目次是不是存在“open_tty”。
# grep -r open_tty /usr/local/apache/
假定在apache二進(jìn)制文件中發(fā)現(xiàn)了open_tty則很可能已收傳染，因?yàn)樵嫉腶pache二進(jìn)制文件不會調(diào)用open_tty。
今朝查詢拜訪仍未能清晰這些web辦事器是若何被進(jìn)侵的。有多是SSH暴力破解。