Mbedbot：TLS加密的后门化僵尸网络
颁布功夫 2023-09-27GA黄金甲与广州大学网安学院发现了一个后门化的物联网DDoS僵尸网络 ，并将其定名为Mbedbot。本文将从其执行流程、通讯和谈、节造号令及后门等技术分析角度动手 ，对该僵尸网络进行全面介绍 ，以作为各行业及有关企业造订网络安全战术的参考。
2023年7月初 ，GA黄金甲在参加国度沉点研发打算项目“大规模异构物联网威胁可控捕获与分析技术（2022YFB3104100）”的钻研过程中 ，发现了一个后门化的物联网DDoS僵尸网络家族。
代码结构上 ，该僵尸网络复用了Mirai的DDoS攻击有关代码 ，并在其基础上增长https ddos以及tcp syn攻击能力。与其它基于Mirai源码的主流僵尸网络分歧的是 ，除DDoS职能之表 ，该僵尸网络还实现了远程文件治理、过程操作等诸多后门职能。
并且 ，其使用tls和谈与C2进行加密通讯。因其所用tls类库为mbedtls ，所以我们把此僵尸网络家族定名为Mbedbot。
技术分析
目前为止 ，我们临时只捕获到arm4架构的样本 ，未发显熹它架构的样本。Mbedbot整体代码很简洁 ，没有太多花哨的处所 ，实现常见操作流程后 ，即进入和C2的交互通讯。
1、执行流程
运行后 ，打印字符串"listening tun0" ，并通过监听31212端口 ，实现单一事俘运行。之后通过异或解密出字符串资源 ，与Mirai的字符串高度沉合：
随后 ，初始化DDoS攻击向量 ，共支持11个DDoS攻击方式。初始化代码以及各个DDoS代码齐全复用自Mirai：
但Mbedbot比Mirai多一个针对https和谈的DDoS攻击类型attack_app_https ，同样使用mbedtls库 ，这也是初次发现支持https和谈的DDoS攻击。
实现上述操作后 ，进入和C2交互通讯的循环函数。在交互函数里 ，首先通过异或解密出C2地址 ，并使用tls和谈和C2成立通讯。tls类库为mbedtls ，其前身是PolarSLL ，现已被ARM公司收购 ，由ARM技术团队守护更新。
使用tls加密之前网络的系统信息 ，发送给C2 ，随后期待执行C2下发的各类号令。
2、通讯和谈
Mbedbot的通讯和谈相对单一。在和C2成立tls通讯之后 ，先向C2发送4字节的上线数据长度 ，2字节的数据类型"\xFF\xFF" ，再发送受害系统信息（上线数据）。
可见 ，Mbedbot网络的系统信息很全面。其中：
huuid是硬编码的字符串 ，批示C2服务器（host）身份id;
buuid则随机天生 ，暗示受害主机（bot）身份id；
version用于批示版本信息。
发奉上线数据之后 ，执行select函数 ，尝试接管C2下发的各类号令。其中 ，Mbedbot每15分钟会向C2发送一次硬编码的“心跳“包 ，用以更新主机存活状态。发送心跳包如下：
同时C2返回的17字节心跳包数据 ，如下：
其中前16字节"\xD9\x01....\x3B\x3F"是随机天生的SessionID ，第16字节是号令码 ，\xFF暗示是心跳包数据。
3、节造号令&后门
Mbedbot实现了好多后门职能 ，蕴含文件类(创建读取上传下载执行) ，执行shell过程 ，DDoS攻击 ，实现指定过程 ，沉置C2服务器 ，退出自身过程等。
Mbedbot的号令体式比力单一 ，前16字节是C2随机天生SessionID ，统一通讯会话是唯一的。第16字节是号令码 ，其后是号令参数。
以如下号令为例：
FC12…57D2 ，16字节SessionID；
0x0F ，1字节号令码 ，此号令用来设置并沉新衔接新的C2服务器。
fakembedbotc2.com ，号令参数 ，将C2服务器沉设为此。
随后 ，受害主机尝试解析并衔接fakembedbotc2.com：
以下是各号令码及其对应后门职能：
结 语
Mbedbot齐全复用了Mirai的DDoS代码 ，并在其基础上新增两个“自延装的tcp syn攻击以及https ddos攻击能力。并且 ，针对自身的后门职能进行了丰硕 ，以尝试加强对bot主机的节造能力。
此表 ，相较于其它僵尸网络 ，Mbedbot直接使用tls加密和C2的通讯 ，只管通讯和谈自身并不复杂 ，但在tls加持下 ，可能有效的躲避通例特点指纹检测。
IOC
66.42.52.39:443
92.38.135.146:77
dftiscasdwe.w8510.com:443
京公网安备11010802024551号