PsixBot调研

于今日，发现了PsixBot的新版本1.0.2。借此机会，学习调研了v1.0.1与v1.0.2两个版本。

PsixBot发展历程

• 2017年中期：发现第一个版本（SHA256：d2ee07bf04947cac64cc372123174900725525c20211e221110b9f91b7806332）
• 2018年8月：发现新版本（SHA256：ce0e46fa1c5b463ed4a070a05594a79203ed2dd5df96cece9f875e2957fda4fa）
• 2019年初：v1.0.1（SHA256：ca30c42334fcc693320772b4ce1df26fe5f1d0110bc454ec6388d79dffea4ae8）
• 2019年中期：v1.0.2（）

1.0.1与1.0.2对比

1.0.1	1.0.2
将OpenNIC DNS服务器的IP硬编码到程序中	通过URL缩址服务tiny.cc来获取查询C2服务器的对应DNS服务器
使用json格式传输C2数据	使用json格式传输C2数据

PsixBot 1.0.2 ——C2寻址流程分析

1. 将缩址URL硬编码在程序中

通过请求硬编码的缩址URL，得到HTTP 303 See Other响应，在响应的Location中含有一个十六进制编码的域——3138352e3232382e32333342e323034.com。
但这个域不是用于下一步请求，而是解码其中的十六进制地址，得到攻击者控制的DNS服务器地址：185.228.234.204。
2. ping解码得到的DNS服务器地址，查看服务器是否在线
3. 如果DNS服务器在线，则向服务器请求解析域名adm4.bit（adm[1~10].bit均可）
4. DNS服务器返回C2服务器地址185.159.129.37
5. ping C2服务器，查看服务器是否在线
6. 如果C2服务器在线，则与C2服务器HTTPS通信

参考资料

• PsixBot 1.0.1: https://blog.fox-it.com/2019/03/27/psixbot-the-evolution-of-a-modular-net-bot/
• PsixBot 1.0.2: https://www.proofpoint.com/us/threat-insight/post/psixbot-continues-evolve-updated-dns-infrastructure