一例phorpiex僵尸网络样本分析

已于 2023-11-02 22:17:07 修改
阅读量354 收藏 2
点赞数 2
分类专栏： 恶意代码分析 文章标签： 恶意代码分析 安全
于 2023-11-02 21:45:29 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/a854596855/article/details/134191926
版权

概述

这例样本属于phorpiex僵尸网络家族，情报显示与GrandCrab勒索病毒有关联。

该样本首先在内存中通过两次解密释放出一段shellcode，shellcode又解密了一个pe，使用个PE替换掉当前进程内存，最后跳转到该PE入口点执行。
该样本会修改主机安全策略和防火墙策略，会检测沙箱环境。

通过感染网络磁盘和可移动存储介质传播，会感染系统中压缩文件（向压缩包中添加病毒副本），包括所有的zip,rar,7z,tar文件，会向C2下载后续攻击 载荷执行，使用了类似DGA域名的技术（共涉及120个c2地址）。代码中有许多无用的冗余代码，用于对抗分析。

样本基本信息

Verified:    Unsigned
Link date:    13:33 2017/11/4
MD5:    B095AD570646218EC5EB436BFE766508
SHA1:    B216E92E07B6BFA501D874296C630B7A6501FA52
SHA256: 6f7feb333bff5c66d88f23ae3cb609d2de451ec99f05b98c904913794b2d3b2a

整个样本的执行过程分为三个阶段，第一阶段是解密一段shellcode，跳转到shellcode入口执行；第二阶段是进入shellcode，解密一个pe，加载到0x400000处（替换当前进程的内存），跳转到PE的Entrypoint执行；第三阶段是执行PE，完成病毒的主要功能。

下面分别介绍这三个阶段。

第一阶段

第一阶段的主要功能是在内存中解密一段shellcode，里面有很多冗余代码，给分析带来不少的困扰。使用IDA可以发现，首先使用LocalAlloc分配了一段内存。在LocalAlloc处下断点，分配了一段0x56E8的buffer。

将镜像中地址0x40ca30处，大小为0x56E8的一段内容，拷贝到新分配的buffer中。

在docode1_401000函数中对buffer进行解密，将解密后的内容在存放在一段新的buffer2中，解密后的大小为0x412E。这是第一层解密。

然后使用VirtualProtect修改buffer2的内存属性为RWX.

接着进行第二次解密，这次使用异或解密。

二次解密相对比较简单，用C伪代码表示如下 。

#include <stdio.h>
#include <windows.h>

void decode2(char* buf,int size){
    int gVar = 0xA240d836;
    gVar = 0x343FD*gVar+0x2625A0+0x7923;
    DWORD key =  0x7fff & HIWORD(gVar);
    for (int i; i<size;i++)
    {
        buf[i] ^= LOBYTE(key);
    }
}

最后跳转到解密后的shellcode起始位置执行，这里借助pchunter将这段shellcode提取出来，进行静态分析。

第二阶段 shllcode分析

这段shellcode的主要功能是在内存中解密一个pe，并加载执行。

首先，通过PEB的方式获取了进程的基址和LoadLibraryA和GetProcAddress的地址。

通过LoadLibraryA和GetProcAddress获取到了一系列API的地址。如下所示。

调用SetErrorMode函数来检测是否在沙箱环境下。（原理可见参考资料）

接着解密出来一个PE文件，将当前进程的内存清空，将解密出来的PE加载到当前进程内存空间，shellcode里面有一个PE加载器，执行拷贝PE头和各节，加载dll构造IAT，进行地址重定位，最后跳转到EntryPoint执行。

在解密处下断点，将这段内存dump出来。这是一个PE，执行病毒的主要功能。

第三阶段 分析dump出来的pe

这个PE的功能比较简单，使用IDA pro很容易分析明白。

dump出来的PE的基本信息

MD5: d829a015f21c9d1f6bf69281e82dd765
SHA1: 1449e2b18b658f2b18a55f0d91af1448d4598532
SHA256: 8c51d3f62e4c2a1c11f744efbb92bed296c96f06605fb69c697d3ab904e847
Verified:    Unsigned
Link date:    19:31 2018/11/29
MachineType:    32-bit

首先检测是否是沙箱环境中。通过检测kernel32.dll模块中是否有有wine_get_unix_file_name函数，来判断当前环境是否是Wine模拟器环境。

若存在下列进程，退出；若存在模块 sbiedll.dll sbiedllx.dll dir_watch.dll wpespy.dll 退出。

python.exe
pythonw.exe
prl_cc.exe
prl_tools.exe
vmsrvc.exe
vmusrvc.exe
xenservice.exe
vboxservice.exe
vboxtray.exe
vboxcontrol.exe
vmwareservice.exe
vmwaretray.exe
tpautoconnsvc.exe
vmtoolsd.exe
vmwareuser.exe

创建互斥量 4950605050040，若存在同名互斥量，退出 。

在系统目录 %windir%、%userprofile%、%appdata%、%temp% 之一中创建目录4960650049563030， 将自己拷贝为winsvcs.exe。

添加开机启动项Microsoft Windows Services，用于启动winsvcs.exe。

修改系统的防火墙策略，禁用安全中心设置，禁用系统还原。修改的注册表项如下。

HKEY_LOCAL_MACHINE\SYSTEM\\CurrentControlSet\\Services\\SharedAccess\\Parameters\\FirewallPolicy\\StandardProfile\\AuthorizedApplications\\List\\
[%windir% %userprofile% %appdata% %temp%]之一 + \4960650049563030\winsvcs.exe  4960650049563030\winsvcs.exe:*:Enabled:Microsoft Windows Services


HKEY_LOCAL_MACHINE\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\DisableAntiSpyware=1


HKEY_LOCAL_MACHINE\SOFTWARE\\Policies\\Microsoft\\Windows Defender\\Real-Time Protection\\
DisableScanOnRealtimeEnable=1
DisableOnAccessProtection=1
DisableBehaviorMonitoring=1

禁用
HKEY_LOCAL_MACHINE\SOFTWARE\\Microsoft\\Security Center\\
AntiVirusOverride=1
UpdatesOverride=1
FirewallOverride=1
AntiVirusDisableNotify=1
UpdatesDisableNotify=1
AutoUpdateDisableNotify=1
FirewallDisableNotify=1

HKEY_LOCAL_MACHINE\SOFTWARE\\Microsoft\\Security Center\\svc\
AntiVirusOverride=1
UpdatesOverride=1
FirewallOverride=1
AntiVirusDisableNotify=1
UpdatesDisableNotify=1
AutoUpdateDisableNotify=1
FirewallDisableNotify=1

禁用系统还原
HKEY_LOCAL_MACHINE\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\SystemRestore\\DisableSR=1

下面介绍病毒的感染过程和网络行为。

感染行为

下面深入讲一下这个病毒是如何感染系统 的。

感染可移动存储介质和网络驱动器

通过遍历系统内的所有驱动器，感染其中的可移动存储介质和网络驱动器。

感染U盘的过程：删除U盘根目录下的后缀名为lnk vbs bat js scr com jse cmd pif jar dll的文件，在U盘根目录下创建名为_的目录，将U盘下所有的文件移动到该目录下，将病毒副本拷贝到_目录下，命名为DeviceManager.exe。在U盘的根目录下创建一个以卷名命名的快捷方式文件，图标为驱动器图标（shell32.dll 8），指向%windir%\\system32\\cmd.exe /c start _ & _\\DeviceManager.exe & exit。在U盘的根目录创建autorun.inf文件，内容为[autorun]\nopen=_\\DeviceManager.exe\nUseAutoPlay=1.

感染网络驱动器过程相同，只是快捷方式的图标为网络驱动器图标（shell32.dll 9）。

感染系统中的压缩文件

检查文件%appdata%\winsvcs_.txt是否存在，若存在，说明已经感染过，跳过；若不存在，则创建该文件并隐藏，遍历系统中所有驱动器，感染其中的压缩文件。

感染后缀名为zip、rar、7z、tar的文件，将自身副本添加中到压缩文件中，命名为Windows Archieve Manager.exe。

若碰到下列路径，会使用自身副本替换路径下的exe文件。

\\public_html
\\htdocs
\\httpdocs
\\wwwroot
\\ftproot
\\share
\\income
\\upload

网络行为

这个样本中硬编码了120个url，如下，其中有119个域名和1个IP，这些域名有点像DGA域名，应该只有其中部分有效。

http://ssofhoseuegsgrfnu.ru/
http://92.63.197.48/
http://slpsrgpsrhojifdij.ru/
http://aiiaiafrzrueuedur.ru/
http://fuaiuebndieufeufu.ru/
http://eiifngjfksisiufjf.ru/
http://eoroooskfogihisrg.ru/
http://noeuaoenriusfiruu.ru/
http://iuirshriuisruruuf.ru/
http://afeifieuuufufufuf.ru/
http://srndndubsbsifurfd.ru/
http://fiiauediehduefuge.ru/
http://nousiieiffgogogoo.ru/
http://fifiehsueuufidhfi.ru/
http://eofihsishihiursgu.ru/
http://nnososoosjfeuhueu.ru/
http://ssofhoseuegsgrfnj.su/
http://slpsrgpsrhojifdij.su/
http://aiiaiafrzrueuedur.su/
http://fuaiuebndieufeufu.su/
http://eiifngjfksisiufjf.su/
http://eoroooskfogihisrg.su/
http://noeuaoenriusfiruu.su/
http://iuirshriuisruruuf.su/
http://afeifieuuufufufuf.su/
http://srndndubsbsifurfd.su/
http://fiiauediehduefuge.su/
http://nousiieiffgogogoo.su/
http://fifiehsueuufidhfi.su/
http://eofihsishihiursgu.su/
http://nnososoosjfeuhueu.su/
http://ssofhoseuegsgrfnj.in/
http://slpsrgpsrhojifdij.in/
http://aiiaiafrzrueuedur.in/
http://fuaiuebndieufeufu.in/
http://eiifngjfksisiufjf.in/
http://eoroooskfogihisrg.in/
http://noeuaoenriusfiruu.in/
http://iuirshriuisruruuf.in/
http://afeifieuuufufufuf.in/
http://srndndubsbsifurfd.in/
http://fiiauediehduefuge.in/
http://nousiieiffgogogoo.in/
http://fifiehsueuufidhfi.in/
http://eofihsishihiursgu.in/
http://nnososoosjfeuhueu.in/
http://ssofhoseuegsgrfnj.net/
http://slpsrgpsrhojifdij.net/
http://aiiaiafrzrueuedur.net/
http://fuaiuebndieufeufu.net/
http://eiifngjfksisiufjf.net/
http://eoroooskfogihisrg.net/
http://noeuaoenriusfiruu.net/
http://iuirshriuisruruuf.net/
http://afeifieuuufufufuf.net/
http://srndndubsbsifurfd.net/
http://fiiauediehduefuge.net/
http://nousiieiffgogogoo.net/
http://fifiehsueuufidhfi.net/
http://eofihsishihiursgu.net/
http://ssofhoseuegsgrfnj.biz/
http://slpsrgpsrhojifdij.biz/
http://aiiaiafrzrueuedur.biz/
http://fuaiuebndieufeufu.biz/
http://eiifngjfksisiufjf.biz/
http://eoroooskfogihisrg.biz/
http://noeuaoenriusfiruu.biz/
http://iuirshriuisruruuf.biz/
http://afeifieuuufufufuf.biz/
http://srndndubsbsifurfd.biz/
http://fiiauediehduefuge.biz/
http://nousiieiffgogogoo.biz/
http://fifiehsueuufidhfi.biz/
http://eofihsishihiursgu.biz/
http://nnososoosjfeuhueu.net/
http://ssofhoseuegsgrfnj.com/
http://slpsrgpsrhojifdij.com/
http://aiiaiafrzrueuedur.com/
http://fuaiuebndieufeufu.com/
http://eiifngjfksisiufjf.com/
http://eoroooskfogihisrg.com/
http://noeuaoenriusfiruu.com/
http://iuirshriuisruruuf.com/
http://afeifieuuufufufuf.com/
http://srndndubsbsifurfd.com/
http://fiiauediehduefuge.com/
http://nousiieiffgogogoo.com/
http://fifiehsueuufidhfi.com/
http://eofihsishihiursgu.com/
http://nnososoosjfeuhueu.com/
http://ssofhoseuegsgrfnj.biz/
http://slpsrgpsrhojifdij.biz/
http://aiiaiafrzrueuedur.biz/
http://fuaiuebndieufeufu.biz/
http://eiifngjfksisiufjf.biz/
http://eoroooskfogihisrg.biz/
http://noeuaoenriusfiruu.biz/
http://iuirshriuisruruuf.biz/
http://afeifieuuufufufuf.biz/
http://srndndubsbsifurfd.biz/
http://fiiauediehduefuge.biz/
http://nousiieiffgogogoo.biz/
http://fifiehsueuufidhfi.biz/
http://eofihsishihiursgu.biz/
http://nnososoosjfeuhueu.biz/
http://ssofhoseuegsgrfnj.info/
http://slpsrgpsrhojifdij.info/
http://aiiaiafrzrueuedur.info/
http://fuaiuebndieufeufu.info/
http://eiifngjfksisiufjf.info/
http://eoroooskfogihisrg.info/
http://noeuaoenriusfiruu.info/
http://iuirshriuisruruuf.info/
http://afeifieuuufufufuf.info/
http://srndndubsbsifurfd.info/
http://fiiauediehduefuge.info/
http://nousiieiffgogogoo.info/
http://fifiehsueuufidhfi.info/
http://eofihsishihiursgu.info/
http://nnososoosjfeuhueu.info/

当病毒运行后，会依次请求这120个域名，访问http://[c2]/tldr.php?newinf=1来告诉C2已经上线了。User-Agent为"Mozilla/5.0 (Macintosh; Intel Mac OS X 10.9; rv:25.0) Gecko/20100101 Firefox/25.0"。

之后会请求http://[c2]/tldr.php?online=1，向http://[c2]/[t|m|p|s|o].exe请求一个可执行文件，保存为临时文件并运行。

感染后的症状

感染后，U盘中所有的文件在隐藏目录_中

快捷方式的目标如下，_目录下的DeviceManger.exe为病毒副本。

U盘根目录下，有一个隐藏的autorun.inf文件，如下所示。

感染后的rar文件，里面多了一个Windows Archieve Manager.exe文件，为病毒副本。

感染后的zip文件，里面多了一个Windows Archieve Manager.exe文件，为病毒副本。

感染后的.7z文件格式错误无法打开。

遇到含有下列关键字的路径，将下面的exe程序替换成病毒副本。如下图所示。

\\public_html
\\htdocs
\\httpdocs
\\wwwroot
\\ftproot
\\share
\\income
\\upload

IOC

hash

文件
%appdata%\winsvcs_.txt 
%windir%\4960650049563030\winsvcs.exe
%userprofile%\4960650049563030\winsvcs.exe
%appdata%\4960650049563030\winsvcs.exe
%temp%\4960650049563030\winsvcs.exe
%temp%\Windows Archive Manager.exe
%temp%\[随机数字].exe
U盘或网络驱动器
X:\_\DeviceManager.exe
X:\autorun.inf
X:\[卷名].lnk
压缩包中有一个文件 Windows Archive Manager.exe

互斥量
4960650049563030


注册表
添加开机启动项
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Microsoft Windows Services"="C:\4960650049563030\winsvcs.exe"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Microsoft Windows Services"="C:\4960650049563030\winsvcs.exe"

禁用windows Defender
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\DisableAntiSpyware=1

禁用windows Defender实时防护
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\real-Time Protection\DisableScanOnRealtimeEnable=1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\real-Time Protection\DisableOnAccessProtection=1
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender\real-Time Protection\DisableBehaviorMonitoring=1

禁用windows安全中心的一些功能
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusOverride=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesOverride=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallOverride=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AutoUpdateDisableNotify=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify=1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\AntiVirusOverride=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\UpdatesOverride=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\FirewallOverride=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\AntiVirusDisableNotify=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\UpdatesDisableNotify=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\AutoUpdateDisableNotify=1
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\svc\FirewallDisableNotify=1

禁用系统还原
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows  NT\CurrentVersion\SystemRestore\DisableSR=1


网络
http://ssofhoseuegsgrfnu.ru/
http://92.63.197.48/
http://slpsrgpsrhojifdij.ru/
http://aiiaiafrzrueuedur.ru/
http://fuaiuebndieufeufu.ru/
http://eiifngjfksisiufjf.ru/
http://eoroooskfogihisrg.ru/
http://noeuaoenriusfiruu.ru/
http://iuirshriuisruruuf.ru/
http://afeifieuuufufufuf.ru/
http://srndndubsbsifurfd.ru/
http://fiiauediehduefuge.ru/
http://nousiieiffgogogoo.ru/
http://fifiehsueuufidhfi.ru/
http://eofihsishihiursgu.ru/
http://nnososoosjfeuhueu.ru/
http://ssofhoseuegsgrfnj.su/
http://slpsrgpsrhojifdij.su/
http://aiiaiafrzrueuedur.su/
http://fuaiuebndieufeufu.su/
http://eiifngjfksisiufjf.su/
http://eoroooskfogihisrg.su/
http://noeuaoenriusfiruu.su/
http://iuirshriuisruruuf.su/
http://afeifieuuufufufuf.su/
http://srndndubsbsifurfd.su/
http://fiiauediehduefuge.su/
http://nousiieiffgogogoo.su/
http://fifiehsueuufidhfi.su/
http://eofihsishihiursgu.su/
http://nnososoosjfeuhueu.su/
http://ssofhoseuegsgrfnj.in/
http://slpsrgpsrhojifdij.in/
http://aiiaiafrzrueuedur.in/
http://fuaiuebndieufeufu.in/
http://eiifngjfksisiufjf.in/
http://eoroooskfogihisrg.in/
http://noeuaoenriusfiruu.in/
http://iuirshriuisruruuf.in/
http://afeifieuuufufufuf.in/
http://srndndubsbsifurfd.in/
http://fiiauediehduefuge.in/
http://nousiieiffgogogoo.in/
http://fifiehsueuufidhfi.in/
http://eofihsishihiursgu.in/
http://nnososoosjfeuhueu.in/
http://ssofhoseuegsgrfnj.net/
http://slpsrgpsrhojifdij.net/
http://aiiaiafrzrueuedur.net/
http://fuaiuebndieufeufu.net/
http://eiifngjfksisiufjf.net/
http://eoroooskfogihisrg.net/
http://noeuaoenriusfiruu.net/
http://iuirshriuisruruuf.net/
http://afeifieuuufufufuf.net/
http://srndndubsbsifurfd.net/
http://fiiauediehduefuge.net/
http://nousiieiffgogogoo.net/
http://fifiehsueuufidhfi.net/
http://eofihsishihiursgu.net/
http://ssofhoseuegsgrfnj.biz/
http://slpsrgpsrhojifdij.biz/
http://aiiaiafrzrueuedur.biz/
http://fuaiuebndieufeufu.biz/
http://eiifngjfksisiufjf.biz/
http://eoroooskfogihisrg.biz/
http://noeuaoenriusfiruu.biz/
http://iuirshriuisruruuf.biz/
http://afeifieuuufufufuf.biz/
http://srndndubsbsifurfd.biz/
http://fiiauediehduefuge.biz/
http://nousiieiffgogogoo.biz/
http://fifiehsueuufidhfi.biz/
http://eofihsishihiursgu.biz/
http://nnososoosjfeuhueu.net/
http://ssofhoseuegsgrfnj.com/
http://slpsrgpsrhojifdij.com/
http://aiiaiafrzrueuedur.com/
http://fuaiuebndieufeufu.com/
http://eiifngjfksisiufjf.com/
http://eoroooskfogihisrg.com/
http://noeuaoenriusfiruu.com/
http://iuirshriuisruruuf.com/
http://afeifieuuufufufuf.com/
http://srndndubsbsifurfd.com/
http://fiiauediehduefuge.com/
http://nousiieiffgogogoo.com/
http://fifiehsueuufidhfi.com/
http://eofihsishihiursgu.com/
http://nnososoosjfeuhueu.com/
http://ssofhoseuegsgrfnj.biz/
http://slpsrgpsrhojifdij.biz/
http://aiiaiafrzrueuedur.biz/
http://fuaiuebndieufeufu.biz/
http://eiifngjfksisiufjf.biz/
http://eoroooskfogihisrg.biz/
http://noeuaoenriusfiruu.biz/
http://iuirshriuisruruuf.biz/
http://afeifieuuufufufuf.biz/
http://srndndubsbsifurfd.biz/
http://fiiauediehduefuge.biz/
http://nousiieiffgogogoo.biz/
http://fifiehsueuufidhfi.biz/
http://eofihsishihiursgu.biz/
http://nnososoosjfeuhueu.biz/
http://ssofhoseuegsgrfnj.info/
http://slpsrgpsrhojifdij.info/
http://aiiaiafrzrueuedur.info/
http://fuaiuebndieufeufu.info/
http://eiifngjfksisiufjf.info/
http://eoroooskfogihisrg.info/
http://noeuaoenriusfiruu.info/
http://iuirshriuisruruuf.info/
http://afeifieuuufufufuf.info/
http://srndndubsbsifurfd.info/
http://fiiauediehduefuge.info/
http://nousiieiffgogogoo.info/
http://fifiehsueuufidhfi.info/
http://eofihsishihiursgu.info/
http://nnososoosjfeuhueu.info/
http://[host]/tldr.php?newinf=1
http://[host]/tldr.php?online=1
http://[host]/m.exe
http://[host]/p.exe
http://[host]/s.exe
http://[host]/o.exe
UserAgent:Mozilla/5.0 (Macintosh; Intel Mac OS X 10.9; rv:25.0) Gecko/20100101 Firefox/25.0

# 总结

这个样本使用的以下技术：

  1. 使用好几种检测沙箱的方式，比如SetErrorMode、wine_get_unix_file_name函数、检测特定进程等等；

  2. 使用了众多个域名来规避检测；

  3. 感染压缩包的方式，使用COM接口来操作rar，zip和tar格式文件，不过7z格式文件有问题。

  4. 使用注册表关闭系统安全设置，很多注册表项先前都不知道。

    总之，分析过程确实长知识了。

参考资料

~巴哥~
关注
  • 2
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Mirai僵尸网络恶意程序分析和监测数据研究
01-20
近年来，随着物联网的兴起，以僵尸网络为代表的恶意程序正在逐渐向物联网领域渗透，已经出现利用物联网脆弱的安全防护进行传播并发动拒绝服务攻击的恶意代码。首先介绍了Mirai僵尸网络的整体架构，对其受控端和控制端等多个组件的主要功能进行了研究；然后对通过主动和被动方式获取的监测数据展开分析，并在此基础上，对Mirai僵尸网络恶意程序的监测发现和应对建议进行了讨论。
基于DNS 流量分析异常的僵尸网络检测.zip
03-20
网络安全加密流量分析，内含特征提取、算法模型以及环境搭建教程
linux抓取僵尸网络进程脚本
11-24
linux抓取僵尸网络进程脚本
详解感染华硕路由器的P2P僵尸网络程序
10-01
很多电脑用户对于华硕路由器感染僵尸网络很迷茫，下面小编主要针对这个问题为大家讲解感染华硕路由器的P2P僵尸网络程序TheMoon，希望可以帮助到大家
僵尸网络技术发展新趋势分析
01-20
近年来，僵尸网络不断发展，已经成为一项能够带来高额利益的地下黑色产业。本文提出僵尸网络控制者面临的主要挑战，以及其未来可能采取的应对这些挑战的方法。本文介绍了一些可能用来提高僵尸网络能力的方法，包括利用层次化的和可扩展的方式来构建僵尸程序、利用Metasploit等来快速构建攻击方法、利用Gnutella和Skype等系统构建P2P网络、利用数字签名进行认证等方法等，隐蔽的通信频道研究可用使僵尸网络更加可靠、易扩展，使僵尸网络更加难以被清除。
Phorpiex僵尸网络技术分析（一）
systemino的博客
04-10 1444
一、概述 截至目前，Phorpiex僵尸网络已经至少感染了1000000台Windows计算机。此前，我们曾经详细介绍了僵尸网络的架构、命令与控制基础结构以及加密劫持的方法，详细可以参考翻译文章《暴利营生的背后：揭秘Phorpiex僵尸网络的赚钱体系》、《肆虐的性勒索邮件，躺赚的Phorpiex botnet幕后人员》。 在本文中，我们将详细介绍该僵尸网络用于实现恶意模块的技术细节。 Pho...
一例Phorpiex僵尸网络样本分析
好好学习，天天向上
07-02 1035
本文主要分析Phorpiex僵尸网络的一个变种，该样本通常NSIS打包，能够检测虚拟机和沙箱。病毒本体伪装为一个文件夹，通过U盘来传播，会隐藏系统中各盘符根目录下的文件夹，创建同名的lnk文件，诱导用户点击。
电力系统僵尸网络检测分析
10-16
为了应对电力系统中日趋严重的安全问题，阐述了僵尸网络在电力二次系统中部署和传播的可能性，分析了僵尸网络在活动时产生的报文特征和流量的行为特性，并针对电力二次系统僵尸网络的特点，提出了两种可部署于网络...
保护路由器 避免成为僵尸网络中的一员
10-01
研究人员追踪这些恶意流量刘翔的路由器和运营商网络，发现这些攻击来自于世界各地。而且这些被感染的路由器被安装了不止一个恶意软件。
僵尸网络网络程序杀手
04-19
[僵尸网络网络程序杀手].(美)席勒.扫描版 详细miaoshu
分布式僵尸网络分析与防御技术
04-19
僵尸网络 Botnet 是指采用一种或多种传播手段，将大量主机感染bot程序（僵尸程序）病毒，从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。 攻击者通过各种途径传播僵尸程序感染互联网上的大量主机，而被感染的主机将通过一个控制信道接收攻击者的指令，组成一个僵尸网络。之所以用僵尸网络这个名字，是为了更形象的让人们认识到这类危害的特点：众多的计算机在不知不觉中如同中国古老传说中的僵尸群一样被人驱赶和指挥着，成为被人利用的一种工具。通过各种手段在大量计算机中植入特定的恶意程序，使控制者能够通过相对集中的若干计算机直接向大量计算机发送指令的攻击网络。攻击者通常利用这样大规模的僵尸网络实施各种其他攻击活动。本pdf主要描述了僵尸网络的传播机制、攻击模型、协同防御与高效阻抗等。
基于Twitter控制的移动僵尸网络.ppt
06-21
基于Twitter控制的移动僵尸网络
SfabAntiBot_X64僵尸网络专杀工具
01-22
僵尸网络专杀工具，适用于个人及企业
安全配置核查关注点
m0_62207482的博客
05-06 205
防火墙对UDP/TCP协议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET服务器、TFTP服务器、FTP服务器、SSH服务器等，应配置防火墙，只允许特定主机访问。- 对于VPN用户，必须按照其访问权限不同而进行分组，并在访问控制规则中对该组的访问权限进行严格限制，检查口令生存周期要求。- 配置访问控制规则，拒绝对防火墙保护的系统中常见漏洞所对应端口或者服务的访问。- 查看每个共享文件夹的共享权限，只允许授权的账户拥有权限共享此文件夹。- 检查是否配置NFS服务限制检查。
合规基线：让安全大检查更顺利
a38417的博客
04-29 1092
德迅基线产品还支持自定义基线功能，企业可根据实际的使用场景，自行定义基线的检查项，如定义检查阈值、自定义检查目录、自定义检查结果展现模板、自定义检查项整改方案等，以满足企业多样化的内部监管要求。但是在有限的安全人员、参差不齐的安全技术水平面前，迫切需要能够辅助安全检查与自评估的自动化、标准化的基线检查工具，并且能够支持多种类型的主机、数据库、应用系统等安全基线信息的采集与检测工作。，进行实时安全核查，快速发现安全配置变化，一旦发生安全配置变更异常，以邮件方式进行安全告警。相对于其他同等产品优势，
网络安全实训Day16
Yisitelz的博客
04-26 2049
网络空间安全第16天学习笔记。漏洞扫描；内网渗透
Ftrans文件外发系统 构建安全可控文件外发流程
文件数据安全交换
04-29 851
飞驰云联是中国领先的数据安全传输解决方案提供商，长期专注于安全可控、性能卓越的数据传输技术和解决方案，公司产品和方案覆盖了跨网跨区域的数据安全交换、供应链数据安全传输、数据传输过程的防泄漏、FTP的增强和国产化替代、文件传输自动化和传输集成等各种数据传输场景。飞驰云联主要服务于集成电路半导体、先进制造、高科技、金融、政府机构等行业的中大型客户，现有客户超过500家，其中500强和上市企业150余家，覆盖终端用户超过40万，每年通过飞驰云联平台进行数据传输和保护的文件量达到4.4亿个。
Lianwei 安全周报|2024.05.06
最新发布
联蔚盘云的博客
05-06 413
新的一周又开始了，以下是本周「Lianwei周报」，我们总结推荐了本周的政策/标准/指南最新动态、热点资讯和安全事件，保证大家不错过本周的每一个重点！
大型语言模型安全风险的基准评估套件
lurenjia404的博客
05-06 530
CYBERSECEVAL 2 扩展了以前的工作，增加了两个新的测试套件：解释器滥用和提示注入。
僵尸网络检测 c#源码
01-02
僵尸网络检测是一种用于识别和阻止僵尸网络的安全措施。僵尸网络是由恶意软件感染的大量计算机组成的网络，可被黑客操控并用于发起网络攻击、传播恶意软件和盗取个人信息。为了有效地检测和阻止僵尸网络的活动，网络安全专家使用各种技术和工具。 首先，基于行为分析的方法可以检测出僵尸网络的异常活动。这些方法通过监视网络流量和系统行为，识别出异常的通信模式和活动模式，从而发现僵尸网络的存在。 其次，网络安全专家还可以利用数据包分析技术来检测僵尸网络。数据包分析可以帮助专家识别出从感染主机到控制服务器的通信模式，从而识别出僵尸网络的存在。 另外，利用黑名单和白名单技术也可以进行僵尸网络的检测。黑名单技术可以阻止与已知僵尸网络相关的IP地址和域名之间的通信，白名单技术则可以允许与已知合法的IP地址和域名之间的通信。 总之，僵尸网络检测是网络安全工作中至关重要的一环，通过采用多种技术和工具，网络安全专家可以有效地检测和阻止僵尸网络的活动，为网络安全提供有力保障。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值