使用DGA的僵尸网络Mirai Nomi

预览

Mirai家族作为botnet的常青树，存在众多变种，但极少出现使用DGA的Mirai变种，据我们观测，上一个使用DGA（Domain Generation Algorithm）的Mirai变种出现于2016年。2024年3月，我们捕获到了新的可疑ELF样本，通过分析得知是另一个使用DGA的Mirai变种，分析关联的历史样本，我们不仅发现了没有使用DGA的版本（2024.02），还发现了漏洞扫描器和远控样本（2024.01），这引起我们的极大兴趣。根据下载脚本中的版本信息，我们姑且将其命名为Mirai.Nomi。

Mirai.Nomi样本具有以下特点：

• 魔改UPX壳（修改UPX魔术头、异或原始载荷）

• 使用时间相关的DGA并加入验证机制

• 使用多个加密算法、哈希算法（AES、CHACHA20、MD5）

Mirai.Nomi样本中硬编码了多个公共的NTP IP，获取当前，将时间戳与604800整除，作为DGA的种子。这意味着时间种子的变化周期为7天，若获取失败，种子被赋值为"9999"

从我们的数据看当前Mirai.Nomi的攻击活动并不是很活跃。也许还处于发展阶段

关于本文的详细分析，清点击下方阅读全文