长亭百川云 - 文章详情

使用DGA的僵尸网络Mirai Nomi

奇安信XLab

60

2024-07-13

Mirai家族作为botnet的常青树,存在众多变种,但极少出现使用DGA的Mirai变种,据我们观测,上一个使用DGA(Domain Generation Algorithm)的Mirai变种出现于2016年。2024年3月,我们捕获到了新的可疑ELF样本,通过分析得知是另一个使用DGA的Mirai变种,分析关联的历史样本,我们不仅发现了没有使用DGA的版本(2024.02),还发现了漏洞扫描器和远控样本(2024.01),这引起我们的极大兴趣。根据下载脚本中的版本信息,我们姑且将其命名为Mirai.Nomi。

Mirai.Nomi样本具有以下特点:

  • 魔改UPX壳(修改UPX魔术头、异或原始载荷)

  • 使用时间相关的DGA并加入验证机制

  • 使用多个加密算法、哈希算法(AES、CHACHA20、MD5)

Mirai.Nomi样本中硬编码了多个公共的NTP IP,获取当前,将时间戳与604800整除,作为DGA的种子。这意味着时间种子的变化周期为7天,若获取失败,种子被赋值为"9999"

从我们的数据看当前Mirai.Nomi的攻击活动并不是很活跃。也许还处于发展阶段

关于本文的详细分析,清点击下方阅读全文

相关推荐
关注或联系我们
添加百川云公众号,移动管理云安全产品
咨询热线:
4000-327-707
百川公众号
百川公众号
百川云客服
百川云客服

Copyright ©2024 北京长亭科技有限公司
icon
京ICP备2024055124号-2