阴影中的巨兽：物联网僵尸网络Andoryu近期变动分析
颁布功夫 2023-06-148827太阳集团与昭通大学网安学院发现了物联网僵尸网络Andoryu的新型变种Andoryu_V2。 。。。。。 。。本文将从僵尸网络规模、传布方式、样本技术分析三方面 ，， ，， ，对该僵尸网络传布、习染、C&C节造、攻击全性命周期细节等进行介绍 ，， ，， ，可作为各行业及有关企业造订网络安全战术的参考。 。。。。。 。。
2023年3月底 ，， ，， ，8827太阳集团在参加国度沉点研发打算项目“大规模异构物联网威胁可控捕获与分析技术（2022YFB3104100）”的钻研过程中 ，， ，， ，发现了基于Socks5和谈的物联网僵尸网络Andoryu的新型变种（Andoryu_V2）。 。。。。。 。。
Andoryu_V1版本已于今年2月份被初次告发 ，， ，， ，本次我们将对比分析Andoryu_V2版本和Andoryu_V1版本 ，， ，， ，具体出现出该僵尸网络传布、习染、C&C节造、攻击全性命周期细节。 。。。。。 。。此表 ，， ，， ，通过2个多月的监测分析发现 ，， ，， ，我们发现Andoryu_V2版本有新增利用CVE-2022-30525、CVE-2023-25717缝隙的行为 ，， ，， ，新增代理服务器超过130个 ，， ，， ，反映出该僵尸网络进一步扩张的意图 ，， ，， ，必要加强安全防备。 。。。。。 。。同时 ，， ，， ，我们还发现该僵尸网络与Fbot可能拥有肯定的关联性。 。。。。。 。。
僵尸网络规模
监测分析发现 ，， ，， ，Andoryu僵尸网络均匀日增上线境内肉鸡数（IP数推算）超过1500台 ，， ，， ，正处于发展初期。 。。。。。 。。2023年4月底到5月初 ，， ，， ，Andoryu有一次比力大规模的传布 ，， ，， ，日存活量超过2000。 。。。。。 。。
传布方式
截止到目前 ，， ，， ，我们观察到Andoryu重要使用NDay缝隙传布。 。。。。。 。。所用缝隙列表如下：
2023年2月-3月 ，， ，， ，Andoryu多使用CVE-2021-22205、LILIN DVR RCE缝隙传布。 。。。。。 。。
2023年4月 ，， ，， ，新参与CVE-2023-25717的利用 ，， ，， ，一个Ruckus Wireless设备的缝隙。 。。。。。 。。利用成功后下载执行剧本文件ruckus.sh ，， ，， ，以植入Andoryu。 。。。。。 。。
2023年5月8日 ，， ，， ，我们监控到对Zyxel防火墙远程号令注入缝隙CVE-2022-30525的利用。 。。。。。 。。
在可预感的将来 ，， ，， ，Andoryu很可能还会参与新缝隙的利用 ，， ，， ，丰硕其兵器库。 。。。。。 。。
样本技术分析
Andoryu僵尸网络支持多种CPU架构 ，， ，， ，蕴含arm、m68k、mips、mpsl、sh4、spc和x86等。 。。。。。 。。以下是重要变动对比：
在本文中 ，， ，， ，我们重要以5月8日的V2样本为主进行分析 ，， ，， ，并穿插介绍V1到V2样本的重要迭代变动。 。。。。。 。。这些变动的细节可能蕴含代码逻辑的微调、加密算法的调整等。 。。。。。 。。整体而言 ，， ，， ，Andoryu僵尸网络维持了相对不变的基础架构和C2通讯模式。 。。。。。 。。
1、初始化
为匹敌沙盒等模拟环境的自动化分析 ，， ，， ，与其它盛行僵尸网络一样 ，， ，， ，Andoryu运行时首先会对启动参数进行查抄 ，， ，， ，以确保自身的安全性。 。。。。。 。。若是不携带参数 ，， ，， ，则直接退出。 。。。。。 。。分歧于其它家族的是 ，， ，， ，Andoryu运行后会将启动参数发送至C2服务器进行额表的二次校验。 。。。。。 。。
当参数正确时 ，， ，， ，则进入执行流程：过程名假装、解密资源 ，， ，， ，随后和C2成立通讯并期待执行C2下发的指令。 。。。。。 。。
在V2版本中会将过程名假装成"DvrHelper"或者"-bash" ，， ，， ，V1则为"/bin/bash"。 。。。。。 。。解密敏感资源V2版本使用的是异或 ，， ，， ，而在V1版本中使用的是某种魔改版的xxtea算法解密：
有趣的是 ，， ，， ，资源解密工作实现之后 ，， ，， ，Andoryu将在Console上打印解密出的字符串"Project Andoryu (12/30/2022). What color is your botnet" 或"Andoryu botnet started (12/30/2022)" ，， ，， ，这批注Andoryu很可能是2022年12月30号启动的项目。 。。。。。 。。
2、通讯和谈
监测发现 ，， ，， ，绝大无数Andoryu的样本均不直接与C2进行通讯 ，， ，， ，而是通过Socks5代理服务器进行转发 ，， ，， ，出现两层节造结构。 。。。。。 。。5月8号的V2样本曾短暂去除Socks5代理 ，， ，， ，但后来很快又复原。 。。。。。 。。在V1版本只有一个代理服务器 ，， ，， ，V2版本便增长至130多个。 。。。。。 。。
在C2通讯交互上 ，， ，， ，Andoryu与Fodcha极度类似 ，， ，， ，通过状态码切换以执行分歧操作：
重要状态如下：
Andoryu在与C2服务器进行通讯时 ，， ，， ，使用定长为2152字节的数据结构封装。 。。。。。 。。V1和V2都是如此 ，， ，， ，整体封装结构如下：
以上线数据为例：
首个4字节为公网IP ；；；；；４字节随机数据24 52 ae 57 ；；；；；2字节20 21为数据类型 ，， ，， ，暗示为上线数据 ；；；；；4a d8 74 50 4d de 为xor加密后的数据内容 ，， ，， ，解密后现实为启动参数。 。。。。。 。。
32字节sha256校验和5d 7f 05 6e...67 7b 05 68 ；；；；；偏移0x84C处 06 00 00 00 暗示payload长度 ；；；；；偏移0x854处86 0f 为内存大幼 ，， ，， ，0x0f86即为3974M ；；；；；最后payload的异或Key随机天生 ，， ，， ，并保留在上线数据的偏移0x861-0x864处 ，， ，， ，本例是38 ad 17 3b。 。。。。。 。。
随后C2返回简直认数据 ，， ，， ，前4字节是C2 地址 ，， ，， ，本例是68 ea ef b0。 。。。。。 。。随后4字节是随机数据c7 fc b8 00。 。。。。。 。。再之后2字节的20 22代表是确认数据 ，， ，， ，至此 ，， ，， ，Andoryu上线成功。 。。。。。 。。
3、攻击指令
Andoryu的攻击很活跃 ，， ，， ，我们监控到很屡次C2返回的DDoS攻击号令 ，， ，， ，如下一例：
号令解析如下：
payload异或解密后为"udp-plain 135.xx.xx.xx 60 dport=53 psize=150" ，， ，， ，随后Andoryu向135.xx.xx.xx:53提议udp-plain DDoS攻击：
Andoryu对C2号令的处置函数没有任何变动 ，， ，， ，以下是2月和5月样本的对比：
目前 ，， ，， ，Andoryu共支持6类指令 ，， ，， ，蕴含DDoS攻击号令 ，， ，， ，如下：
Andoryu支持3种和谈(tcp、udp、icmp)共16个DDoS攻击类型 ，， ，， ，蕴含tcp-raw、tcp-socket、tcp-cnc、tcp-handshake、tcp-ovh、tcp-bypass、udp-plain、udp-game、udp-ovh、udp-raw、udp-vse、udp-dstat、udp-bypass、udp-hex、udp-rhex、icmp-echo。 。。。。。 。。
4、与其他家族的关联
Andoryu和C2的通讯交互在代码层面和FodCha极度类似 ，， ，， ，都是一个永真的While循环 ，， ，， ，通过switch-case进行各个阶段的处置。 。。。。。 。。到目前为止 ，， ，， ，这种方式是已知僵尸网络里唯二的例子。 。。。。。 。。另表 ，， ，， ，Fodcha V3也使用xxtea加密算法 ，， ，， ，而Andoryu V1是使用某种魔改版的xxtea。 。。。。。 。。
这似乎批注 ，， ，， ，两者也许有某种关联 ，， ，， ，但除了上述两点 ，， ，， ，临时没有更多实锤证据。 。。。。。 。。不外 ，， ，， ，Andoryu和Fbot有确切的关联 ，， ，， ，他们已经使用统一个C2。 。。。。。 。。5月13号的V2样本里 ，， ，， ，通过socks5衔接C2服务器dnsresolve.socialgains.cf:10333。 。。。。。 。。
而在5月4号 ，， ，， ，我们监控到有Fbot样本使用dnsresolve.socialgains.cf:61002作为自己的C2服务器。 。。。。。 。。我们会持续跟踪观察 ，， ，， ，查找Andoryu和其它家族的关联。 。。。。。 。。
5、IoC
京公网安备11010802024551号