阴影中的巨兽：：物联网僵尸网络Andoryu近期变动分析
颁布功夫 2023-06-14OG东方厅与昭通大学网安学院发现了物联网僵尸网络Andoryu的新型变种Andoryu_V2。本文将从僵尸网络规�！�、、、传布方式、、、样本技术分析三方面，，，对该僵尸网络传布、、、习染、、、C&C节制、、、攻击全性命周期细节等进行介绍，，，可作为各行业及有关企业制订网络安全战术的参考。
2023年3月底，，，OG东方厅在参加国度重点研发打算项目“大规模异构物联网威胁可控捕获与分析技术（2022YFB3104100）”的钻研过程中，，，发现了基于Socks5和谈的物联网僵尸网络Andoryu的新型变种（Andoryu_V2）。
Andoryu_V1版本已于今年2月份被初次告发，，，本次我们将对比分析Andoryu_V2版本和Andoryu_V1版本，，，具体出现出该僵尸网络传布、、、习染、、、C&C节制、、、攻击全性命周期细节。此外，，，通过2个多月的监测分析发现，，，我们发现Andoryu_V2版本有新增利用CVE-2022-30525、、、CVE-2023-25717缝隙的行为，，，新增代理服务器超过130个，，，反映出该僵尸网络进一步扩张的意图，，，必要加强安全防备。同时，，，我们还发现该僵尸网络与Fbot可能拥有肯定的关联性。
僵尸网络规模
监测分析发现，，，Andoryu僵尸网络均匀日增上线境内肉鸡数（IP数推算）超过1500台，，，正处于发展初期。2023年4月底到5月初，，，Andoryu有一次比力大规模的传布，，，日存活量超过2000。
传布方式
截止到目前，，，我们观察到Andoryu重要使用NDay缝隙传布。所用缝隙列表如下：：
2023年2月-3月，，，Andoryu多使用CVE-2021-22205、、、LILIN DVR RCE缝隙传布。
2023年4月，，，新参与CVE-2023-25717的利用，，，一个Ruckus Wireless设备的缝隙。利用成功后下载执行剧本文件ruckus.sh，，，以植入Andoryu。
2023年5月8日，，，我们监控到对Zyxel防火墙远程号令注入缝隙CVE-2022-30525的利用。
在可预感的将来，，，Andoryu很可能还会参与新缝隙的利用，，，丰硕其兵器库。
样本技术分析
Andoryu僵尸网络支持多种CPU架构，，，蕴含arm、、、m68k、、、mips、、、mpsl、、、sh4、、、spc和x86等。以下是重要变动对比：：
在本文中，，，我们重要以5月8日的V2样本为主进行分析，，，并穿插介绍V1到V2样本的重要迭代变动。这些变动的细节可能蕴含代码逻辑的微调、、、加密算法的调整等。整体而言，，，Andoryu僵尸网络维持了相对不变的基础架构和C2通讯模式。
1、、、初始化
为匹敌沙盒等仿照环境的自动化分析，，，与其它盛行僵尸网络一样，，，Andoryu运行时首先会对启动参数进行查抄，，，以确保自身的安全性。若是不携带参数，，，则直接退出。分歧于其它家族的是，，，Andoryu运行后会将启动参数发送至C2服务器进行额外的二次校验。
当参数正确时，，，则进入执行流程：：过程名假装、、、解密资源，，，随后和C2成立通讯并期待执行C2下发的指令。
在V2版本中会将过程名假装成"DvrHelper"或者"-bash" ，，，V1则为"/bin/bash"。解密敏感资源V2版本使用的是异或，，，而在V1版本中使用的是某种魔改版的xxtea算法解密：：
有趣的是，，，资源解密工作实现之后，，，Andoryu将在Console上打印解密出的字符串"Project Andoryu (12/30/2022). What color is your botnet" 或"Andoryu botnet started (12/30/2022)"，，，这批注Andoryu很可能是2022年12月30号启动的项目。
2、、、通讯和谈
监测发现，，，绝大无数Andoryu的样本均不直接与C2进行通讯，，，而是通过Socks5代理服务器进行转发，，，出现两层节制结构。5月8号的V2样本曾短暂去除Socks5代理，，，但后来很快又复原。在V1版本只有一个代理服务器，，，V2版本便增长至130多个。
在C2通讯交互上，，，Andoryu与Fodcha极度类似，，，通过状态码切换以执行分歧操作：：
重要状态如下：：
Andoryu在与C2服务器进行通讯时，，，使用定长为2152字节的数据结构封装。V1和V2都是如此，，，整体封装结构如下：：
以上线数据为例：：
首个4字节为公网IP；４字节随机数据24 52 ae 57；2字节20 21为数据类型，，，暗示为上线数据；4a d8 74 50 4d de 为xor加密后的数据内容，，，解密后现实为启动参数。
32字节sha256校验和5d 7f 05 6e...67 7b 05 68；偏移0x84C处 06 00 00 00 暗示payload长度；偏移0x854处86 0f 为内存巨细，，，0x0f86即为3974M；最后payload的异或Key随机天生，，，并保留在上线数据的偏移0x861-0x864处，，，本例是38 ad 17 3b。
随后C2返回简直认数据，，，前4字节是C2 地址，，，本例是68 ea ef b0。随后4字节是随机数据c7 fc b8 00。再之后2字节的20 22代表是确认数据，，，至此，，，Andoryu上线成功。
3、、、攻击指令
Andoryu的攻击很活跃，，，我们监控到很屡次C2返回的DDoS攻击号令，，，如下一例：：
号令解析如下：：
payload异或解密后为"udp-plain 135.xx.xx.xx 60 dport=53 psize=150"，，，随后Andoryu向135.xx.xx.xx:53提议udp-plain DDoS攻击：：
Andoryu对C2号令的处置函数没有任何变动，，，以下是2月和5月样本的对比：：
目前，，，Andoryu共支持6类指令，，，蕴含DDoS攻击号令，，，如下：：
Andoryu支持3种和谈(tcp、、、udp、、、icmp)共16个DDoS攻击类型，，，蕴含tcp-raw、、、tcp-socket、、、tcp-cnc、、、tcp-handshake、、、tcp-ovh、、、tcp-bypass、、、udp-plain、、、udp-game、、、udp-ovh、、、udp-raw、、、udp-vse、、、udp-dstat、、、udp-bypass、、、udp-hex、、、udp-rhex、、、icmp-echo。
4、、、与其他家族的关联
Andoryu和C2的通讯交互在代码层面和FodCha极度类似，，，都是一个永真的While循环，，，通过switch-case进行各个阶段的处置。到目前为止，，，这种方式是已知僵尸网络里唯二的例子。别的，，，Fodcha V3也使用xxtea加密算法，，，而Andoryu V1是使用某种魔改版的xxtea。
这似乎批注，，，两者也许有某种关联，，，但除了上述两点，，，临时没有更多实锤证据。不外，，，Andoryu和Fbot有确切的关联，，，他们已经使用统一个C2。5月13号的V2样本里，，，通过socks5衔接C2服务器dnsresolve.socialgains.cf:10333。
而在5月4号，，，我们监控到有Fbot样本使用dnsresolve.socialgains.cf:61002作为自己的C2服务器。我们会持续跟踪观察，，，查找Andoryu和其它家族的关联。
5、、、IoC
京公网安备11010802024551号