Vol.5」についてお知らせや訂正情報がある場合はこちらに記載いたします。2019/02/11:現在訂正情報はありません。Vol.4」について訂正情報がある場合はこちらに記載いたします。2019/09/09:現在訂正情報はありません。Vol.3」について訂正情報がある場合はこちらに記載いたします。2019/03/24:現在訂正情報はありません。Vol.2」について訂正情報がある場合はこちらに記載いたします。2018/07/21:現在訂正情報はありません。セキュリティこんにちは。それではまたしても古いマルウェアを観察するシリーズをやりたいと思います。今回はGafgyt(Lizkebab,qbot,Torlus,LizardStresserなどたくさん別名がある)です。Miraiが注目を浴びてからあまり注目されませんが、観測しているとまだまだ生きているみたいです。2018年4月に書かれた以下の記事でもまだまだ生きていると報告されていますね。www.fiercetelecom.comこのマルウェアはたくさん別名があるのですが、掲示板やYoutubeにころがっている動画などを見ると、悪い人たちの間ではqbotで通っていることが多いみたいです。別のQbotというマルウェアもあるので、ここではGafgytと呼ぶことにします。検体情報sha256340ed60806df8656ced7c8989854adc680b2390dc6466a6108f307a0e5750175Virustotalhttps://www.virustotal.com/ja/file/340ed60806df8656ced7c8989854adc680b2390dc6466a6108f307a0e5750175/analysis/もう一ヶ月ほど前になりますが、今回観察した検体は、2018年5月21日ごろハニーポットにひっかかりました。stripされていなかったため、radare2で関数一覧を見てみました。気になる関数名いくつかで検索してみたところ、以下のように同種の検体を解析している記事が見つかりました。「SSHハニーポットへの典型的な攻撃分析」といった内容の記事です。※捜狐(sohu.com)は中国のポータルサイトです。この記事で解析されている検体には「UpdateBins」という検体を更新するための関数があるようですが、今回ハニーポットで捕まえたものには存在していませんでした。(リンクは貼りませんが、適当に検索して見つけたリークされたコードによると、UpdateBins関数はC2からUPDATEコマンドを受け取った際に決め打ちしたアドレスからファイルをwgetしてくるコードがハードコードされているだけでした)記事内でも言及されているように、gafgytはmiraiと同じく様々なところにソースコードらしきものが転がっており(しかもそれぞれ実装言語が違ったり機能が違ったりする)、検体によってはそれらのコードから機能がさらに追加されていることがあります。2014年ごろから存在が確認されているようなので*1、もはや元のコードと違って当たり前なんでしょうね(とはいえそんなに変わっていないようにも見えるんですけど...)。Vol.1*2で観察日記を書いた「Remaiten」はこのgafgytとkaitenという別種のマルウェア両方の特徴を持っているものです。C2の見つけ方(100%でない&やり方が雑なのは自戒しつつ)gafgytはパッキングされていない限り、stringsコマンドにかけた結果を適当にIPっぽい文字列を抽出できるようgrepしてやればC2を見つけることができます。'[0-9]\+\.[0-9]\+\.[0-9]\+\.[0-9]\+:[0-9]\+'静的解析ができるともう少し書けることがあるのかもしれませんが、今だにアセンブラ読めないのでこのへんで終わります。古いマルウェア観察お久しぶりです。vol.1」でも書いた通り、Cowrie(ハニーポット)を運用している私ですが、ssh/telnetを狙ってくるマルウェアは古めのものが多くあまり真新しいものを見つけられません。*1もちろんちょっと前に流行った(今もかな?)GPON狙いのマルウェアなど、時流に乗ったマルウェアも時々いらっしゃったりするのですが、そもそも自分が気づく前にセキュリティリサーチャーの方々が非常に有用で詳細なレポートを出してくださるので、私がブログに書けるようなことがありません。*2それでもどうにか少しづつマルウェア解析できるようにならないかなあと色々調べたりしているわけですが、最近ドツボにはまってしまい、ひたすらqemuのドキュメントやメーリングリストを読んでいるだけの日々を過ごしています。1日経つと何を調べていたか忘れてしまうので、だいたいは一度読んだことがあるページを開き、はて、どんな内容だったかなと首をひねる毎日です。PEファイルの解析方法は詳細なものが色々と出ていますが、MIPSやARMのELFの解析方法なんてWriteupくらいしか見当たらず困っています。Wirteupなんてだいたいは理解している人々に対して書いているものなので、凡人には意味不明です。仕方がないので、既にたくさん情報があり、本職の方々には「あー、まだ生きてるんだ〜!」と言われるようなマルウェアを観察しつつ日々を過ごして行きたいと思います。submissionは5/3ですが、ハニーポットには6/1ごろひっかかりました。複数のアンチウイルスソフトがDoflooだとかAesddosだとか言っています。これらのキーワードで検索するとSymantecさんのブログに行き当たりました。アルゴリズムを使うのでAesddosなどと呼ばれたりしているようです。mid-2014」って書いてありました(P5)。https://www.sans.org/reading-room/whitepapers/malicious/analyzing-backdoor-bot-mips-platform-35902捕まえたものはx86用でしたが、MIPSやARMなどのものもあるようです。C2はどこなのDofloo(読み方わからない)はよくあるkaiten(tsunami)やGafgytなどとは違い、stringsさえ見ればC2わかってまうわ〜ということはありませんが、親切な(たぶん)リサーチャーによって検体からC2情報を抽出するスクリプトが提供されています。GitHub最終更新が2017年の2月頃と既に1年以上経ってしまっているので今でも使えるのかなと思いましたが、少なくとも上記検体からは抽出することができました(IPアドレスとポート)。このスクリプトで抽出成功するということはC2のアドレスのオフセットやマジックナンバーが変わっていない様なので、きっと攻撃者は面倒くさがりやさんなんですね。他にも色々と知りたいことはありますが、もうそろそろ飽きてきたのでここで終わります。Dieさんの記事を読むといいんじゃないかと思います。MalwareMustDie!今日もまたこの後はqemuと格闘します。Vol.1」について訂正情報がある場合はこちらに記載いたします。初版訂正情報2018/04/01:現在訂正情報はありません。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。