解密方程式組織的Unix后門NOPEN
前言
不久之前，黑客組織ShadowBrokers(影子經(jīng)紀(jì)人)曾聲稱他們從EquationGroup(方程式組織)那里竊取來了大量的黑客工具，并且他們還將部分工具放在網(wǎng)上進(jìn)行拍賣。
近日，Vectra公司的安全研究專家NickBeauchesne對其中的一份泄漏文件進(jìn)行了分析，并且發(fā)現(xiàn)了一個名叫“NOPEN”的Unix遠(yuǎn)程管理工具(RAT)。
Nick Beauchesne說到：
“當(dāng)我在對方程式組織泄漏的文件以及黑客工具進(jìn)行分析時，我發(fā)現(xiàn)了一些非常有意思的東西，而這些東西似乎沒有得到它們應(yīng)得的關(guān)注。雖然很多安全研究專家將他們的注意力全部放在了那些潛在的0day漏洞上，但是我認(rèn)為我們應(yīng)該還可以從這些泄漏文件中了解到方程式組織的攻擊手法和操作模式，畢竟這是全世界最危險的黑客組織之一。”
NOPEN-針對Unix系統(tǒng)的遠(yuǎn)程管理工具(RAT)
根據(jù)NickBeauchesne的描述，在ShadowBrokers所泄漏的黑客工具中，有一款名為“NOPEN”的工具。在此之前，安全研究人員普遍認(rèn)為這款工具是一種“Post-ExploitationShell”，方程式組織可以用它來感染一臺被入侵的設(shè)備，而這款工具將允許攻擊者與被入侵的設(shè)備進(jìn)行持續(xù)性地通信。
但是通過深入分析之后Beauchesne發(fā)現(xiàn)，“NOPEN”實(shí)際上是一款針對Unix操作系統(tǒng)的遠(yuǎn)程管理工具(RAT)。各位應(yīng)該知道，“RAT”這個詞通常形容的是那些針對Windows系統(tǒng)和Android設(shè)備的惡意軟件，攻擊者可以利用這些惡意軟件來與受感染的目標(biāo)主機(jī)進(jìn)行網(wǎng)絡(luò)通信。
根據(jù)Beauchesne的分析結(jié)果，NOPEN毫無疑問是屬于RAT工具這一類的。Beauchesne還表示，這是一款非常復(fù)雜的惡意軟件，而且該工具似乎是方程式組織的一款非常重要的黑客工具，因?yàn)樵谛孤┪募?script/ops/doc)中曾多次提到了“NOPEN”的名字。之所以說它非常重要，是因?yàn)樗瓤梢宰鳛橐粋€網(wǎng)絡(luò)后門來感染目標(biāo)系統(tǒng)，而且攻擊者還可以用它來監(jiān)聽數(shù)據(jù)。
首先，方程式組織的黑客需要成功入侵目標(biāo)系統(tǒng)，然后在系統(tǒng)中安裝NOPEN。安裝成功之后，攻擊者就可以在自己的計(jì)算機(jī)與被入侵的設(shè)備之間建立一條通信鏈接，并開始監(jiān)聽目標(biāo)主機(jī)中的各種數(shù)據(jù)。當(dāng)他們發(fā)現(xiàn)并獲取到了他們所要尋找的數(shù)據(jù)之后，黑客可以立刻刪除NOPEN。NOPEN的主要功能就是在被感染主機(jī)與方程式組織的服務(wù)器之間建立一條通信隧道，并運(yùn)行反向shell(命令行接口)。攻擊者運(yùn)行的是NOPEN的客戶端，而NOPEN的服務(wù)器端則安裝在被感染的設(shè)備上。
Beauchesne在分析報告中寫到：
“這款工具不僅可以允許攻擊者運(yùn)行功能強(qiáng)大的shell腳本，而且還為他們提供了通信隧道的支持。需要注意的是，所有的操作信息和通信數(shù)據(jù)都采用了RC6加密算法來進(jìn)行保護(hù)。但好消息是，盡管NOPEN采用了RC6加密算法來保護(hù)其網(wǎng)絡(luò)通信數(shù)據(jù)，但是目前的很多安全解決方案也許能夠在網(wǎng)絡(luò)中檢測到NOPEN的存在。”
Linux、FreeBSD、SunOS、Solaris和HP-UX等操作系統(tǒng)也難逃厄運(yùn)
根據(jù)Beauchesne的分析，NOPEN可以在i386、i486、i586、i686、i86pc、i86、SPARC、Alpha、x86_64、以及AMD64等架構(gòu)的計(jì)算機(jī)上正常運(yùn)行。除此之外，安全專家表示，NOPEN還可以在Linux、FreeBSD、SunOS、Solaris和HP-UX等操作系統(tǒng)上運(yùn)行。
深入分析NOPEN
簡單而言，NOPEN就是一款靜態(tài)編譯的后門。這款UnixRAT會對其所有的控制命令和通信隧道數(shù)據(jù)進(jìn)行加密保護(hù)，并且還允許攻擊者在目標(biāo)主機(jī)中實(shí)現(xiàn)提權(quán)。接下來，我們會對NOPEN進(jìn)行深入分析，并且找出可以檢測到NOPEN的安全策略。
NOPEN的歡迎界面
再簡單的命令行工具也得有一個歡迎界面才對，NOPEN也不例外，而且NOPEN的歡迎界面還非常的友好。
- NOPEN! v3.0.5.3
- sh: 1: scanner: not found
- sh: 1: ourtn: not found
- sh: 1: scripme: not found
- Wed Aug 31 18:07:05 GMT 2016
- NHOME: environment variable not set, assuming"NHOME=/root/Firewall/TOOLS/NOPEN/.."
- NHOME=/root/Firewall/TOOLS/NOPEN/..
- Reading resource file"/root/Firewall/TOOLS/NOPEN/../etc/norc".../root/Firewall/TOOLS/NOPEN/../etc/norc: No such file or directory
- TERM=xterm-256color
- Entering connect mode
- Attempting connection to 127.0.0.1:32754(127.0.0.1:32754)... ok
- Initiating RSA key exchange
- Generating randomnumber... ok
- Initializing RC6...ok
- Sending randomnumber... ok
- Receiving randomnumber... ok
- Generating sessionkey... 0x0DE6200E48AB016831720B109B8B2874
- Sending first verifystring... ok
- Receiving secondverify string... ok
- Checking secondverify string... ok
- RSA key exchange complete
- NOPEN server version... 3.0.5.3
- Connection
- Bytes In / Out 201/94 (213%C) / 63/4 (1575%C)
- Local Host:Port localhost:41847 (127.0.0.1:41847)
- RemoteHost:Port 127.0.0.1:32754(127.0.0.1:32754)
- RemoteHost:Port kali:32754 (127.0.0.1:32754)
- Local
- NOPEN client 3.0.5.3
- Date/Time Wed Aug 31 18:07:05 UTC 2016
- History
- Command Out
- CWD /root/Firewall/TOOLS/NOPEN
- NHOME /root/Firewall/TOOLS/NOPEN/..
- PID (PPID) 6904 (6896)
- Remote
- NOPEN server 3.0.5.3
- WDIR NOT SET
- OS Linux 4.6.0-kali1-amd64 #1 SMPDebian 4.6.4-1kali1 (2016-07-21) x86_64
- CWD
- PID (PPID) 6908 (6889)
- Reading resource file"/root/Firewall/TOOLS/NOPEN/../etc/norc.linux".../root/Firewall/TOOLS/NOPEN/../etc/norc.linux: No such file or directory
- History loaded from"/root/Firewall/TOOLS/NOPEN/../down/history/kali.127.0.0.1"... ok
- Creating command output file"/root/Firewall/TOOLS/NOPEN/../down/cmdout/kali.127.0.0.1-2016-08-31-18:07:05"...ok
- Lonely? Bored? Need advice? Maybe "-help" will show you the way.
- We are starting up our virtual autoport
我們可以通過“-help”命令來獲取幫助信息：
- We are bound and ready to go on port 1025
- NO! kali:>-help
- [08-31-16 18:07:17 GMT][localhost:41847 ->kali.127.0.0.1:32754]
- [-help]
- Remote General Commands:
- Usage: -elevate
- Usage: -getenv
- Usage: -gs category|filename [options-if-any]
- Usage: -setenv VAR=[val]
- Usage: -shell
- Usage: -status
- Usage: -time
- Remote Server Commands:
- Usage: -burn
- Usage: -call ip port
- Usage: -listen port
- Usage: -pid
- Remote Network Commands:
- Usage: -icmptime target_ip [source_ip]
- Usage: -ifconfig
- Usage: -nslookup name1 ...
- Usage: -ping -r remote_target_ip [-l local_source_ip][-i|-u|-t] [-p dest_port] [-s src_port]
- -ping host
- -ping[-u|-t|-i] host
- Usage: -trace -r remote_target_ip [-l local_source_ip][-i|-u|-t] [-p dest_port] [-s src_port]
- -trace host
- -trace[-u|-t|-i] host
- Remote Redirection Commands:
- Usage: -fixudp port
- Usage: -irtun target_ip call_back_port [call_back_ip] [ourtnarguements]
- Usage: -jackpop target_ip target_port source_ip source_port
- Usage: -nrtun port [toip [toport]]
- Usage: -nstun toip [toport [localport [srcport [command]]]]
- -nstuntoip:port
- Usage: -rawsend tcp_port
- Usage: -rtun port [toip [toport]]
- Usage: -scan
- Usage: -sentry target_address source_address (tcp|udp)dest_port src_port interface
- Usage: -stun toip toport [localport [srcport]]
- Usage: -sutun [-t ttl] toip toport [localport [srcport]]
- Usage: -tunnel [command_listen_port [udp]]
- Usage: -vscan (shouldadd help)
- Remote File Commands:
- Usage: -cat remfile
- Usage: -chili [-l] [-s lines] [-m max] MM-DD-YYYY remdirremfile [remfile ...]
- Usage: -cksum remfile ...
- Usage: -fget [MM-DD-YYYY] loclist
- Usage: -get [-l] [-q] [-s minimumsize] [-m MM-DD-YYYY]remfile ...
- Usage: -grep [-d] [-v] [-n] [-i] [-h] [-Cnumber_of_context_lines] pattern file1 [file2 ...]
- Usage: -oget [-a] [-q] [-s begoff] [-b begoff] [-e endoff]remfile
- Usage: -put locfile remfile [mode]
- Usage: -strings remfile
- Usage: -tail [+/-n] remfile, + to skip n lines of remfilebeginning
- Usage: -touch [-t mtime:atime | refremfile] remfile
- Usage: -rm remfile|remdir ...
- Usage: -upload file port
- Usage: -mailgrep [-l] [-m maxbytes] [-r "regexp"[-v]] [-f regexpfilename [-v]] [-a "regexp for attachments toeliminate"] [-b MM-DD-YYYY] [-e MM-DD-YYYY] [-d remotedumpfile] remotedirfile1 [file2 ...]
- ex: -mailgrep -a".doc" -r "^Fred" -b 2-28-2002 /var/spool/mail G*
- Remote Directory Commands:
- Usage: -find [-M | -m -mkfindsargs] [-x[m|a|c] MM-DD-YYYY]remdir [remdir...]
- Usage: -ls [-1ihuRt] [-x[m|a|c] MM-DD-YYYY] [remfile|remdir...]
- Usage: -cd [remdir]
- Usage: -cdp
- Local Client Commands:
- Usage: -autopilot port [xml]
- Usage: -cmdout [locfilename]
- Usage: -exit
- Usage: -help
- Usage: -hist
- Usage: -readrc [locfile]
- Usage: -remark [comment]
- Usage: -rem [comment]
- Usage: # [comment]
- Usage: -reset
- Local Environment Commands:
- Usage: -lcd locdir
- Usage: -lgetenv
- Usage: -lpwd
- Usage: -lsetenv VAR=[val]
- Usage: -lsh [[-q] command]
- Aliases:
NOPEN支持的體系架構(gòu)
反匯編之后，我們就可以看到NOPEN所支持的架構(gòu)了。NOPEN是Unix系統(tǒng)上的一款通用遠(yuǎn)程管理工具(RAT)，我們在泄漏文件中獲取到的是其Linuxi386版本。但是我在對其客戶端和服務(wù)器端進(jìn)行了反匯編之后，結(jié)果顯示該版本的NOPEN所支持的架構(gòu)遠(yuǎn)不止i386一個。
- .rodata:0807B04D aI586 db 'i586',0 ; DATA XREF: _serverCpuInfo+1Do
- .rodata:0807B04D ;_serverCpuInfo+4Co
- .rodata:0807B052 ; char aI686[]
- .rodata:0807B052 aI686 db 'i686',0 ; DATA XREF: _serverCpuInfo+73o
- .rodata:0807B057 ; char aI486[]
- .rodata:0807B057 aI486 db 'i486',0 ; DATA XREF: _serverCpuInfo+8Do
- .rodata:0807B05C ; char aI386[]
- .rodata:0807B05C aI386 db 'i386',0 ; DATA XREF: _serverCpuInfo+A7o
- .rodata:0807B061 ; char aSparc[]
- .rodata:0807B061 aSparc db 'sparc',0 ; DATA XREF: _serverCpuInfo+E0o
- .rodata:0807B067 ; char aI86pc[]
- .rodata:0807B067 aI86pc db 'i86pc',0 ; DATA XREF: _serverCpuInfo+FBo
- .rodata:0807B06D ; char aI_86[]
- .rodata:0807B06D aI?86 db 'i?86',0 ; DATA XREF: _serverCpuInfo+119o
- .rodata:0807B072 ; char aAlpha[]
- .rodata:0807B072 aAlpha db 'alpha',0 ; DATA XREF: _serverCpuInfo+137o
- .rodata:0807B078 ; char aX86_64[]
- .rodata:0807B078 aX86_64 db 'x86_64',0 ; DATA XREF: _serverCpuInfo+155o
- .rodata:0807B07F ; char aAmd64[]
- .rodata:0807B07F aAmd64 db 'amd64',0 ; DATA XREF: _serverCpuInfo+173o
NOPEN所支持的操作系統(tǒng)
反編譯之后，我們了解到了NOPEN所支持的操作系統(tǒng)類型。
- FreeBSD
- Linux
- SunOS
- HP-UX
- Solaris
很多被隱藏的命令
我們發(fā)現(xiàn)，命令行的“-help”命令并不能夠?qū)OPEN所有可用的指令全部顯示出來。
- .data:0808220C commandHelp dd 0 ; DATA XREF:sub_8059570+746r
- "-head"; "[-n] remfile"
- "-sget"; "hostname port file [file ...]"
- "-srecv"; "port"
- "-h"
- "-burnBURN"
- "-stat"
- "-sq"; "remfile"
- "-w"
- "-lambda"
- "-hammy"; "localport toip srcport[toport]"
- "-at"; "[-B] time[m] command"
- "-listen"; "port"
- "-trigger"; "localport toip srcport[toport]"
- "-triggerold"; "localport toip srcport[toport]"
- "-sniff"; "localfile iface [exclusion filtersport"...
- "-suc"; "[get|<filename>] | [-s]<pid> [<pid>..]"...
- "-jscan"; "[-t timeout] scanType target[dstPort] "...
- "-hstun"; "toip [toport [localport [srcport[comma"...
- "-hrtun"; "port [toip [toport]]"
- "-hutun"; "toip toport [localport[srcport]]"
- "-lpid"
- "-sha1sum"; "remfile ..."
UberControl子菜單
這部分功能似乎與rootkit有關(guān)，負(fù)責(zé)完成隱藏文件、任務(wù)處理、socket通信、以及持久化等操作。
Tunnel子菜單
具體命令如下所示：
- [t]imeout time
- [r]emote listenport[target [port]]
- [l]ocal listenport target [port [source_port]]
- [L]ocal listenport target [port [source_port]]; withone byte extra for socket state
- [u]dp listenport target [port [source_port]]
- [U]dp listenport [target [port]]
- [c]lose channel
- [s]tatus - prints status messages for channels
- [q]uit - leaves thetunnel, please do not hit Cntl-C, it makes the tunnel unhappy
NOPEN的檢測
正如我們之前所提到的那樣，第一眼看過去，NOPEN絕對是一款非常復(fù)雜的惡意軟件。但是如果我們一步一步地進(jìn)行深入分析，我就發(fā)現(xiàn)其實(shí)這款RAT并沒有我們想象中的那么復(fù)雜，因?yàn)榇饲拔覀冞€遇到過更加復(fù)雜的RAT。像PoisonIvy、blackshade、helium、以及其他的RAT，它們遠(yuǎn)比NOPEN要麻煩得多，但是這些RAT的功能和運(yùn)行機(jī)制其實(shí)都是大同小異的。實(shí)際上，就我們目前的經(jīng)驗(yàn)來看，大多數(shù)的RAT工具都擁有相似的行為模式。所以從這一點(diǎn)來看，NOPEN其實(shí)也沒有多少新穎之處。
沒錯，該工具背后的黑客組織是方程式組織，他們的確更加復(fù)雜，但是這類攻擊的本質(zhì)其實(shí)是一樣的。我們其實(shí)并不需要完全弄清楚任何一款RAT工具的行為模式，我們可以利用“機(jī)器學(xué)習(xí)”來構(gòu)建出新型的安全防御體系。通過機(jī)器學(xué)習(xí)來識別惡意工具的行為模式其檢測效率和準(zhǔn)確率都是非常高的。不僅如此，這樣可以迫使攻擊者不斷改變他們的攻擊方法，并且增加攻擊者繞過下一代安全產(chǎn)品的難度。
