Satori變種正在通過替換錢包地址盜取ETH數字代幣__Satori

360網路安全研究院2017年12月5日發布關於Satori的 文章，提到Satori殭屍網路正在以前所未有的速度快速傳播。自從文章發布以後，安全社區、ISP、供應鏈廠商共同協作，Satori 的控制端伺服器被 sinkhole、ISP和供應鏈廠商採取了行動，Satori的蔓延趨勢得到了暫時遏制，但是Satori的威脅依然存在。

從 2018-01-0810:42:06 GMT+8 開始，我們檢測到Satori 的後繼變種正在連接埠37215和52869上重建立立整個殭屍網路。值得注意的是，新變種開始滲透互連網上現存其他Claymore Miner挖礦裝置，通過攻擊其3333 管理連接埠，替換錢包地址，並最終攫取受害挖礦裝置的算力和對應的 ETH 代幣。360網路安全研究院將這個變種命名為 Satori.Coin.Robber。

這是第一次有殭屍網路替換其他挖礦裝置的錢包。這給對抗惡意代碼帶來了一個新問題：即使安全社區後續接管了 Satori.Coin.Robber 的上聯控制伺服器，那些已經被篡改了錢包地址的挖礦裝置，仍將持續為其貢獻算力和 ETH 代幣。

到 2018-01-1617:00 GMT+8 為止， 礦池的 付費記錄 顯示：

Satori.Coin.Robber當前正在持續挖礦，最後一次更新大約在5分鐘之前；

Satori.Coin.Robber過去2天內平均算力大約是1606 MH/s；賬戶在過去24小時累積收入 0.1733 個ETH代幣；

Satori.Coin.Robber已經在2017年1月11日14時拿到了礦池付出的第一個ETH 代幣，另有 0.76 個代幣在賬戶上

另外值得一提的是，Satori.Coin.Robber的作者通過下面這段話宣稱自己當前的代碼沒有惡意，並且留下了一個電子郵箱地址：

圖1 Claymore Miner遠端管理介面上的系列安全問題

Claymore Miner 是一個流行的的多種代幣的挖礦程式，互連網上現存了較多裝置正在基於Claymore Miner挖礦。Claymore Miner 提供了遠程監控和管理的介面。

按照其 文檔 的描述，其 Windows版本通過 Remote management 子目錄下的EthMan.exe 檔，在3333連接埠上，提供了遠程監控和管理的特性。其早期版本允許遠程讀取挖礦進程的運行狀態，同時也允許執行重啟、上傳檔案等控制行為。

在預設情況下就可以獲得部分控制權，這顯然是個脆弱性問題。作為應對，8.1 版本以後，Claymore Miner 預設使用 -3333 （而不是 3333 ）連接埠作為啟動參數，這意味著遠端管理連接埠是唯讀，不再能夠執行控制命令。

但是這並不代表這一系列的遠端管理介面問題就到此結束了。2017年11月，CVE-2017-16929 被披露，允許遠程讀寫任意檔案。對應的 利用代碼 也已經批露。

360網路安全研究院這次觀察到的漏洞利用代碼跟上面列出的均有所不同。這次攻擊主要是針對開放了3333連接埠管理、同時又沒有設定遠程登入密碼的 Claymore Miner挖礦裝置。為防止潛在的濫用，360網路安全研究院不會在文章中公布詳細細節。

Satori.Coin.Robber 變種正在利用上述脆弱性問題攫取 ETH 代幣算力

在 2018-01-08至2018-01-12期間，360網路安全研究院觀察到了以下樣本：

 

圖2

這組樣本是Satori的後續變種，這個變種不僅會掃描早先的 37215 和 52869 連接埠，還會掃描 3333 連接埠，三個連接埠上的掃描載荷分別是：

連接埠 37215 : 已有，針對漏洞 CVE-2017-17215，華為公司最近發布了相關的聲明，並在持續更新；

連接埠 52869 : 已有，針對漏洞 CVE-2014-8361，這是一個針對 Realtek SDK 的漏洞，網上自2015年就公開了漏洞利用代碼

連接埠 3333 ：新增，針對上述 Eth 挖礦進程遠端管理介面的攻擊。

圖3

上圖是連接埠 3333 的掃描載荷。這個掃描中，Satori.Coin.Robber 會順序發出三個包，分別是：

第一個包：miner_getstat1，擷取狀態；

第二個包：miner_file，更新reboot.bat檔案，替換其中的礦池和錢包地址；

第三個包：miner_reboot，重啟生效。

在這個上述 reboot_bat的檔案更新過程中：

礦池地址替換為：eth-us2.dwarfpool.com:8008

錢包地址替換為：0xB15A5332eB7cD2DD7a4Ec7f96749E769A371572d

通過這種方式，Satori.Coin.Robber將其他裝置上 ETH 挖礦進程的算力攫取為己用。 Satori.Coin.Robber 與之前版本的異同

對比兩個版本的 Satori.Coin.Robber，尋找其中的異同：

737af63598ea5f13e74fd2769e0e0405Satori.Coin.Robber

5915e165b2fdf1e4666a567b8a2d358bsatori.x86_64，2017年10月版本，VT報告地址

相同點：

代碼：均使用了UPX加殼，並且使用了相同的幻數 0x4A444E53，脫殼後大量代碼結構類似。

配置資訊：配置資訊均加密，加密方式相同，且大量配置字串是一致的。例如 /bin/busybox SATORI，bigbotPein，81c4603681c46036，j57*&jE，等等；

掃描載荷：兩者均掃描 37215和 52869 連接埠，並且使用了相同的掃描載荷

360網路安全研究院認為這些證據夠強，足以將這次的新變種與之前的 Satori 聯絡起來。

不同點：

掃描載荷：Satori.Coin.Robber新增了 3333 連接埠上針對 Claymore Miner的攻擊

掃描過程：Satori.Coin.Robber使用了非同步網路連接(NIO)方式發起串連，這種方式會提高掃描效率

C2 協議：Satori.Coin.Robber 啟用了一組新的C2 通訊協定，會基於DNS協議與54.171.131.39通訊。後面會有專門的一節來描述。

下面是一些詳細的截圖證據展示：

圖4

圖5 Satori.Coin.Robber 的新的C2 通訊協定

Satori.Coin.Robber的 C2 ：

硬式編碼IP地址，54.171.131.39，位於愛爾蘭都柏林。

通訊協定是基於DNS修改的，可以使用 dig @54.171.131.39 $DNS-QNAME any +short 的方式做一個簡單測試，每個$DNS-QNAME對應不同的功能。

圖6

協議釋義如下：

用戶端請求w.sunnyjuly.gq，伺服器返回0xB15A5332eB7cD2DD7a4Ec7f96749E769A371572d

用戶端請求 p.sunnyjuly.gq，伺服器返回 eth-us2.dwarfpool.com:8008

用戶端請求s.sunnyjuly.gq，伺服器返回一段字串 “Satori dev here, dontbe alarmed about this bot it does not currently have any malicious packetingpurposes move along. I can be contacted at curtain@riseup.net.”

用戶端請求 f.sunnyjuly.gq，伺服器返回 213.74.54.240。這個請求並不是樣本中出現的，是360網路安全研究院的研究人員嘗試 fuzzing 後得到的。

最前面兩個請求的回應，恰好是bot 篡改別的挖礦裝置後使用的礦池和錢包地址。但是目前階段，樣本中的掃描載荷仍然是硬式編碼，並沒有使用這裡的伺服器傳回值； 伺服器返回的那段英文，翻譯成中文的大意是“我是Satori的作者，現在這個bot還沒有什麼惡意的代碼，所以暫時放輕鬆。聯絡我的話，郵件寫給curtain@riseup.net” Satori.Coin.Robber 的感染趨勢

360網路安全研究院大體上可以使用三個掃描連接埠在 ScanMon 上的掃描趨勢來度量 Satori.Coin.Robber 的感染範圍和趨勢。

37215、52869 和 3333 連接埠上過去30 天的掃描趨勢依次如下：

圖7

圖8

圖9

總體來看，三個連接埠上均有掃描暴漲，與本次樣本表現能夠對應：

初始出現時間都在 2018年1月8日附近；

高峰時間都在都在 2018年1月8日～2018年1月8日附近；

最近幾天掃描量逐漸下降；

主要掃描來源在 AS4766Korea Telecom ；

獨立掃描源IP地址，約為 4.9k

噪音方面，37215與52869 連接埠上，依據1月8日以前的表現，可能有部分掃描來源不屬於Satori.Coin.Robber；但是 3333 連接埠比較乾淨，依據1月8日以前的表現來看，噪音較小。考慮到三個連接埠上的掃描表現趨於一致，360網路安全研究院認為上述資料可以表現當前 Satori.Coin.Robber 的感染趨勢。 結語

Satori 的最初版本雖然已經被安全社區抑制，但是新的繼任者已經出現。

新的Satori.Coin.Robber，會掃描別的裝置上的挖礦程式，並將錢包地址替換成自己的。這是360網路安全研究院在botnet領域第一次看到這種行為模式。

儘管作者宣稱自己當前沒有惡意，但是傳播惡意代碼、未經授權修改他人電腦上的資訊、攫取他人電腦算力為自己挖取數字代幣，這些行為都是惡意行為。

考慮到12月5日附近Satori在12小時內感染了超過26萬IoT裝置，當前Satori.Coin.Robber的感染速度已經遠遠變低，暫時不用恐慌。

上述感染速度的降低，不應該歸因為攻擊者刻意降低了掃描的速度，特別是考慮到攻擊者啟用了NIO技術來加速掃描階段的效率；而應該歸因為安全公司、ISP、供應鏈裝置廠商共同的協作和努力。

*本文作者：360 安全衛士，轉載請註明來自 FreeBuf.COM