黑客与极客|GoBrut僵尸网络新变种

北京联盟_本文原题：GoBrut僵尸网络新变种
使用 Go 编写的多平台 GoBrut 僵尸网络最近部署了新变种进行传播，同时正对数以百万计的 WordPress 网站进行爆破。
2019 年 3 月 GoBrut 僵尸网络被发现，在此前的分析文章中分析了该僵尸网络使用 Go 语言编写的 Windows 版本。 Go 语言的使用使得代码具有极高的可移植性，攻击者可以只编写一次代码然后在各种不同的操作系统中编译运行。所以最近也发现了针对 Linux 平台的新版本部署。
这已经不是第一次在野发现 GoBurt 的 Linux 样本。事实上， 2019 年 4 月时有其他研究人员发现 2.24 版本的 GoBurt 已经开始存在 Linux 版本。本次我们发现的是新部署的新版本 3.06 ，同样也是针对 Linux 平台的。
技术分析

本文插图

在我们的情报监控运营时发现的一个失陷网站，其中包含大量的可疑文件，这些文件实际上是同一个文件的副本。
字段值哈希 0f4755f65c495d3711bf22271f85f1ee86da8b7a487e770f769af56e189be48c 威胁 GoBrut 简要描述 GoBrut Linux 版本 3.06 ssdeep 98304:EE1b80T1Mv8SzjLZ/YJG9MMa2megmG5OFZj8KIX:n980JpSzBsMa2ac8K
因此，我们比较了这个最新的样本与前述文章中提到的样本：

本文插图

新样本其他已知的 GoBrut 样本之间存在许多相似之处，例如控制流与通信协议都是类似的，校验与任务的检索没有大幅改动。
向 C&C 注册

本文插图

样本向 C&C 服务器的 bots/knock 路径发送注册请求，表明该主机的种类、操作系统与恶意软件的版本。服务器响应 1 作为应答。
检查更新

本文插图

样本向 C&C 服务器发送其版本与主机的体系结构， C&C 服务器使用 Yes/No 响应是否存在更新。
检索要执行的任务

本文插图

【黑客与极客|GoBrut僵尸网络新变种】样本向 C&C 服务器发送查询要执行的任务的请求，在监控过程中发现唯一的执行任务是 wpBrt 即 WordPress Brute Forcing（WordPress 爆破），样本使用字典攻击超过 27 万个第三方网站。
检索要攻击的目标

本文插图

与旧版本相同，该版本也使用 JSON 格式检索要攻击的目标列表，并尝试访问。这一点上可以发现 GoBrut 的行为特征：

本文插图

危险的升级
新版本中更新了一些更强大的功能模块，如：
StealthWorker/WorkerQnap：针对 Qnap 的 NAS 服务登录页
StealthWorker/Worker_WooChk：针对名为 WOO Commerce 的 CMS
StealthWorker/Worker_wpMagOcart：针对 MageCart 的电商登录页面
StealthWorker/Worker_WpInstall_finder：针对 WordPress 的安装目录的侦察工具
StealthWorker/WorkerBackup_finder：用于检索暴露的备份文件夹的实用工具
StealthWorker/WorkerHtpasswd：尝试从错误配置的 htpasswd 文件中检索信息

黑客与极客|GoBrut僵尸网络新变种

推荐阅读

中央广电总台中国之声|3岁女童疑遭家暴，急诊医生果断报警！施暴者为何适用缓刑？

花花养生坊|每天吃3颗，血管变年轻，三高也降了，一颗核桃10味药

关于网购宝贝的问答型网站为啥没流量

历史小侃子|做好预防对策，了解痔疮的症状

『央视』非洲各国调整防疫措施，新冠肺炎确诊病例超3万

早餐最佳组合是什么？

「世界杯」无缘世界杯的十大足球巨星

「乡亲们」

艾森篮球|利拉德：我又不是首次与全世界为敌

术后7年随访结果：早期行减重手术更有可能使糖尿病持续缓解

飓风|两场飓风或将同时存在于墨西哥湾，属150年间首次

米家|1度电超长续航！米家户外电源1000 Pro开箱图赏

蜂蜜妈妈|价格再贵也要给宝宝打，只要1针能管1辈子，这3种“自费疫苗”

何广智|《脱口秀大会5》半决赛开始！何广智邱瑞晋级八强，4人将被淘汰

叮咚挖客受邀参加2020中国定制家居行业峰会

月薪两万在上海能过怎么样的生活

[程序员世界]郑州轻工业大学王明杰团队：如何计算永磁直线同步电机的空载磁场

大学|大学寝室选4人间还是6人间？学姐：你别乱选，选错后悔都来不及

车威TB设计重回主流，价格或低于现款，北京奔驰全新GLA市场分析

**|“长城系”上市公司*ST目药股权拍卖接盘者永新华集团什么来头？**