【深度剖析】VPNFilter：危及全球工控装备和办公网络的物联网高级威胁
宣布时间 2018-06-17一、威胁概述
近期，， ，，，，，思科Talos团队因情形紧迫提前果真了一项未完成的研究，， ，，，，，该研究提及了一个可能对全球网络爆发重大危害的高级威胁攻击(约莫有50万台装备受到熏染)，， ，，，，，由于其焦点�？？？？？槲募猇PNFilter，， ，，，，，故该恶意代码也被命名为”VPNFilter” 。。。。。。。该攻击是一起以入侵物联网为载体从事可能由国家提倡的全球性的高级恶意软件攻击，， ，，，，，恶意软件通过三个阶段来安排其攻击武器，， ，，，，，现在已经有至少50万台装备受到熏染 。。。。。。。攻击者使用该恶意软件来控制并监视处于工控网络、办公情形中的网络装备(包括路由器、网关、防火墙以及其他的物联网装备)，， ，，，，，其支持工控网络情报网络、主要敏感的流量(登录凭证)截取、流量改动、定向JS注入、装备破损性攻击等功效 。。。。。。。
恶意软件在5月8日泛起大规模的以乌克兰为主要目的的攻击活动，， ，，，，，并且在5月17日乌克兰的受熏染装备泛起大幅度增添，， ，，，，，这些受熏染装备均受控于C&C 46.151.209.33, 看起来此次攻击目的似乎瞄准乌克兰 。。。。。。。乌克兰电力系统一经受到过两次黑客攻击，， ，，，，，并且导致了停电事故，， ，，，，，两次攻击均以长期而隐秘的渗透手段入侵到目的 。。。。。。。而这次的攻击活动以物联网入口，， ，，，，，使用大宗保存误差的物联网装备作为载体举行撒网式攻击，， ，，，，，并且以惊人的速率熏染了至少50万台装备，， ，，，，，其中包括有华为、中兴、华硕、Dlink、Ubiquiti、UPVEL、Linksys、MikroTik、NETGEAR 和 TP-Link等装备 。。。。。。。同样，， ，，，，，此次恶意代码与2015年攻击乌克兰电网的BlackEnergy使用相同的变形RC4算法对要害信息举行加密；；；；；；并且与之类似的是同样也有对主机装备举行主要数据擦除与重启的连环行动以抵达让装备无法启动的目的(同时也提高了取证的难度) 。。。。。。。
鉴黑担保网ADLab发明该预警后对该恶意软件举行了深入的剖析，， ，，，，，以剖析着实现机制 。。。。。。。我们发明该恶意软件中除了接纳图片文件的EXIF数据传输用于下载恶意代码焦点组件的C&C外，， ，，，，，还接纳HTTP头中的location和direct字段传输该C&C，， ，，，，，甚至接纳了一种我们称之为”SYN隧道手艺”的高级隐藏手艺来实现恶意软件C&C的被动更新，， ，，，，，纵然如之前所报道那样，， ，，，，，FBI阻断了该恶意软件的C&C，， ，，，，，该手艺也可以让该恶意软件快速复生 。。。。。。。其中第三阶段恶意组件专门针对TCP协议举行嗅探处置惩罚，， ，，，，，不但对工控modbus SCADA协议举行情报网络，， ，，，，，同时还会嗅探基于http协议的登录凭证信息和Authorization信息 。。。。。。。该嗅探�？？？？？樾枰诳驮冻讨付╩odbus效劳器举行准确的监控，， ，，，，，以发明所有毗连的从机装备 。。。。。。。别的，， ，，，，，在最近果真的攻击插件�？？？？？橹谢箍梢钥闯�，， ，，，，，该次攻击可用于普遍的情报网络以及对特定目的举行渗透攻击，， ，，，，，其中包括对80端口的流量重定向、强制转换HTTPS为HTTP以利便流量监控、窃取HTTP请求包中的登录凭证信息、向指定网站的响应数据中注入恶意javascript剧本等等 。。。。。。。
二、恶意软件事情原理
该恶意软件通过使用路由器、网关、防火墙等物联网装备误差举行普遍的熏染和撒播 。。。。。。。在熏染装备中，， ，，，，，其首先启动一个Loader�？？？？？橹葱�，， ，，，，，该�？？？？？橹饕迪至薞PNFilter组件的下载与执行 。。。。。。。Loader�？？？？？椴⒉皇侵苯油ü付ǖ南略氐氐憷聪略豓PNFilter组件，， ，，，，，而是通过多种手艺手段来获取VPNFilter的下载地点(存储点) 。。。。。。。其首先会向效劳器photobucket.com发送请求并实验剖析响应数据中的Locaion、direct、图片EXIF信息来获� 。。。。。。�；；；；；；若是失败则向效劳器taknowall.com发送请求并剖析图片的EXIF来获� 。。。。。。�；；；；；；若是仍然无法获取到C&C，， ，，，，，则会接纳”SYN隧道手艺”来获取C&C实现下一个阶段组件的下载地点 。。。。。。。别的，， ，，，，，VPN存储点获取乐成后，， ，，，，，Loader通过内置SSL证书文件来验证下载VPNFilter组件 。。。。。。。
VPNFilter组件最后会被下载到”/var/run/”目录下，， ，，，，，是该类恶意攻击的焦点组件，， ，，，，，通过该组件，， ，，，，，恶意软件得以驻留在被熏染系统中 。。。。。。。VPNFilter组件为攻击者提供了一个用于维护僵尸网络的框架，， ，，，，，攻击者可以基于差别的攻击目的加载差别的插件和执行差别远控控制下令 。。。。。。。现在所发明的插件�？？？？？橛校阂桓鲇糜谥С峙絋or网络的Tor 客户端（Tor Client,文件tor）；；；；；；一个为嗅探登录凭证和Modbus工控协议信息的TCP流量嗅探�？？？？？椋═CP Traffic Sniffer，， ，，，，，文件ps）;一个专门为HTTP 80端口举行流量监控、截取、改动、注入的HTTP 流量监控�？？？？？椋℉TTP Traffic Controllor，， ，，，，，文件ssler）；；；；；；以及可用于破损装备使其无法重启、无法取证的装备破损�？？？？？椋―estroy Module，， ，，，，，文件dstr），， ，，，，，别的其还保存其他的�？？？？？槿纾簃ikrotik.o、torrc、ip_tables.ko、iptable_filter.ko、iptable_nat.ko 。。。。。。。
三、恶意软件剖析
凭证该恶意软件执行攻击的办法，， ，，，，，可以将其划分为三个阶段，， ，，，，，其中Loader文件为第一个阶段的恶意�？？？？？�，， ，，，，，VPNFilter文件为第二阶段的恶意�？？？？？�，， ，，，，，Tor客户端和流量嗅探器为第三阶段的恶意�？？？？？� 。。。。。。。以下划分对这三个阶段的恶意代码举行深入的剖析 。。。。。。。
第一阶段：熏染装备并下载恶意代码主体执行
第一个阶段的样本可以看作是一个Loader（文件名为msvf），， ，，，，，攻击者使用装备误差将其落地到装备内存中运行 。。。。。。。该Loader主要目的是从C&C效劳器上下载第二阶段的恶意组件执行 。。。。。。。该Loader差别于以往的物联网恶意代码那样将C&C内置于代码内，， ，，，，，而是通过在正当图片网站上下载一张隐藏有C&C地点的图片举行剖析，， ，，，，，从而获得真实的C&C 。。。。。。。而恶意代码为了避免流量追踪，， ，，，，，接纳socks5署理、Tor、以及ssl的方法举行该图片的下载 。。。。。。。若是图片下载失败，， ，，，，，也会接纳极其隐藏的原始流量数据嗅探的方法来获取C&C 。。。。。。。
同时该�？？？？？榛故酝夹薷腘VRAM并将自身加入准时使命文件”crontab”中，， ，，，，，以抵达常驻的目的 。。。。。。。一样平常物联网恶意代码如mirai等没有涉及常驻机制，， ，，，，，使得其在装备重启后会消逝 。。。。。。。
1、两次建设子历程并且启用恶意代码对目今用户组的读写执行权限
第一阶段样本执行后，， ，，，，，会fork两次，， ，，，，，第一次用于整理历程资源启用读写执行权限 。。。。。。。
第二次fork会在子历程中确认历程文件是否保存，， ，，，，，若是不保存会举行文件的回写，， ，，，，，避免举行文件丧失 。。。。。。。
别的在第二次fork的子历程中，， ，，，，，恶意代码为了避免自身文件在装备重启后消逝，， ，，，，，还会将自身文件加入到crontab文件末尾，， ，，，，，以实现开启启动、常驻装备的目的 。。。。。。。
2、 解密证书文件名、图片链接数据等内容
接下来恶意代码会通过变形的RC4算法来解密后续要用到的字符串和数据，， ，，，，，变形RC4秘钥为”%^:d”，， ，，，，，最新版本已经更新为“g&*kdj$dg0_@@7’x” 。。。。。。。
变形RC4的stable数据如下：
最后解密获得如下信息，， ，，，，，其中包括证书文件名、版本号、build信息、图片url等 。。。。。。。
解密url：
3、建设ssl证书文件以及恶意代码版本文件
解密完成后，， ，，，，，恶意代码会将代码中内嵌的公钥、私钥数据存储在证书文件中 。。。。。。。该恶意代码中存放有三个证书数据，， ，，，，，其中两个公钥和一个私钥，， ，，，，，公钥存储在文件”/var/run/client_ca.crt”和”/var/run/client.crt”中，， ，，，，，私钥存储在文件”/var/run/client.key”中 。。。。。。。
别的，， ，，，，，版本信息0.3.9qa会被写入到文件/var/run/msvf.pid中 。。。。。。。
4、下载第二阶段组件
第二阶段的恶意代码下载地点接纳三种方法获取 。。。。。。。首先实验从photobucket网站请求C&C，， ，，，，，详细凭证如下链接顺序去下载并提取第二阶段恶意代码的效劳器地点 。。。。。。。
http://photobucket.com/user/nikkireed11/library
http://photobucket.com/user/kmila302/library
http://photobucket.com/user/lisabraun87/library http://photobucket.com/user/katyperry45/library
虽然目今这些链接已经失效，， ，，，，，可是通过逆向可以看出，， ，，，，，若是请求响应码为302，， ，，，，，恶意代码则会从响应数据中的”Location”/”location”参数中提取出第二阶段恶意代码的下载地点 。。。。。。。
若是恶意代码请求的响应码为200，， ，，，，，则会从请求的响应数据包的HTTP头部中提取”direct”参数的值，， ，，，，，作为第二阶段恶意代码下载地点 。。。。。。。
若是不保存该值，， ，，，，，则会从图片文件中的EXIF域提取经纬度数据并将其转换为第二阶段恶意代码下载的IP地点 。。。。。。。下载的图片文件EXIF部分数据类似下图 。。。。。。。
处置惩罚代码如下：
若是以上情形均失败，， ，，，，，恶意代码还会实验请求如下链接，， ，，，，，该链接也是一张图片，， ，，，，，和上面要领一样从EXIF中提取经纬度并处置惩罚获得下载地点：http://taknowall.com/manage/content/update.php 。。。。。。。
若是上面的所有方法都实验后依然无法乐成获取C&C地点，， ，，，，，恶意代码会通过链接http://api.ipify.org?format=json获取到目今装备的外网IP地点，， ，，，，，然后嗅探目今装备的原始网络流量数据，， ，，，，，并试图从这些流量数据中过滤出切合特命名堂的网络数据包，， ，，，，，若是知足名堂要求，， ，，，，，便会从该数据中提取出第二阶段恶意代码的下载地点 。。。。。。。其中过滤包时需知足如下条件：
(1) 原始数据流长度必需大于0x3D
(2) 数据包必需为TCP包
(3) 数据包的SYN必需被设置
(4) 目的IP必需为目今装备的公网IP
(5) Tcp Option的MSS(Maximum Segment Size) 必需为0c 15 22 2B（现实上为不法MSS）
若是知足以上条件，， ，，，，，则从MSS之后的4个字节提取出C&C的IP地点 。。。。。。。我们将这种以SYN TCP数据流作为数据传输的手艺称为”SYN隧道手艺” 。。。。。。。使用该种手艺来传输C&C地点不但能够很好隐秘黑客的踪迹(无需在恶意代码逆向或者网络存储点上袒露黑客C&C地点)，， ，，，，，并且能够无邪的变换C&C，， ，，，，，很是难以被觉察 。。。。。。。因此，， ，，，，，可以说样本中任何内置C&C或者存储C&C的存储点被处置惩罚后，， ，，，，，该恶意代码仍然可以受控于黑客 。。。。。。。这给执法部分处置惩罚该恶意代码带来了重大挑战 。。。。。。。原始流的部分判断代码如下：
若是以上任何一种方法能够乐成获取到下载地点并且下载组件乐成，， ，，，，，恶意代码便会直接执行所下载恶意代码，， ，，，，，然退却出 。。。。。。。下载的第二阶段的恶意代码被生涯为文件”/var/vpnfilter” 。。。。。。。
第二阶段：控制下令吸收、分发、执行
该样本以实现后门控制为目的，， ，，，，，其主要用于毗连控制端效劳器，， ，，，，，吸收控制下令执行响应的功效控制 。。。。。。。样本首先为了确保运行实体的唯一性，， ，，，，，会绑定1386端口 。。。。。。。若是该端口被占用便会终止运行 。。。。。。。别的在新版本中不再通过这种容易自我袒露的方法来做唯一性判断，， ，，，，，并且添加了自我删除的功效 。。。。。。。
若是绑定乐成，， ，，，，，便会进入焦点事情代码中执行 。。。。。。。首先为了避免因CPU资源缺乏、平台兼容性等问题导致无法事情或者退出，， ，，，，，其还注册了大宗异常信号用于自我复生 。。。。。。。
然后接纳同样的变形RC4算法和秘钥来解密要害字符串以供后续使用 。。。。。。。接下来会完成后续装置设置流程 。。。。。。。
首先检测ssl证书文件是否保存，， ，，，，，若是不保存，， ，，，，，其会处于期待状态，， ，，，，，直到证书文件装置完成 。。。。。。。不然最先设置事情目录、设置署理地点、设置Tor网络地点、获取外网IP地点、MAC地点、网络名称等信息 。。。。。。。下图为部分装置信息 。。。。。。。
接下来建设事情目录/var/run/xxm/及/var/run/xxw并开启主循环，， ，，，，，向控制端请求控制下令并且执行响应的控制功效 。。。。。。。
控制下令的请求有两种方法，， ，，，，，一种是通过socks5署理方法，， ，，，，，一种是通过Tor网络请求 。。。。。。。通过socks5署理请求的C&C地点如下(在新版本中91.121.109.209被移除)：
91.121.109.209
217.12.202.40
94.242.222.68
通过Tor网络请求的地点如下（在新版本中”zuh3vcyskd4gipkm.onion/bin32/update.php”被移除）：
6b57dcnonk2edf5a.onion/bin32/update.php
zuh3vcyskd4gipkm.onion/bin32/update.php
tljmmy4vmkqbdof4.onion/bin32/update.php
这两种方法的请求都是通过ssl协议举行的 。。。。。。。请求完成后，， ，，，，，恶意代码剖析响应数据并且提取出控制下令和控制参数信息 。。。。。。。着实现的远程控制下令和控制参数信息如下：
从该后门实现的远程控制功效我们可以推测该黑客的念头：
(1) 和其他后门一样，， ，，，，，黑客希望能够通过远程shell下令对装备举行完全的控制 。。。。。。。
(2) 黑客可以在一准时机对这些装备举行破损性操作，， ，，，，，使其无法再次使用 。。。。。。。
(3) 为了隐藏其可疑的控制流量，， ，，，，，接纳socks5和Tor逃避IDS监测 。。。。。。。
(4) 可以无邪的设置其在Tor网络中的C&C效劳器以及署理效劳器
(5) 能提供扩展�？？？？？榈南略赜胫葱械牟僮� 。。。。。。。
(6) 可无邪设置毗连C&C的频率，， ，，，，，提高其活动的隐藏性 。。。。。。。
别的，， ，，，，，该阶段的最新恶意代码有较大的转变，， ，，，，，不但对代码做了优化、去除了日志信息，， ，，，，，还改变了部分控制下令的功效，， ，，，，，好比kill下令用于竣事历程及整理其下载的插件，， ，，，，，新增添了update下令和restart下令 。。。。。。。不言而喻，， ，，，，，update下令用于更新样本，， ，，，，，restart下令用于重启样本执行 。。。。。。。同时移除了seturl、proxy下令 。。。。。。。
第三阶段：扩展组件
第三阶段现在已经发明大宗的组件，， ，，，，，其中包括一个为MIPS平台的流量嗅探器、一个用于破损装备的dstr�？？？？？椤⒁桓鲇糜诰傩衅毡镠TTP流量嗅探和监控的ssler�？？？？？�，， ，，，，，尚有一些辅助性�？？？？？槿纾篢or client、mikrotik.o、torrc、ip_tables.ko、iptable_filter.ko、iptable_nat.ko等 。。。。。。。辅助性�？？？？？槿鏣or客户端用于支持第二阶段的Tor网络通讯 。。。。。。。Tor工程提醒：
由于其为标准的Tor客户端，， ，，，，，不具备恶意功效，， ，，，，，因此我们仅仅剖析焦点的三个�？？？？？� 。。。。。。。
1、MIPS平台的TCP流量嗅探�？？？？？�
该�？？？？？槲狹IPS平台，， ，，，，，其主要通过从原始数据包中过滤出TCP/IP数据包，， ，，，，，并且通过对TCP的payload数据举行过滤，， ，，，，，检索其中的敏感信息存储起来 。。。。。。。
该流量嗅探�？？？？？橥ü诙锥味褚獯朐冻滔略夭⑵舳葱�，， ，，，，，其启动运行参数如下：
{�？？？？？槊鹽 DstDir Unkownagr ModbusServer
其中第一个参数为嗅探数据的存放路径，， ，，，，，第二个参数未使用，， ，，，，，第三个参数为modbus server的IP地点 。。。。。。。
该�？？？？？槠舳蟛⒚挥凶龉嗵亓硗馐虑�，， ，，，，，初始化情形后直接挪用流量截取函数举行流量嗅探 。。。。。。。
同样二进制程序中不带任何符号文件，， ，，，，，函数由我们剖析完后举行了重命名 。。。。。。。该函数主要建设一个原始socket并且吸收目今装备所通过的原始数据流 。。。。。。。
接下来恶意代码会凭证TCP/IP头部名堂识别出TCP数据包以举行进一步的处置惩罚 。。。。。。。
首先该�？？？？？橹惶逄莅ざ却笥�0x96个字节的原始流数据，， ，，，，，也就是说除去TCP/IP协议头部的长度的0x36个字节，， ，，，，，该�？？？？？榻鼋黾嗍哟笥�0x60个字节的TCP payload数据 。。。。。。。
关于TCP payload数据大于0x60个字节的数据包，， ，，，，，该�？？？？？榛崞饰鯥P、TCP协议，， ，，，，，并且通过目的端口502判断目今流量数据是否是工控的modbus TCP协议包，， ，，，，，若是是，， ，，，，，且目今数据包的目的IP为运行参数中指定的IP地点，， ，，，，，该�？？？？？楸慊峤檬莅械脑碔P、目的IP、源端口、目的端口纪录下来 。。。。。。。
其中纪录的信息名堂如下：
*modbus*
源IP:源端口->目的IP:目的端口(如：192.168.1.5:2243->192.168.1.3:503)
该信息纪录在文件%workdir%/rep_[time].bin 。。。。。。。
若是目今协议不是modbus协议，， ，，，，，该�？？？？？榛崞局ひ延械墓嬖蚓傩泄�，， ，，，，，找出其体贴的两类数据：一种为携带有验证信息HTTP数据包，， ，，，，，一种是携带有登录信息的HTTP请求数据 。。。。。。。其中提取验证数据的要害字为"Authorization: Basic”，， ，，，，，一旦找到该信息，， ，，，，，该�？？？？？榛峤拷裥崽降降氖莅苯蛹吐嫉轿募�%workdir%/rep_[%time%].bin中 。。。。。。。
提取登录信息的要害字如下：
用户名要害字："User="、"user="、"Name="、"name="、"Usr="、"usr="、"Login="、"login="
登录密码要害字："Pass="、"pass="、"Password="、"password="、"Passwd="、"passwd="
别的要说明的是，， ，，，，，数据包中只要知足如下条件，， ，，，，，该�？？？？？楸慊嵫锲�
(1) 数据包的目的IP为�？？？？？樵诵胁问付ǖ腎P 。。。。。。。
(2) 数据包的源端口小于1024 。。。。。。。
(3) 数据包的源端口为8080/8088 。。。。。。。
(4) TCP payload数据长度小于0x14 。。。。。。。
(5) TCP Payload数据包中包括有"<?xml"、">"、"Basic Og=="、"/tmUnblock.cgi"、"Password required"、"<div”、"<form"、"<input"、"{"、"}"、"200 OK"、".get"、"<span "、"<SPAN "、"<DIV "等 。。。。。。。
2、ssler HTTP嗅探与监控�？？？？？�
该�？？？？？橹饕攵訦TTP层实验越发富厚和强盛的处置惩罚，， ，，，，，其提供有HTTP流量重定向、HTTP流量监控与截取、流量挟制与改动、定向注入JS以举行精准攻击等功效 。。。。。。。其由第二阶段的恶意�？？？？？槠舳诵�，， ，，，，，运行参数说明如下：
首先该�？？？？？榛崾褂胕nsmod下令装置三个iptable相关的内核�？？？？？� (ip_tables.ko、iptable_filter.ko、 iptable_nat.ko)，， ，，，，，通过这三个�？？？？？�，， ，，，，，恶意代码可以将自己的规则设置到iptable中去 。。。。。。。
接下来执行如下下令将所有80端口的流量重定向到其所监听的8888端口上：
iptables -I INPUT -p tcp --dport 8888 -j ACCEPT
iptables -t nat -I PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8888
为了包管该规则不会被删除，， ，，，，，该�？？？？？榛崦扛�5分钟更新一次该规则 。。。。。。。
该�？？？？？榛峁刈⑺�80端口上的数据，， ，，，，，包括流向效劳器端和流向客户端的数据 。。。。。。。在处置惩罚流向效劳器端的数据时，， ，，，，，为了最大化的监控到敏感数据，， ，，，，，其会对HTTP请求的数据举行一定改动 。。。。。。。在处置惩罚流向客户端的响应数据时，， ，，，，，同样会对数据举行改动并且凭证启动参数的指定来对特定目的实验精准的JS注入，， ，，，，，入侵到详细客户端主机上，， ，，，，，也可以是内网的办公主机上 。。。。。。。
（1）对请求数据的处置惩罚
首先，， ，，，，，该�？？？？？槲四芄蛔畲笙薅鹊募嗫氐搅髁�，， ，，，，，其会将所有请求数据的"https://"改动为"http://" 。。。。。。。为了确保HTTP传输的数据都为可处置惩罚数据，， ，，，，，会修改”Accept-Encoding”的值，， ，，，，，以及修改Connection的方法，， ，，，，，详细处置惩罚方法如下：
i. 将请求数据中的所有https改动为http，， ，，，，，以利便监控并窃取敏感信息，， ，，，，，如登录凭证等 。。。。。。。
ii. 若是HTTP请求中包括有”Connection: keep-alive”，， ，，，，，将会被替换为”Connection: close” 。。。。。。。
iii. 若是HTTP请求中,HTTP头中包括有gzip值的”Accept-Encoding”头部域(扫除url为jpg、jpeg、png、gif、css、js、ttf、woff文件)，， ，，，，，其将会转化为”Accept-Encoding: plaintext/none”，， ，，，，，这样请求获得的数据便不会被效劳器端压缩 。。。。。。。
随后，， ，，，，，该组件可对截取的流量举行过滤并将相关数据生涯到装备中 。。。。。。。首先若是”dump:domain”参数被指定，， ，，，，，http请求的url、port、http header都会生涯在指定的文件中 。。。。。。。若是在dump参数中没有指定详细值(domain字符串为空)或者dump参数没有指准时，， ，，，，，其会dump包括有特定信息http请求信息 。。。。。。。其通过URL来判断目今请求是否是其体贴的请求，， ，，，，，若是URL中包括有要害字：
”sername=”、”ser=”、”ame=”、”ogin=”、”ail=”、”hone=”、”session%5Busername”、”session%5Bpassword”、”session[password”便会dump请求的头部信息到指定的文件中 。。。。。。。
另外，， ，，，，，对accounts.google.com发送的POST请求，， ，，，，，只要其中包括有字符串”signin”,都会被dump下来 。。。。。。。
（2）对响应信息的处置惩罚
所有HTTP请求获得的响应数据都会被处置惩罚，， ，，，，，其处置惩罚方法如下：
i. 响应信息中Location的值若是是”https://”，， ，，，，，则被替换为http:// 。。。。。。。
ii. 若是响应头部中包括有Alt-Scv、Vary、Content-MD5、content-security-policy、X-FB-Debug、public-key-pins-report-only、Access-Control-Allow-Origin，， ，，，，，便会被阻断，， ，，，，，也就是说，， ，，，，，请求方无法获得响应 。。。。。。。
iii. Dump所有请求包的数据到外地，， ，，，，，其中包括https://和http:// 。。。。。。。
iv. 若是参数”site:domain”指定了域名要害字或者域名的一部分，， ，，，，，其会将一段javascript剧本注入到所有包括有的”Content-Type: text/html” 或者”Content-Type: text/javascript”响应数据的msgbody中 。。。。。。。其注入要领：首先响应的msgbody数据中必需包括字符串”<meta name= … >”并且长度必需大于参数”hook:”所指定的字符串长度 。。。。。。。若是知足条件，， ，，，，，字符串”<meta name= … >”将会被替换成为”<script type="text/javascript" src="[hook value]">”，， ，，，，，目今受害者IP及其会见的网站域名将会加入到内部的一个白名单中，， ，，，，，以避免重复注入，， ，，，，，白名单每4天会被清空一次 。。。。。。。
在响应数据中，， ，，，，，恶意�？？？？？榛崽崛∶扛隽唇又械挠蛎�，， ，，，，，并且将其加入到截取列表中，， ，，，，，这个截取列表中所有的https和http请求都会凭证“（1）对请求数据的处置惩罚”的方法举行处置惩罚 。。。。。。。默认情形下包括有 www.google.com、 twitter.com、 www.facebook.com、www.youtube.com 。。。。。。。
3、 装备破损�？？？？？椋―estroy module）
由于老版本的第二阶段�？？？？？榇看獾闹皇羌蚱硬脸氨竚tdblock0的前5000个字节以破损装备，， ，，，，，有很大几率会失败，， ，，，，，因此新版本的第二阶段�？？？？？榻玨ill指令的破损性功效作废，， ，，，，，并接纳插件�？？？？？榈姆椒ɡ词迪� 。。。。。。。该插件�？？？？？椴坏⑿铝似扑鹱氨腹π�，， ，，，，，并且还提供了痕迹整理的功效 。。。。。。。其目的不但让装备无法恢复，， ，，，，，并且即便恢复了也无法取证获取恶意代码相关痕迹 。。。。。。。
�？？？？？槠舳笫紫壬境陨砦募�，， ，，，，，然后强制关闭所有包括"vpnfilter"、"security"、"tor"要害字的历程 。。。。。。。
接下来整理掉所有痕迹文件，， ，，，，，其中包括有证书文件、Tor客户端相关文件、版本信息文件等 。。。。。。。
该�？？？？？榛够岜槔鷐td分区，， ，，，，，并强制擦除整个FLASH 。。。。。。。
最后，， ，，，，，其接纳”"rm -rf /*"”强制递归删除文件系统上的所有文件，， ，，，，，并重启装备 。。。。。。。
四、总结
通太过析我们可以看出，， ，，，，，该恶意代码攻击手法隐秘高明，， ，，，，，其不但接纳署理+Tor+SSL的方法以逃避网络流量的监测，， ，，，，，并且尚有多重战略用于确保焦点组件(第二阶段恶意代码)的乐成下发 。。。。。。。首先接纳了HTTP的方法将C&C存放于”direct”或者”location”字段中，， ，，，，，若是这种方法被阻断则接纳图片隐写手艺将C&C存储于EXIF中，， ，，，，，若是存储C&C的图片链接失效，， ，，，，，其还在代码中留了一个”SYN”后门，， ，，，，，通过”SYN隧道手艺”来传输C&C 。。。。。。。这种可以说是黑客接纳的一种较为高明且很是包管的战略，， ，，，，，为其行动在被发明甚至是被阻断后设置了多重包管，， ，，，，，也便于在黑客发明被阻断后举行快速切换，， ，，，，，极大地提高了其控制的长期性和无邪性 。。。。。。。
我们还可以看到，， ，，，，，迅猛生长的物联网装备也最先酿成高级威胁组织的一类攻击向量，， ，，，，，其试图通过这些装备来网络情报，， ，，，，，包括登录凭证以及工控设施相关的主要信息，， ，，，，，通过无邪的�？？？？？榛芄�，， ，，，，，可凭证相关情报对特定主机实验精准攻击或者对大宗装备实验极具破损性的攻击，， ，，，，，其危害性很是之大 。。。。。。。
建议厂商将检测规则（Talos已经果真了100多条snort规则）加入到流量检测装备中，， ，，，，，若是支持原始流量检测，， ，，，，，也可使用“SYN隧道手艺”中的特征举行越发深度和准确的检测 。。。。。。。一旦发明受熏染装备，， ，，，，，建议接纳应急战略对装备举行处置惩罚（好比对装备举行断网并且复位恢复到出厂模式、更新最新固件），， ，，，，，同时进一步检查内网主机是否有被攻击并请专业人士举行处置惩罚 。。。。。。。
IOC:
第一阶段涉及的相关URL:
photobucket[.]com/user/nikkireed11/library
photobucket[.]com/user/kmila302/library
photobucket[.]com/user/lisabraun87/library
photobucket[.]com/user/eva_green1/library
photobucket[.]com/user/monicabelci4/library
photobucket[.]com/user/katyperry45/library
photobucket[.]com/user/saragray1/library
photobucket[.]com/user/millerfred/library
photobucket[.]com/user/jeniferaniston1/library
photobucket[.]com/user/amandaseyfried1/library
photobucket[.]com/user/suwe8/library
photobucket[.]com/user/bob7301/library
toknowall[.]com
第二阶段涉及的相关IP及链接：
91.121.109[.]209
217.12.202[.]40
94.242.222[.]68
82.118.242[.]124
46.151.209[.]33
217.79.179[.]14
91.214.203[.]144
95.211.198[.]231
195.154.180[.]60
5.149.250[.]54
91.200.13[.]76
94.185.80[.]82
62.210.180[.]229
62.210.180[.]229
91.200.13[.]76
23.111.177[.]114
6b57dcnonk2edf5a[.]onion/bin32/update.php
tljmmy4vmkqbdof4[.]onion/bin32/update.php
zuh3vcyskd4gipkm[.]onion/bin32/update.php
4seiwn2ur4f65zo4.onion/bin256/update.php
zm3lznxn27wtzkwa.onion/bin16/update.php
最新受熏染的装备如下：
参考链接：
https://blog[.]talosintelligence.com/2018/05/VPNFilter.html
https://blog.talosintelligence.com/2018/06/vpnfilter-update.html
京公网安备11010802024551号