概述

Moobot是一个基于Mirai开发的僵尸网络，我们最早发现其活动在2019年7月，这里有一篇我们关于Moobot的文章，感兴趣的读者可以去阅读[0]。 2019年8月起我们开始对其进行跟踪，在这将近一年的时间其样本更新、DDoS攻击等活动从未间断过。其最近参加了一次我们不方便透露的重大DDoS攻击活动，又一次成功引起了我们的注意。所以决定来扒一扒它的前世今生。

样本传播

Moobot样本主要通过Telnet弱口令和利用nday,0day[1][2]漏洞传播，我们观察到的Moobot利用的漏洞如下：

样本分析

在之前的文章中介绍了Moobot的诸多变种，我们认为其作者相较与简单的改改C2，更倾向开发使用新的技术。Moobot的作者在样本二进制层面&网络流量层面做了许多尝试，一般样本都会采用下述方法中的多种组合，来和安全研究人员进行对抗。

• 使用DNS TXT存储C2/手动构建DNS TXT请求
• 使用新的UPX幻数进行加壳
• 使用码表替换的加密方法的隐藏敏感资源
• 使用SOCKS PROXY，TOR PROXY

但是在2020年1月起活跃至今的名为Moobot_xor的变种中，情况出现了变化。Moobot_xor是Moobot大家族中少见的只是修改了上线协议的变种，或许是因为Moobot的作者在长达1年的运营中，发现只需要做这样简单的修改，再加上不停的更换C2，就能达到非常好的收益，没必要再投入新技术的研究了。

样本信息

MD5:98c8326b28163fdaeeb0b056f940ed72
ELF 32-bit LSB executable, Intel 80386, version 1 (SYSV), statically linked, stripped
Packer:None
Lib:uclibc
Verdict: Moobot_xor

Mirai已经是安全社区非常熟悉的老朋友了,而Moobot_xor与Mirai很接近，因此下文只从加密方法以及通信协议俩个方面介绍Moobot_xor，别的方面就不再细述。了解加密方法可以提取bot的配制信息，了解通信 协议可以跟踪C2以获取最新的攻击指令，希望这些内容能帮助社区更好的打击Moobot家族。

加密方法

Moobot_xor采用Mirai经典的Xor加解密方法，key为0DEADBEEFh,

通信协议

Mobot_xor在Mirai通信协议的基础上做了微小的修改，下文将从上线，心跳，功击指令等方面介绍其具体的变化。

• 上线包
  

msg parsing
----------------------------------------------------------------
33 66 99 					-----> hardcoded magic
06							-----> group string length
67 6c 61 69 76 65			-----> group string,here it is "glaive"

• 心跳包
  

msg parsing
----------------------------------------------------------------
00 00 					-----> hardcoded msg from bot
00 00					-----> hardcoded msg from c2	

• 攻击指令包

msg parsing
----------------------------------------------------------------
similar to mirai

01 						-----> number of targets

	77 a7 B5 CB 20		----->target/mask, 119.167.181.203/32

02						-----> number of flags

	00					-----> flag type
	02					-----> flag length
	32 30				-----> flag data
	
	
	07					-----> flag type
	02					-----> flag length
	38 30				-----> flag data
	
	

Moobot DDoS活动

自从我们开始跟踪Moobot，其攻击活动从未停止过。根据我们的观察，其日活C2始终保持个位数，但是C2存活时间较长。攻击目标遍布全球，每日攻击目标100个左右。

Moobot的攻击目标

Moobot的每日攻击目标趋势如下图所示：

从上图可以看出Moobot的DDoS攻击活动在2020年3月末至2020年5月初出现明显的异常点，Moobot的日攻击目标从平常的几百暴增到将近2万。经过分析我们发现Moobot攻击目标暴增是因为在这段期间Moobot攻击了大约48k左右的巴西的IP。我们不清楚Moobot盯着巴西往死里打打奇怪攻击行为的目的是什么。去除地理位置在巴西的攻击目标。Moobot的日活攻击目标如下，每天100左右的攻击目标：

Moobot攻击目标地理位置分布

Moobot的攻击目标遍布全球，被攻击的目标主要分布在中国，美国，德国，俄罗斯等地。其攻击目标地理位置分布如下：

Moobot攻击受影响的域名

通过我们的PDNS数据反查被Moobot攻击的IP，发现至少3k以上的域名被影响，之前我们也观察到Moobot攻击了很多流行站点/重要服务。包括DNS ROOT，Twitter, Facebook, Pornhub, Wikimedia, Twitch, World of Warcraft Server, Google，Baidu， Alibaba，Krebs on Security等。当时据一名为UKDrillas的黑客或客户组织称攻击这些流行站点的目的是为了测试该Botnet的攻击效果。部分Moobot攻击目标对应的域名如下图所示:

IOC

C2

190.115.18.238  AS262254|DANCOM_LTD                             Russian_Federation|Moscow|Unknown
31.13.195.56    AS34224|Neterra_Ltd.                            Bulgaria|Sofia|Unknown
37.49.226.216   AS208666|Estro_Web_Services_Private_Limited     Netherlands|Overijssel|Enschede
45.95.168.90    AS42864|Giganet_Internet_Szolgaltato_Kft        Hungary|Szabolcs-Szatmar-Bereg_County|Nyiregyhaza
abcdefg.elrooted.com
audi.n1gger.com
botnetisharam.com
cykablyat.raiseyourdongers.pw
dbkjbueuvmf5hh7z.onion
frsaxhta.elrooted.com
gcc.cyberium.cc
n1gger.com
nd3rwzslqhxibkl7.onion
nlocalhost.wordtheminer.com
park.cyberium.cc
park.elrooted.com
proxy.2u0apcm6ylhdy7s.com
rr442myy7yz4.osrq.xyz
sisuugde7gzpef2d.onion
typicalniggerdayatthecoolaidparty.n1gger.com
wor.wordtheminer.com
zrqq.xyz
tbpsboy.com