NFsec Logo

Panchan – botnet p2p oraz robak SSH

18/06/2022 (3 tygodnie temu) w Bezpieczeństwo Brak komentarzy.  (artykuł nr 822, ilość słów: 948)

P

anchan to nowy malware odkryty przez zespół Akamai, który od marca 2022 uruchomił swoją aktywność. Został napisany w języku Go, aby wykorzystać wbudowane funkcje współbieżności (goroutines) do przyśpieszenia szybkości rozprzestrzeniania się i uruchamiania złośliwych modułów. Dostaje się on do systemów Linux poprzez atak typu brute force na usługę SSH. Lista użytkowników (np. „ubuntu”, „root”, „user”, „debian”, „pi”) i haseł jest wcześniej ustalona. Oprócz „podstawowego” ataku słownikowego na SSH (który jest powszechny w większości znanych robaków) – ta odmiana przechwytuje również klucze SSH w celu rozprzestrzeniania się po innych systemach w sieciach wewnętrznych i zewnętrznych (ang. lateral movement). Szuka on konfiguracji i kluczy SSH w katalogu domowym użytkownika ($HOME). Odczytuje klucz prywatny ze ścieżki $HOME/.ssh/id_rsa i używa go do próby uwierzytelniania na dowolnym adresie IP znalezionym w pliku $HOME/.ssh/known_hosts. Jest to dość nowatorska metoda zbierania danych uwierzytelniających, która nie występowała wcześniej w złośliwych programach łamiących hasła SSH.

Po odgadnięciu danych dostępowych i pomyślnym uwierzytelnieniu Panchan tworzy ukryty folder o losowej nazwie w głównym katalogu użytkownika i kopiuje się do tego „ukrytego” folderu pod nazwą xinetd za pomocą sftp np.:

/root/.1994343289646751801/xinetd 

Następnie uruchamia skopiowaną binarkę na docelowej maszynie (używając nohup) i przekazuje jej listę peerów przez wiersz poleceń. Po udanej infekcji złośliwe oprogramowanie inicjuje żądanie HTTPS typu POST do webhooka serwera Discord, który prawdopodobnie służy do monitorowania ofiary:

https://discord.com/api/webhooks/954739777134014514/mlkP-UocEi6FOR8dm5nByY5c7hxOaRxDbI...

Protokół P2P botnetu jest dość prosty. Wszystko jest przesyłane w postaci plaintext przez port TCP 1919. Wszystkie jego serwery nasłuchują na tym porcie, a nawet tworzą reguły iptables zezwalające na taki ruch sieciowy:

sh -c "iptables -D INPUT -p tcp --dport 1919 -j ACCEPT"
sh -c "iptables -A INPUT -p tcp --dport 1919 -j ACCEPT"

Monetyzacja odbywa się poprzez wykorzystanie dwóch minerów – xmrig oraz nbhash. Obie binarki minerów są zakodowane w BASE64 wewnątrz głównej binarki malware i są z niej wyodrębniane oraz uruchamiane w czasie jej wykonywania. Jest jednak pewna nowość tutaj, ponieważ koparki w ogóle nie są zapisywane na dysk. Zamiast tego wykorzystywana jest funkcja memfd_create() do tworzenia mapowanego w pamięci pliku z binarną zawartością koparki. Dzięki temu można je uruchomić bezpośrednio z pamięci bez identyfikowalnej ścieżki na systemie plików. Z konfiguracji, którą badacze wyodrębnili wygląda na to, że Panchans wykorzystuje NiceHash dla swoich puli wydobywczych (ang. mining pool) oraz portfeli (ang. wallets). Portfele NiceHash nie są portfelami blockchain, więc nie można zobaczyć ich szczegółów transakcji i kopania, aby ocenić rzeczywiste przychody.

Mechanizm persystencji polega na skopiowaniu się do ścieżki /bin/systemd-worker (IoC) i utworzeniu usługi systemd o tej samej nazwie. Moduł ukrywania swojej obecności nazywa się antitaskmanager, ale wbrew swojej nazwie nie ingeruje w działanie menedżera zadań. Zamiast tego nieustannie poszukuje procesów narzędzi top i htop. Po ich znalezieniu kończy działanie aktualnie uruchomionych procesów kopania kryptowalut. Mimo, że procesy mogą szybko zniknąć to połączenia w stanie TIME_WAIT na wychodzące porty 3380 i 3387 mogą wskazywać na ruch do puli wydobywania kryptowalut. Co ciekawe sama centralna usługa przechwytuje wysyłane do niej sygnały zakończenia procesu (SIGTERM – 0xF i SIGINT – 0x2) i ignoruje je. To sprawia, że zgaszenie złośliwego oprogramowania jest trudniejsze, ale nie niemożliwe, ponieważ sygnał SIGKILL nie jest przechwytywany.

Poniżej znajduje się skrypt, który szybko wykrywa obecność Panchan po charakterystycznych cechach opisanych wcześniej:

#!/usr/bin/env sh

echo "Panchan's mining rig Detection Script by Akamai Threat Labs"

persist=false
binary=false
listening_port=false

systemctl list-units --full -all | grep -q "systemd-worker.service" && {
    persist=true
    echo "[*] Panchan persistence service detected"
}

find /.* -maxdepth 1 -name xinetd -type f | grep -q "xinetd" && {
    binary=true
    echo "[*] Panchan binary path detected"
}


netstat -lno | grep -wq 1919 && {
    listening_port=true
    echo '[*] Listening on port 1919'
}

if $persist || $listening_port || $binary; then
    echo "[*] There is evidence of Panchan malicious activity on this machine."
    exit 1
else
    echo '[*] The machine seems to not be infected with Panchan'
    exit 0
fi

Na podstawie aktywności tego botnetu należy rozważyć następujące zalecenia:

  • Konta shell wystawione na dostęp z internetu (i nie tylko) powinny używać bezpiecznych i złożonych haseł (jeśli muszą ich używać) – najlepiej pochodzących z generatorów haseł i utrzymywanych w menedżerach. Malware w automatycznym trybie działania wykorzystuje bardzo ograniczoną liczbę domyślnych kombinacji nazwy użytkownika i hasła, które nie powinny być skonfigurowane na żadnej maszynie produkcyjnej. Tworzenie silnych haseł może znacznie ograniczyć wpływ złośliwego oprogramowania.
  • Zastosować ochronę przed zbieraniem adresów z known_hosts.
  • Tam, gdzie to możliwe skonfigurować funkcję MFA. Użycie MFA uniemożliwia nieautoryzowaną próbę logowania nawet po odgadnięciu hasła. W przypadku SSH bardzo łatwo wykonać to za pomocą Google Authenticator dostępnego dla systemów Android oraz iOS.
  • Monitorowanie aktywności zasobów maszyn wirtualnych. Botnety takie jak Panchan, których celem jest cryptojacking zwiększają wykorzystanie zasobów maszyny do nietypowych poziomów utrzymujących się przez dłuższy czas. Stałe monitorowanie zużycia procesora oraz monitoring domen DNS do popularnych adresów kopalni pozwala na szybkie zauważenie kopania kryptowalut.
  • Segmentacja sieci. Jeśli posiadamy maszyny, które muszą mieć otwarte usługi SSH na internet, mądrze jest kontrolować, kto może łączyć się z nimi z internetu, a także z kim mogą łączyć się w sieci wewnętrznej. Skonfigurowanie tych kontroli dostępu zmniejsza wpływ, jaki może mieć skompromitowana maszyna na naszą sieć, a także zmniejsza ogólną powierzchnię ataku.

Więcej informacji: Panchan’s Mining Rig: New Golang Peer-to-Peer Botnet Says “Hi!”

Kategorie K a t e g o r i e : Bezpieczeństwo

Tagi T a g i : , , , , , , ,

Komentowanie tego wpisu jest zablokowane.