“古惑仔”械斗上演：看Satori僵尸网络如何争夺百万路由器江湖
潮热夏夜，昏黄灯光下的巷子口，砍刀、水管、酒瓶按捺不住地摩挲作响。这是黑帮电影中，古惑仔街头械斗的经典场景。所谓手持利器，杀心自起，无论是争夺尖沙咀老大，还是铜锣湾扛把子，利益始终是使人头破血流的终极目的。
网络江湖也如此，前不久，可影响百万GPON家用光纤路由器的漏洞（CVE-2018-10561，CVE-2018-10562）曝光。漏洞大杀器出现后，360网络安全研究院监测到，10天内已经有至少5个僵尸网络家族在积极利用该漏洞构建其僵尸军团，包括 mettle、muhstik、mirai、hajime、satori等等。
对百万路由器的控制，犹如一块硕大的肥肉，而控制权的排他性，决定了想吃上这块肥肉，僵尸网络这群“古惑仔”间，必然有一场血雨腥风的决斗。想想洪兴十二堂，堂口兴衰往复，传奇不断。当下，僵尸网络的这场上位斗争中，一个入会较晚的小辈抢上了龙头，它是如何在这场械斗中杀出重围，背后又有什么秘密武器？360网络安全研究院对此进行了分析。
Satori僵尸网络主角登场
在上一篇文章里，360详细介绍了 muhstik 僵尸网络的情况。在那篇文章发布的前后，通过与安全社区共同的努力，累积关闭了muhstik僵尸网络在OVH上的12个IP地址，以及在微软网络上的1 个IP地址。详细的IP地址列表，见附件IoC部分。
其他的僵尸网络包括：
· Satori：satori是臭名昭著的mirai僵尸网络变种，该恶意代码团伙在2018-05-10 05:51:18 首次加入到抢夺 GPON 易感染设备的行列，并在短短时间内就挤掉了 muhstik，成为我们视野范围内感染频次最高的一员。另外，我们测试验证了Satori的投入模块，在某些版本的设备固件上是能成功执行的。这使得Satori显著区别于参与聚会的其他僵尸网络。
· Mettle：一个恶意代码团伙，基于在越南的IP地址 （C2 210.245.26.180:4441，scanner 118.70.80.143）和mettle开源控制模块
· Hajime：hajime的本次更新也包含了 GPON 本次的漏洞利用
· 两个Mirai变种：至少两个恶意代码团伙正在积极利用该漏洞传播mirai变种。其中第二个，已经被称为omni。
· Omni：在 newskysecurity.com 首次公开批露后，我们确认其文档中称为 omni 的僵尸网络，就是我们之前提及的mirai变种之二。
· imgay：这看起来是一个正在开发中的僵尸网络，其功能尚不完善。
本篇文章将主要介绍 Satori 僵尸网络的本轮更新。后续我们也许会发布系列文章的第三篇，对剩下的其他僵尸网络做一描述。第三篇预期会是系列文章的最后一篇，如果没有更多僵尸网络加入聚会的话。
不同僵尸网络的投递力度对比
我们使用蜜罐来采集本次GPON相关漏洞的利用情况。下面列出了我们看到的攻击载荷活动频次Top10，完整的列表可以见文末IoC部分：
图1
从上面这里采集的数据来看，Satori（累积57.80%）和muhstik（累积38.87%）是当前GPON漏洞利用的主力。
Satori本轮更新涉及的恶意代码下载链接
Satori在本轮更新中，使用了下面这组URL传播恶意代码：
图2
Satori本轮更新涉及的恶意代码样本分析
我们对其中的样本 http://185.62.190.191/arm（md5hash:d546bc209d315ae81869315e8d536f36)做了分析。
这个样本的代码，与原始版本的Satori已经有了比较大的变化，单纯从样本二进制方面，与原来的satori的关系已经不太大。但是考虑到其在关键字符串、域名TXT信息、邮件地址等多方面的联系，我们仍然把其归在Satori变种之下。
该样本中有四个加密字符串，对应的解密结果分别如下：
图3
第一个字符串为C2，第二个字符串会在控制台被输出。 第三、四个字符串在样本中仅被定义未被发现使用。值得一提的是这两个字符串和 Satori.robber中用到的代码相近，这可以作为该样本与 Satori同源的一个旁证。
第四个字符串后面的Hex部分如下，包含了一个矿池地址，和一个钱包地址：
图4
Satori本轮更新中涉及到的钱包地址
这个钱包地址的信息可查，如下。如果按照每24小时产生0.05个ETH币，从5月10日到现在估计共挖取了0.3个ETH币。按照现行每个ETH代币价格700美金估算，Satori在目前6天的行动中共获取了大约200美元的收益。
图5
图6
Satori本轮更新涉及域名解析，以及其对外界传递的信息
另外，c.sunnyjuly.gq在DNS系统中一直没有提供IP地址解析，相反其提供了TXT解析，可以视为其作者对外界传达的信息。作者前后两次传递的信息如下：
图7
值得对比的是，在Satori.robber中，Satori 的作者通过二进制文件向外界传递了如下信息。两次出现的信息，书写手法类似，所留下的邮件地址也均为 riseup.net 提供的邮箱。
图8
Satori本轮更新导致了近期 端口3333上的扫描
当前版本的Satori还会扫描3333端口，并直接导致了我们在ScanMon上的一次较大波动。这次扫描的来源大约有17k个独立IP地址，主要源自 Uninet S.A. de C.V.，隶属 telmex.com，位于墨西哥。
图9
联系我们
感兴趣的读者可以联系我们。
Ioc
曾经在 muhstik 控制之下，但已经被安全社区清除的IP列表：
近期我们观察到的利用 GPON 分发恶意软件的下载链接
