“破壳”漏洞的关联威胁进化与类UNIX系统的恶意代码现状

1       背景... 2

2       “破壳”漏洞的再审视... 2

    2.1    “破壳”漏洞综述... 2

    2.2    “破壳”漏洞的披露的过程... 3

    2.3    “破壳”漏洞的影响范围情况... 4

    2.4    Android平台存在潜在风险... 4

3       相关的网络攻击事件... 5

    3.1    攻击载荷的提取... 5

    3.2    网络数据包的变化... 6

    3.3    利用“破壳”漏洞进行攻击的相关统计... 7

4       相关的恶意代码活动... 8

    4.1    一个存在已久的僵尸网络... 8

    4.2    新捕获的另一个IRCBOT攻击... 11

    4.3    新捕获的蠕虫攻击... 13

5       类UNIX系统的恶意代码现状... 14

    5.1    类UNIX在不同领域的应用... 15

    5.2    类UNIX安全漏洞统计... 15

    5.3    类UNIX恶意代码统计... 17

    5.4    类UNIX常有的威胁举例... 18

    5.5    类UNIX系统的一些安全事件案例... 19

6       宜将剩勇追穷寇（代小结）... 23

附录一：参考资料... 26

附录二：关于安天... 28

附录三：文档更新日志... 28

1.背景

安天CERT于 9月25日凌晨开始响应“破壳”漏洞，先后在9月25日发布了《“破壳”漏洞（CVE-2014-6271）综合分析》^[1]，在9月30日发布了《“破壳”漏洞相关恶意代码样本分析报告 ——“破壳”漏洞系列分析之二》^[2]，并均更新了多个版本。经过对“破壳”漏洞半个月的持续跟踪与分析，本报告将安天CERT近阶段分析工作进行阐述。

2.“破壳”漏洞的再审视

2.1 “破壳”漏洞综述

2014年4月的“心脏出血”（Heartbleed）漏洞被安天和多个安全厂商都惊呼为几年内最严重的安全危机，其引发的“出血”效应不过六个月，破壳又被安全业内认定为更为严重的漏洞。这是一种过度紧张？还是恰如其实？而两者是否存在一些微妙的关联？

Heartbleed漏洞让开源界和安全工作者认识到，开源系统所获得的安全关注度是高度不均衡的，类似Linux内核等场景聚焦了过多的研究者，而在OPEN SSL这种广泛使用的、异常关键、但却又是外围应用环节的软件，反而一直被作为一种具有想象安全的既定事实来看待。没有想到一个安全环节自身是不安全的，就像很早以前用户不会认为反病毒软件本身也可能有严重的安全故障一样。但这样的“灯下黑”式的盲点效应，绝不只是在“Heartbleed”身上存在。多个知名项目实际上资金短缺，人手匮乏的现状得到了关注。而还有项目居然“来历不明”，如密码学家们惊诧地发现，在安全界拥有很多拥趸的开源加密软件Truecrypt，甚至没有人知道来自何方。因此Heartbleed带动了开源界的问题曝光，带动了全面的审查开源系统漏洞，减少盲点的活动热潮。而Heartbleed也带来了对脆弱点分布的更多思考，让更多对内核的关注扩展到外围和连接部，扩展到被认为不可能发生问题的场景。而类似Bash这样的“古老”的代码，也就自然重回代码审计研究者的实现。如果要说“心脏出血”的爆发与“破壳”的被发现有什么关联，或许这就是其中的关联。

GNU Bash系列的第一个漏洞，漏洞编号CVE-2014-6271，根据NVD的相关信息，受漏洞影响的Bash版本是1.14.0到4.3，版本4.3是漏洞被公布时的GNU Bash的最新版本。而1.14.0版本发布于1994年，所以根据NVD的信息判断本漏洞已存在20年。而在编写本次系列分析之一《“破壳”漏洞(CVE-2014-6271)综合分析》中，安天CERT验证了其版本3.0到版本4.3均存在此漏洞，我们根据版本3.0的漏洞至少存在10年的估计来看，要延长了一倍这个英文名称为Bash Shellshock^[4]，X-CERT命名其中文名称为“破壳”^[1]的漏洞影响大部分类UNIX^[7]操作系统的时间，并且所有漏洞研究相关机构均将此漏洞定为最高响应级别。而CVE-2014-6271只是一个开始，此漏洞由于牵扯相关应用面积过大，难以彻底修补，导致了多次补丁都不完整，所以又出现了CVE-2014-7169^[8]、CVE-2014-6277^[9]、CVE-2014-6278^[10]从而成为一组系列漏洞。同时因为漏洞的利用方法及操作较容易^[1]，所以此漏洞发布后网络迅速出现了利用此漏洞的攻击事件。

2.2 “破壳”漏洞的披露的过程

“破壳”漏洞的原理已在《破壳”漏洞(CVE-2014-6271)综合分析》报告中进行分析，本文不再赘述。下面结合图2-1进行“破壳”漏洞的披露与修补迭代过程解读：

• 9月24日：CVE-2014-6271被公开，补丁也快速形成，但因补丁修复不完整导致CVE-2014-7169；
• 9月27日：因前两个漏洞补丁修复不完整导致CVE-2014-6277；
• 9月30日：因在前三个漏洞补丁修复不完整导致CVE-2014-6278；
• 9月28日：Bash的两个溢出漏洞又被公开CVE-2014-7186^[11]、CVE-2014-7187^[12]。

图 2-1 “破壳”漏洞的披露与修补迭代

2.3 “破壳”漏洞的影响范围情况

根据GitHub网站^[3]已公布的此漏洞信息，截至到目前“破壳”漏洞所影响的第三方软件已有十余种之多，而且这些第三方软件大多数为开源软件，被不同类别的操作系统所支持；或者是一些应用十分广泛的软件，例如Oracle等；随着时间的推移所影响的范围还会不断的被公布出新的第三方软件，图2-2中展示了“破壳”漏洞目前的影响范围。

图 2-2“破壳”漏洞的影响范围

2.4 Android平台存在潜在风险

截至到目前Google官方发布的Android平台不存在“破壳”漏洞。但未来的Android系统如果功能增强，或一些第三方将Android修改后的操作系统，可能会存在此漏洞。下面的测试用例就可以触发“破壳”漏洞：

1)        首先安装BusyBox Pro工具（安装时勾选env命令）；

2)        然后安装GNU bash shell(bash X)；

3)        最后执行“破壳”漏洞测试命令，见图2-3的Android手机测试，“破壳”漏洞执行成功。

图 2-3 Android手机测试

3.1         攻击载荷的提取

我们通过安天“探云”系统及形成部署的VDS网络病毒监控设备进行了每日攻击包捕获，并进行了数据包的对比分析及对应的攻击载荷的提取；但仍存在攻击载荷下载地址已经失效的问题。在表3-1中列出了HTTP协议头的Host字段与User-Agent字段，Host中给出了被攻击的IP地址，User-Agent是漏洞的利用情况，其中漏洞的攻击载荷是以wget或curl命令进行下载，具体下载URL对应的文件，便是要提取的关键恶意代码。

表 3-1攻击载荷的提取举例

3.2 网络数据包的变化

除进行功能载荷的提取外，在数据包的内容上随着时间的变化也存在着一定的变化规律。

• “破壳”漏洞刚刚被公布初期，大多数据包以测试此漏洞为主，例子见数据包示例1；
• 随后出现利用漏洞进行DDOS攻击的数据包，例子见数据包示例2；
• 随后出现利用漏洞进行携带攻击载荷的数据包，例子见数据包示例3；
• 随后出现携带攻击载荷的漏洞位置不固定的数据包，例子见数据包示例4。

3.2.1 数据包示例1：测试

3.2.2 数据包示例2：DDOS

3.2.3 数据包示例3：攻击载荷位于User-Agent

3.2.4 数据包示例4：攻击载荷可位于GET、Cookie、User-Agent、Referer等

3.3 利用“破壳”漏洞进行攻击的相关统计

我们选取一台用于威胁感知的VDS网络病毒监控系统设备在9月30日到10月11日（共计12天）的监控数据进行分析；将监控数据中利用“破壳”漏洞攻击的事件分离出来，进行攻击次数统计。并将对外攻击次数的TOP10 的源IP地址形成表3-2。

表 3-2 IP攻击次数排名Top10（源自：一个VDS探头数据）

1)        图3-1中展示了利用“破壳”漏洞进行攻击的每日攻击次数统计；在9月30日、10月1日离漏洞爆发的时间较近，攻击数据包中存在较多的测试或无载荷的探测包；在10月10日等后期测试探测包明显减少，大部分为具有载荷的有效攻击数据包；总体上攻击事件一直较为活跃，而且因为修补漏洞的不完整，攻击方法在少量修改后，依然有效，所以攻击事件将会继续持续发生，直到“破壳”漏洞被基本彻底修补完整为止。但从总体上看，呈现下降趋势。

图 3-1利用“破壳”漏洞攻击的每日次数统计

2)        图3-2 展示了利用“破壳”漏洞进行发起攻击IP的地域分布情况，从图上可知，利用“破壳”漏洞的攻击源可能有较为广泛的分布。这种攻击可能来自攻击者通过已经掌握在手中的肉鸡体系分发扫描任务，也可能来自利用“破壳”漏洞蠕虫的传播过程。由于这种攻击呈现出更多的大面积、非定向的特点，因此IP来源的地理位置能说明问题变得十分有限，但也一定程度上会体现一个国家节点基数以及弱节点的比率。（当然由于用于抽取数据分析的节点在中国大陆境内，其无疑更多会感知到从中国境内发起的扫描。）

图 3-2发起攻击IP的地域分布情况

4.1 一个存在已久的僵尸网络

在《“破壳”漏洞相关恶意代码样本分析报告 ——“破壳”漏洞系列分析之二》中，安天CERT对利用“破壳”漏洞进行传播的僵尸网络样本进行了分析。这不是一组新出现的僵尸网络样本，而是一个存活超过三年时间之久，不断通过各种漏洞持续传播的样本；样本为了更好地进行传播与功能的更新，也一直在出现新的变种。图4-1在时间上阐述了此僵尸网络对漏洞的利用过程。表4-1是在regular.bot为依据进行的演变对比。

图 4-1利用“破壳”漏洞传播的BOT时间轴

表 4-1 BOT演变对比列表

结合图4-1与表4-1进行简要的说明：

• 2012年7月6日：从stackexchange上一位用户的提问^[6]中分析可知其中的攻击载体与本次利用“破壳”漏洞的僵尸网络的攻击载体是同一个（stablehost.us/bots/regular.bot）；且行为也大致相同，都是下载其他文件编译、执行。只是脚本内容稍有不同，通过文件内容，能够发现2012年这次攻击可能针对的是PHP相关主机。
• 2013年10月31日：基于第三方资源，安天CERT拿到了该攻击载体stablehost.us/bots/regular.bot，该文件中命令明显减少，只下载两个文件编译、执行。
• 2014年7月20日：stablehost.us进行了更新，从图4-2可知一共更新3个文件，攻击载体改名为regular.bot2，负责下载a和a.c文件，但并没有执行它们。

图 4-2 2014年7月20日stablehost.us更新

• 接下来就是本次“破壳”漏洞分析过的文件，安天CERT于2014年9月28日捕获首次攻击，攻击载体regular.bot，该文件新增下载perl脚本、64位elf文件并执行，还添加了自动更新。
• 在发布了“破壳”漏洞相关分析报告后，2014年10月7日，安天CERT再次发现http://stablehost.us/bots/regular.bot 文件被更新了，这次更新后，文件中命令非常简洁，只是下载a.c编译并执行，与之前“破壳”漏洞相关分析报告中的BOT相同，只是本次修改了服务器地址为: x.secureshellz.net。

由上述一系列的持续更新来看，该僵尸网络是一个运作已久的组织所管理，最早可能要追溯到2012年或更早；该组织采取的regular.bot文件是一个攻击载体，攻击者可以根据各种漏洞迅速修改定制，能够很快的利用最新的漏洞传播发展僵尸网络。

4.2 新捕获的另一个IRCBOT攻击

2014年10月9日安天VDS又捕获到一个新的利用“破壳”漏洞进行攻击的事件，攻击者下载一个perl脚本到目标机器运行。

Perl脚本的路径在http://89.33.193.10/jiw，对应的域名为kiprosmarket.in，该目录下还有http://89.33.193.10/ji、http://89.33.193.10/ju、http://89.33.193.10/j三个文件，这四个文件都是perl脚本编写的bot程序，四者只是在服务器IP和端口有差异，其他代码完全一致，下图是部分代码截图。

四个脚本差异对比：

表 4-2脚本差异对比

安天CERT针对两个IRC服务器进行了连接尝试，相关操作如下：

1)        下载这些脚本并尝试连接IRC服务器，其中只有一个IP地址能够连接。

2)        连接后通过list命令发现此IRC通道中有三个房间。以连接#gnu房间为例，当时连接数是380。

3)        过一段时间后针对房间进行刷新，新增了一个连接，可判断该攻击仍在继续。

4)        通过IRC命令查询部分主机信息，其中大部分主机于10月7日连接，可判断此次攻击发起时间是2014年10月7日或更早。

虽然“破壳”漏洞已经公开了数日，且官方也已经发布了更新补丁，但是通过新捕获的攻击事件来看，利用此漏洞进行的攻击并没有停止，且在一段时间内利用此漏洞进行攻击的活动会非常活跃。

4.3 新捕获的蠕虫攻击

在第三章的表3-1中，第一个数据包摘要信息搭载的攻击载荷便是一个典型的python蠕虫。

结合下面列出蠕虫的部分关键的代码进行说明：

1)        此蠕虫开启多个线程进行网络扫描；

2)        扫描中随机分配待扫描IP；

3)        当攻击成功后将自身从网络下载并执行；

4)        此蠕虫没有下载过多的恶意代码，而是将攻击成功（存在此漏洞）的IP传回到WEB端进行保存，以待攻击者进行二次利用。

“破壳”漏洞的广泛影响，在于GNU Bash的广泛分布。GNU Bash在完全兼容Bourne Shell的基础上功能又有所增强，包含了C Shell和Korn Shell中很多优点，在编辑接口上更灵活，在用户界面上更友好。因其为开源程序且有诸多Shell的长处，所以Bash成为Linux的默认Shell，同时也被应用于大多数的类UNIX操作系统中。

而类UNIX系统的自同一个原点展开，一脉相承的特点，导致了同一个漏洞影响到多个操作系统的问题出现。Ken Thompson等大师在上世纪60年代末开启了UNIX系统创世之旅，而这一种子今天已经成长为一个庞大的操作系统家族，这个家族被称为类UNIX操作系统。

维基百科对“类UNIX”描述为：指各种 UNIX 的派生系统，比如FreeBSD、OpenBSD、Solaris等，以及各种与传统UNIX类似的系统，例如Minix、Linux、QNX等。它们虽然有的是自由软件，有的是私有软件，但都相当程度地继承了原始 UNIX 的特性，有许多相似处，并且都在一定程度上遵守POSIX规范。^[7]类UNIX的具体发展可见图5-1。值得一提的是Android和IOS也有类UNIX家族的基因血统。

图 5-1  UNIX操作系统进化史

类 UNIX和Windows孰优孰劣一直是被长久争论的话题，而从其原点来看，Windows以个人用户为起点，基本达成了对桌面系统的统治，因此以便利、友好而著称，并在引入了DEC的经验后，开始向服务器系统演进；而UNIX系统显然初始是为小型机、服务器所设计，但过去若干年也开始向桌面扩展，并靠Andorid和IOS的崛起统治了智能终端。与Windows操作系统是商业闭源系统不同的是，类 UNIX系统中有大量免费开源的操作系统，这也使得开源社区众多，各种发行版本百家争鸣、百花齐放。这些开源项目也为中国发展国产操作系统提供了最基本的基础。

5.1 类UNIX在不同领域的应用

随着类UNIX系统的快速发展，各发行版本的不断推出，已经广泛应用到嵌入式设备及社会的各个领域，图5-2展示出了类UNIX在各个不同的领域所发挥的作用。

图 5-2 基于类UNIX系统的应用

5.2 类UNIX安全漏洞统计

由于类UNIX系统家族谱系非常复杂，大量的分支目前事实上已经名存实亡，因此也没有得到安全研究者更多的关注，其没有真正经历完整严苛的攻防意义上的代码检验，其漏洞数量并不能真正反映其系统的安全情况。在类UNIX阵营，具有分析意义的主要还是Linux，以及在此基础上衍生的Android这样的宠儿。

我们在此前文献中提供了表5-1，我们统计了Linux内核漏洞、主要发行版漏洞，并以类UNIX的另一分支FreeBSD作为对比，从这里也可以看出由于Linux系统的特点，漏洞分布既可能是内核漏洞，亦可能是发行版漏洞。但同时发行版也存在着冷热不均的情况，比如Redhat Linux有更多漏洞的原因。可能与其使用广泛，演进较快有关，而一些其他比较冷清的发行版分支漏洞较少，可能只是因为他们没有被关注。

表 5-1 Linux内核主要发行版本与FreeBSD对比情况

数据来源：根据CVE Details (www.cvedetails.com)数据统计

对比Linux和Windows的安全情况，是很多人比较热衷的，我们也可以形成如图5-3，但正如之前的因素，这种统计可能无法表明任何问题。

图 5-3  2000-2013年Linux与Windows漏洞数量对比

数据来源：根据CVE Details (www.cvedetails.com)数据统计

5.3 类UNIX恶意代码统计

“破壳”漏洞荡起的涟漪也间接说明了攻击者的变通性与手段之快，在漏洞的载荷中不仅仅包含了ELF文件，而且还包括了各种源码级恶意代码：C、Perl、Python、Bash等，有的可以利用类Unix系统丰富的脚本支持环境执行，有的投放上去之后编译，充分利用平台的环境，达到最佳的效果。能够达到源码级传播与执行的效果是因为攻击者因平台而改变，类UNIX提供了这样的条件。

攻击者倾向于攻击用户量大的主流类UNIX操作系统，表5-2列出了Linux、UNIX、OSX、AndroidOS、IphoneOS五个主流平台上的恶意代码家族数量。每个家族又都可能对应若干乃至大量的变种。但这种统计中是以不同平台的二进制代码为统计标准的，因为很多脚本具有跨平台的特点，难以算入某个操作系统的名下。

表 5-2类UNIX主流操作系统恶意代码家族统计

下面以类UNIX中的Linux操作系统为例进行恶意代码的分类家族统计，截止到目前为止Linux平台的家族总数：631个，变种总数：2202个，恶意代码类别主要为以下几类：

• Worm：         蠕虫
• Virus：          感染式病毒
• Trojan：        木马
• HackTool：    黑客工具
• SpyWare：     间谍软件
• RiskWare：    风险软件