Glupteba僵尸網絡使用比特幣區塊鏈進行C2備份。

Glupteba概述

近日，谷歌宣布采取措施打擊Glupteba僵尸網絡活動，Glupteba是一個攻擊Windows主機的多組件僵尸網絡，使用比特幣區塊鏈中編碼的數據來作為備份的C2機制。

谷歌研究人員分析發現Glupteba會竊取用戶憑證和cookie、在感染的主機上進行加密貨幣挖礦、部署和運行攻擊Windows系統和物聯網設備的代理組件。Glupteb的受感染用戶遍布全球各地，包括美國、印度、巴西、東南亞等地。

Glupteba惡意軟件家族最初是通過pay per install (PPI)網絡和從流量分發服務處購買的流量來傳播。一段時間后，研究人員發現每天有上千個惡意Glupteba實例下載。下圖是一個用來傳播Glupteba變種的web頁面，該頁面聲稱下載的是破解的軟件，然而下載的卻是Glupteba惡意軟件變種：

傳播Glupteba變種的web頁面

研究人員分析Glupteba二進制文件發現了一些含有git的URL：“git.voltronwork.com”，這表明Glupteba 僵尸網絡的運營者同時在提供多個在線服務。這些服務包括利用竊取的憑證來出售虛擬機的訪問權限、代理訪問、出售信用卡號碼用于其他攻擊活動等。

Glupteba服務上傳到谷歌廣告平臺的加密貨幣垃圾郵件

一年來，Google研究人員采取了一系列措施來破壞使用了谷歌服務的Glupteba活動，其中包含6300萬用來傳播Glupteba的谷歌文件、1183個谷歌賬戶、908個云項目、870個谷歌廣告賬戶等。此外，還通過谷歌安全瀏覽向350萬用戶可能下載惡意文件的用戶發布預警消息。

此外，谷歌還參與針對Glupteba僵尸網絡運營人員的訴訟活動，經過分析發現2個Glupteba僵尸網絡的運營人員位于俄羅斯。

Glupteba的C2備份機制

僵尸網絡的C2通信一般使用HTTPS來在控制服務器和受感染的系統之間進行命令和二進制文件的更新。為了增加其基礎設施彈性，Glupteba僵尸網絡運營人員還使用比特幣區塊鏈實現了一種C2備份機制。如果主C2服務器沒有響應，受感染的系統就可以從以下比特幣地址的最新交易中提取加密的備份C2域名：

'1CgPCp3E9399ZFodMnTSSvaf5TpGiym2N1'

'15y7dskU5TqNHXRtu5wzBpXdY5mT4RZNC6’

'1CUhaTe3AiP9Tdr4B6wedoe9vNsymLiD97'

二進制文件中硬編碼了用于解密的32字節AES密鑰：

'd8727a0e9da3e98b2e4e14ce5a6cf33ef26c6231562a3393ca465629d66503cf'

'1bd83f6ed9bb578502bfbb70dd150d286716e38f7eb293152a554460e9223536’

比特幣交易中的OP_RETURN數據可以使用AES-256 GCM密鑰來解密備份的C2域名。OP_RETURN域中的前12字節中含有初始向量IV，后16字節是GCM便簽，中間的部分是AES-256 GCM加密域名。

解密加密的域名的Python腳本如下所示：

關于Glupteba網絡協議的詳細信息參見：https://news.sophos.com/wp-content/uploads/2020/06/glupteba_final-1.pdf

本文翻譯自：https://blog.google/threat-analysis-group/disrupting-glupteba-operation/如若轉載，請注明原文地址。