VestaCP中国用户遭到大量DDOS攻击

2023-11-05 02:30
文章标签 中国 ddos 攻击 用户 大量 遭到 vestacp

本文主要是介绍VestaCP中国用户遭到大量DDOS攻击，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

VestaCP是一款强大的vps控制面板，是由俄罗斯的人编写的VPS主机控制面板，支持中文，支持Apache、Nginx、Bind、Exim、Dovecot、vsftpd、MySQL等，提供可视化的网站管理面板，非常适合多用户使用。

最近几个月，托管控制面板解决方案  VestaCP的众多用户收到了服务提供商的警告，他们的服务器使用了异常的带宽。我们现在知道这些服务器实际上用于发起DDoS攻击。对受感染服务器的分析表明，我们称之为Linux / ChachaDDoS的恶意软件已安装在系统上。在本周的同一时间，我们发现官方的VestaCP发行版遭到破坏，导致至少自2018年5月以来对VestaCP的新安装造成供应链攻击.Linux / ChachaDDoS与Linux / Xor.DDoS（又名Xor.DDOS），但与这个较旧的系列不同，它有多个阶段，并使用Lua作为其第二和第三阶段组件。

感染矢量
根据VestaCP论坛上的用户“Razza”，攻击者尝试通过SSH 启动Linux / ChachaDDoS。如何有效载荷是在下降，目前尚不清楚/var/tmp  DIR ectory，但假设攻击者已经拥有了管理员密码，它会是一个简单的任务。在安装过程中，VestaCP创建一个名为“admin”的用户，该用户具有sudo权限。攻击者如何知道此管理员用户的密码？
关于如何首先获得凭证的假设有多种假设。我们首先怀疑VestaCP的Web界面存在漏洞。虽然看代码，我们发现，未加密的口令保持我 ñ /root/.my.cnf，  但访问该文件的内容仍然需要攻击者利用一个  本地文件包含和权限提升漏洞。用户“Falzo”也在代码中挖掘并发现更有趣的东西：安装脚本的某些版本将管理员密码和服务器名称泄露给VestaCP的官方网站vestacp.com。

 

作为“L4ky” 指出，这是所有在GIT HIST的的ORY vst-install-ubuntu.sh文件。从2018年5月31日18:15:53 2018（UTC + 3）（a3f0fa1）到6月13日17:08:36 2018（ee03eff）该$codename变量包含发送到 的base64编码的密码和服务器域名http://vestacp.com/notify/。Falzo说他在Debian安装程序的第809行找到了hack，但与Ubuntu安装程序不同，我们在Git历史中找不到它的引用。也许VestaCP上的安装程序与Github上可见的安装程序不同？
鉴于此主要密码泄漏，我们敦促所有VestaCP管理员更改管理员密码并加强对其服务器的访问。严肃的管理员应该考虑对VestaCP代码进行审核。
虽然这一发现令人震惊，但没有证据表明此密码泄漏是Linux / ChachaDDoS首先分发的方式。它可能是通过另一个洞。
VestaCP维护人员表示他们受到了损害。恶意代码如何在他们的Git树中结束仍然不清楚。也许犯罪者修改了服务器上的安装脚本，这个版本用于在Git中创建文件的下一个版本，但仅用于Ubuntu目标。这意味着他们至少自2018年5月以来就受到了损害。
Linux / ChachaDDoS分析
被攻陷的服务器上丢弃的恶意软件是我们称之为ChachaDDoS的新型DDoS恶意软件的变种。这似乎是多个现有DDoS恶意软件的演变。第一和第二阶段将他们的过程设定为[kworker/1:1]。这就是输出中出现的内容ps。
第一阶段
持久性机制和Xor.DDoS的链接
Linux / ChachaDDoS中使用的持久性机制实际上与Linux / XorDDos中的持久性机制相同，除了文件名dhcprenew 。它包括以下步骤：
  1. 它将精灵复制到/usr/bin/dhcprenew
  2. 如果已在主机上设置了与恶意软件相关的任何持久性机制，则会将其删除
  3. 一个新的服务加入叔 Ø/etc/init.d/dhcprenew
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
#!/bin/sh
# chkconfig: 12345 90 90
# description: dhcprenew
### BEGIN INIT INFO
# Provides:     dhcprenew
# Required-Start:
# Required-Stop:
# Default-Start: 1 2 3 4 5
# Default-Stop:    
# Short-Description: dhcprenew
### END INIT INFO
case $1 in
start)
   /usr/bin/dhcprenew
   ;;
stop)
   ;;
*)
   /usr/bin/dhcprenew
   ;;
esac
  1. 此服务的符号链接是创建 d in /etc/rc[1-5].d/S90dhcprenew和/etc/rc.d/rc[1-5].d/S90dhcprene
  1. 它运行命令lin es chkconfig --add dhcprenew并update-rc.d dhcprenew defaults启用该服务
下载和解密第二阶段
一旦设置了持久性，就会定期从硬编码的URL下载第二阶段。有趣的是，从我们分析的不同样本中，我们观察到了一些与URL结构相似的特征：
  • 使用端口8852
  • 使用的所有IP地址都属于193.201.224.0/24子网（AS25092，OPATELECOM PE Tetyana Mysyk，乌克兰）
  • 第二阶段的资源名称看起来是伪随机的，但始终是一个6到8个字符的大写字符串（例如JHKDSAG或ASDFRE）
URL遵循模式 n http://{C&C}:8852/{campaign}/{arch}。我们发现第二阶段二进制文件可用于多种体系结构，包括x86，ARM，MIPS，PowerPC甚至s390x。下载对应于受害主机体系结构的ELF文件后，使用ChaCha加密算法对其进行解密。ChaCha是Salsa20流密码 的继承者。两个密码都使用相同的常量expand 32-byte k  来设置初始状态; 下图显示了解密函数的开头：
两种算法之间的差异是初始状态的重新排列和四分之一轮的修改，这是由密码执行的核心操作。由于其四分之一轮中使用的特定轮换，我们可以识别ChaCha的使用，如下面的代码段所示：

用于ChaCha解密的密钥大小是256位，在我们收集的所有样本中，我们观察到使用相同的密钥。为了避免重新实现解密算法的痛苦，我们开发了一个基于Miasm的脚本来模拟解密函数。

一旦我们解密了第二阶段，它的输出似乎是LZMA压缩的，所以我们只是使用   了提取二进制文件lzma -d < output > second_stage.elf。
第二阶段
二进制本身比第一阶段大得多，这主要是因为嵌入式Lua解释器。Lua中的恶意软件是我们之前在Linux / Shishiga上看到的。第二阶段的目的是执行硬编码的Lua有效负载，定期下载任务。我们将任务视为第三阶段，因为任务基本上是要解释的Lua代码。在我们观察到的所有变体中，第二阶段使用与第一阶段相同的C＆C服务器。第二阶段嵌入了许多Lua库（例如LuaSocket）来与硬编码的C＆C服务器进行通信。
二进制文件的一些本机函数是公开的，因此可以从Lua代码中调用它们。以下屏幕截图显示了它们的导出方式，例如ChaCha加密功能。

Lua有效负载下载的任务是ChaCha解密（使用不同的加密密钥）并由Lua解释器执行。至于第二阶段，用于下载任务的URL似乎遵循特定模式，正如可以从以下代码片段中观察到的：

 

此外，有效负载应使用上面关于任务使用的屏幕截图中指定的URL发送一些统计信息; 但实际上，它只发送MAC地址和其他一些信息：

 

第三阶段（任务）
从我们能够收集的任务中，我们只观察了DDoS功能的实现。代码非常明确，主要包括调用函数对给定目标执行SYN DDoS攻击：

 

 

DDoS目标的IP地址144.0.2.180属于中国ISP。我们找不到任何明显的理由将此IP地址作为DDoS攻击的目标，因为似乎没有服务托管在该IP地址上。
Last-Modified 任务文件响应的HTTP响应头指示此目标自2018年9月24日起是相同的。它应该是可靠的，因为恶意软件使用If-Modified-SinceHTTP请求头以避免再次下载有效负载。
ASDFREM活动是唯一具有活动任务的活动。它类似，但针对中国的另一个IP地址：61.133.6.150。
结论
显然，ChachaDDoS与Xor.DDoS共享代码以实现其持久性机制。但它是来自同一作者还是ChachaDDoS作者只是偷了它？ChachaDDoS引起了我们的注意，因为它被VestaCP实例捕获，但是多个体系结构的二进制文件的存在表明其他设备（包括嵌入式设备）是这种威胁的目标。
这一事件也提醒人们，仅仅因为软件是开源的，它不一定是100％安全的。恶意软件仍然可以进入。恶意凭证窃取代码就在那里，每个人都可以在GitHub上查看，在发现它之前的几个月。我们同意它确实有助于发现漏洞 - 在这种情况下是事后验证 - 但这并不意味着我们应该仅仅因为它是开源的而盲目地信任某个产品。
ESET产品检测到这种威胁为Linux / Xorddos.Q，Linux / Xorddos.R和Linux / ChachaDDoS。
感谢Hugo Porcher对本次分析和撰写的帮助。
妥协指标（IoC）
第一阶段
哈希（SHA-1）
ESET检测名称
拱
第二阶段网址
bd5d0093bba318a77fd4e24b34ced85348e43960
Linux的/ Xorddos.Q
x86_64的
hxxp：//193.201.224.238：8852 / RTEGFN01
0413f832d8161187172aef7a769586515f969479
Linux的/ Xorddos.R
x86_64的
hxxp：//zxcvbmnnfjjfwq.com：8852 / RTEGFN01 
hxxp：//efbthmoiuykmkjkjgt.com：8852 / RTEGFN01
0328fa49058e7c5a63b836026925385aac76b221
Linux的/ ChachaDDoS.B
MIPS
hxxp：//9fdmasaxsssaqrk.com：8852 / YTRFDA 
hxxp：//10afdmasaxsssaqrk.com：8852 / YTRFDA
334ad99a11a0c9dd29171a81821be7e3f3848305
Linux的/ ChachaDDoS.B
MIPS
hxxp：//193.201.224.238：8852 / DAAADF
4e46630b98f0a920cf983a3d3833f2ed44fa4751
Linux的/ ChachaDDoS.B
臂
hxxp：//193.201.224.233：8852 / DAAADF
3caf7036aa2de31e296beae40f47e082a96254cc
Linux的/ ChachaDDoS.B
MIPS
hxxp：//8masaxsssaqrk.com：8852 / JHKDSAG 
hxxp：//7mfsdfasdmkgmrk.com：8852 / JHKDSAG
0ab55b573703e20ac99492e5954c1db91b83aa55
Linux的/ ChachaDDoS.B
臂
hxxp：//193.201.224.202：8852 / ASDFREM 
hxxp：//193.201.224.202：8852 / ASDFRE
ChaCha关键
fa408855304ca199f680b494b69ef473dd9c5a5e0e78baa444048b82a8bd97a9
第二阶段
哈希（SHA-1）
ESET检测名称
拱
第二阶段网址
1b6a8ab3337fc811e790593aa059bc41710f3651
Linux的/ ChachaDDoS.A
powerpc64
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
4ca3b06c76f369565689e1d6bd2ffb3cc952925d
Linux的/ ChachaDDoS.A
臂
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
6a536b3d58f16bbf4333da7af492289a30709e77
Linux的/ ChachaDDoS.A
PowerPC的
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
72651454d59c2d9e0afdd927ab6eb5aea18879ce
Linux的/ ChachaDDoS.A
i486的
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
a42e131efc5697a7db70fc5f166bae8dfb3afde2
Linux的/ ChachaDDoS.A
s390x
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
abea9166dad7febce8995215f09794f6b71da83b
Linux的/ ChachaDDoS.A
arm64
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
bb999f0096ba495889171ad2d5388f36a18125f4
Linux的/ ChachaDDoS.A
x86_64的
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
d3af11dbfc5f03fd9c10ac73ec4a1cfb791e8225
Linux的/ ChachaDDoS.A
MIPS64
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
d7109d4dfb862eb9f924d88a3af9727e4d21fd66
Linux的/ ChachaDDoS.A
MIPS
hxxp：//193.201.224.238：8852 / RTEGFN01 / RTEGFN01.dat
56ac7c2c89350924e55ea89a1d9119a42902596e
Linux的/ ChachaDDoS.A
MIPS
hxxp：//193.201.224.238：8852 / DAAADF / DAAADF.dat
Chacha钥匙
000102030405060708090a0b0c0d0e0f101112131415161718191a1b1c1d1e1f
参考
  1. https://carolinafernandez.github.io/security/2015/03/16/IptabLeX-XOR-DDoS
  2. https://blog.checkpoint.com/wp-content/uploads/2015/10/sb-report-threat-intelligence-groundhog.pdf
  3. https://grehack.fr/data/2017/slides/GreHack17_Down_The_Rabbit_Hole:_How_Hackers_Exploit_Weak_SSH_Credentials_To_Build_DDoS_Botnets.pdf

转载于:https://www.cnblogs.com/iors/p/9829176.html

这篇关于VestaCP中国用户遭到大量DDOS攻击的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/346791。

相关文章

跨国公司撤出在华研发中心的启示：中国IT产业的挑战与机遇

跨国公司撤出在华研发中心的启示：中国IT产业的挑战与机遇

近日，IBM中国宣布撤出在华的两大研发中心，这一决定在IT行业引发了广泛的讨论和关注。跨国公司在华研发中心的撤出，不仅对众多IT从业者的职业发展带来了直接的冲击，也引发了人们对全球化背景下中国IT产业竞争力和未来发展方向的深思。面对这一突如其来的变化，我们应如何看待跨国公司的决策？中国IT人才又该如何应对？中国IT产业将何去何从？本文将围绕这些问题展开探讨。 跨国公司撤出的背景与
阅读更多...
从戴尔公司中国大饭店DTF大会，看科技外企如何在中国市场发展

从戴尔公司中国大饭店DTF大会，看科技外企如何在中国市场发展

【科技明说 ｜ 科技热点关注】 2024戴尔科技峰会在8月如期举行，虽然因事未能抵达现场参加，我只是观看了网上在线直播，也未能采访到DTF现场重要与会者，但是通过数十年对戴尔的跟踪与观察，我觉得2024戴尔科技峰会给业界传递了6大重要信号。不妨简单聊聊：从戴尔公司中国大饭店DTF大会，看科技外企如何在中国市场发展？ 1）退出中国的谣言不攻自破。 之前有不良媒体宣扬戴尔将退出中国的谣言，随着2
阅读更多...
【Kubernetes】K8s 的安全框架和用户认证

【Kubernetes】K8s 的安全框架和用户认证

K8s 的安全框架和用户认证 1.Kubernetes 的安全框架1.1 认证：Authentication1.2 鉴权：Authorization1.3 准入控制：Admission Control 2.Kubernetes 的用户认证2.1 Kubernetes 的用户认证方式2.2 配置 Kubernetes 集群使用密码认证 Kubernetes 作为一个分布式的虚拟
阅读更多...
速盾高防cdn是怎么解决网站攻击的？

速盾高防cdn是怎么解决网站攻击的？

速盾高防CDN是一种基于云计算技术的网络安全解决方案，可以有效地保护网站免受各种网络攻击的威胁。它通过在全球多个节点部署服务器，将网站内容缓存到这些服务器上，并通过智能路由技术将用户的请求引导到最近的服务器上，以提供更快的访问速度和更好的网络性能。 速盾高防CDN主要采用以下几种方式来解决网站攻击： 分布式拒绝服务攻击(DDoS)防护：DDoS攻击是一种常见的网络攻击手段，攻击者通过向目标网
阅读更多...
令人不想回忆的DDos

令人不想回忆的DDos

免责声明:本文仅做分享!!!    目录 DDos 介绍: 常见攻击方式: 基于TCP协议的攻击 基于icmp协议的攻击 web压力测试 攻击----> 1-工具脚本 MHDDos项目 LOIC（低轨道离子炮） HOIC（高轨道离子炮） HULK OWASP HTTP POST Tors Hammer 2-在线平台 防御----> 1-高防 2-C
阅读更多...
vue2实践：el-table实现由用户自己控制行数的动态表格

vue2实践：el-table实现由用户自己控制行数的动态表格

需求 项目中需要提供一个动态表单，如图： 当我点击添加时，便添加一行；点击右边的删除时，便删除这一行。 至少要有一行数据，但是没有上限。 思路 这种每一行的数据固定，但是不定行数的，很容易想到使用el-table来实现，它可以循环读取:data所绑定的数组，来生成行数据，不同的是： 1、table里面的每一个cell，需要放置一个input来支持用户编辑。 2、最后一列放置两个b
阅读更多...
家庭和学生用户笔记本电脑配置方案

家庭和学生用户笔记本电脑配置方案

2.6.1  家庭和学生用户笔记本电脑配置方案 　　2.6.1  家庭和学生用户笔记本电脑配置方案 　　普通家庭用户、学生用户主要用于上网、娱乐、学习等，这类用户要求笔记本电脑的各方面 功能比较均衡。在选购此类笔记本电脑时，主要考虑外观设计方面要比较时尚，而且性能上也要 够强，一些大型复杂的软件以及目前的主流游戏都要能够流畅地运行才行。 　　对于CPU方面，可以考虑目前主流的第二
阅读更多...
一次生产环境大量CLOSE_WAIT导致服务无法访问的定位过程

一次生产环境大量CLOSE_WAIT导致服务无法访问的定位过程

1.症状 生产环境的一个服务突然无法访问，服务的交互过程如下所示： 所有的请求都是通过网关进入，之后分发到后端服务。 现在的情况是用户服务无法访问商旅服务，网关有大量java.net.SocketTimeoutException: Read timed out报错日志，商旅服务也不断有日志打印，大多是回调和定时任务日志，所以故障点在网关和商旅服务，大概率是商旅服务无法访问导致网关超时。 后
阅读更多...
Ubuntu ftp搭建--配置不同用户不同权限

Ubuntu ftp搭建--配置不同用户不同权限

一、安装VSFTP sudo apt-get install vsftpd 二、添加FTP用户 sudo mkdir /etc/vsftpdsudo useradd -m -d /home/vsftpd vsftpd --用户名为vsftpd，目录和用户名可以自己更改sudo vi /etc/vsftpd/ftpuser.txt --这个到时与vsftp的配置文件对应建立一
阅读更多...
Android--第二天（项目安装启动，电话拨号器，用户通知，短信发送器，数据存储与访问）

Android--第二天（项目安装启动，电话拨号器，用户通知，短信发送器，数据存储与访问）

注：如果文件被保存到SDCard中，可以被任何应用读和写！
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2