0x00起因

前阵子在用户某台设备上检测到一个IP在向外大量的发送SSH链接请求，而且有大量的DDOS其他IP的嫌疑。很明显这个IP的机器已经被人黑了，自然需要检测原因。于是就一步步开始排查。

0x01检查

先通过Tcpdump抓了下机器的包。发现在大量的SSH包中，还存在比较大的TCP的包，而这些包都指向一个IP 183.56.173.197，把这部分包都抓下来分析下。包里内容如下：

di1.png

这个是个比较明显的和僵尸主机的CNC回传通信，应该是确认僵尸存活使用的。

顺便查了下这个IP 183.56.173.197，就是一个恶意的主机节点。而且应该还是个存活的节点。

di2.png

查询了一下，发现这个主机节点控制一种叫Linux/BillGates.Lite僵尸网络。这种僵尸网络主要是被用来进行DDOS攻击，同样会窃取服务的文件发送给僵尸主机。当僵尸存在的时候会在机器的**/tmp/路径下生产一个标志性文件gates.lod**，于是我去路径下很快就发现了这个文件。

di3.png

到此基本上就确认了是Linux/BillGates影响了该机器。

0x02 溯源

既然机器被人黑了，总要查下攻击者怎么进来的。
使用last命令看一下近期的登陆情况。发现了端倪：

di4.png
这两个IP是外网IP而且非常搞笑的是他们的地址完全和机器无关

di5.png
di6.png

进来的时间也非常可疑，凌晨2点上下。很明显就是攻击者啦。至于怎么进来的，从这看应该是通过SSH暴力破解进入的机器。这个Oracle账号的密码应该是过于简单了。

既然已经定位到账号了。看看他在这个时间段都干嘛了。进入用户目录/home/oracle/，查看.bash_history文件：

di7.png

一目了然，攻击者进来之后，先进入了**/tmp**目录，然后去僵尸主机上下载了一个可执行文件，加权后执行然后退出该账号。
这个可执行文件最后没有找到。细想一下应该是执行完后自删除了，不留痕迹。

最后生成的恶意文件gates.lod，权限账户就是为oracle。

di8.png

0x03 结论

攻击者进来的方式很简单，SSH暴力破解，完成破解之后，去主机上下载可执行文件，执行后加载了僵尸病毒，最后完成自删除行为，被植入僵尸的主机会干3件事：

  1. 继续进行SSH暴力破解获得更多僵尸
  2. 进行DDOS攻击其它机器
  3. 定期回传信息给控制机

完成整个攻击，共出现了一共3个IP，这三个IP分工明确，第一个IP 182.151.213.178负责进行暴力破解，第二个IP 1.82.191.37负责连接至被暴力破解主机进行相关恶意操作，第三个IP 183.56.173.197是僵尸的控制机，负责控制僵尸。很明显前两个IP应该也是受害者。

0x04 尾巴

这台机器从这次事件来看有如下弱点需要改进：

  1. 账户密码强度太低，需要增强
  2. 应该禁止外网IP进行SSH连接，或者修改连接端口。
  3. tmp目录有执行权限，最好修改tmp目录权限

总之完成这次流程也花了一些时间，总结下来给自己留做经验吧。

最后附上个连接，是详细分析Linux/BillGates的有兴趣的可以看看

MMD-0039-2015 - ChinaZ made new malware: ELF Linux/BillGates.Lite