分析隐藏在比特币区块链中的Pony C&C服务器

冷不防 2021-07-29 01:22 350阅读 0赞

## 介绍 ##

**Redaman是一种通过网络钓鱼攻击活动进行传播的银行恶意软件，主要目标用户为俄语用户。该恶意软件最早出现在2015年，当时该恶意软件被称为RTM银行木马，新版本的Redaman出现在2017年至2018年间。在2019年9月份，Check Point的安全研究人员又发现了一个更新的版本，该版本竟然将一个小型C&C服务器的IP地址隐藏在了比特币区块链之中。**

实际上，我们此前已经看到很多其他的技术会利用比特币区块链来隐藏他们的C&C服务器IP地址，但是在这篇文章中，我们将跟大家分析一种新型的隐藏技术-“Chaining”。

## 感染链 ##

[![format_png][]][format_png 1]

### 攻击者如何在比特币区块链中隐藏C&C服务器？ ###

在这个真实的分析样本中，攻击者想要隐藏的IP地址为“185.203.116.47”。

为了实现这个目标，攻击者需要使用一个钱包地址：1BkeGqpo8M5KNVYXW3obmQt1R58zXAqLBQ

1、攻击者需要将IP地址中的每一个八元位从十进制转换为十六进制：

185.203.116.47 => B9.CB.74.2F

2、攻击者获取前两个八元位，即B9和CB，然后将它们两个反向合并为：

B9.CB => CBB9

3、接下来，攻击者将它们从十六进制转回成十进制：

CBB9 ==> 52153

然后，攻击者需要进行首次交易操作，将0.00052153个比特币（约值4美元）交易到目标钱包地址：

1BkeGqpo8M5KNVYXW3obmQt1R58zXAqLBQ

4、攻击者获取最后两个八元位。74和2F，然后将它们两个反向合并为：

74.2F => 2F74

5、攻击者将它们从十六进制转回成十进制：

2F74==> 12148

然后，攻击者需要进行第二次交易操作，将0.00012148个比特币（约值1美元）交易到目标钱包地址：

1BkeGqpo8M5KNVYXW3obmQt1R58zXAqLBQ

[![format_png 2][]][format_png 2 1]

### Redaman恶意软件如何获取动态隐藏的C&C服务器IP地址？ ###

Redaman会根据上述介绍的算法进行反向计算并获取到隐藏其中的IP地址。

1、Redaman首先会发送一个GET请求来获取硬编码比特币钱包地址1BkeGqpo8M5KNVYXW3obmQt1R58zXAqLBQ的最后十条交易记录，请求如下：

https://api.blockcypher.com/v1/btc/main/addrs/1BkeGqpo8M5KNVYXW3obmQt1R58zXAqLBQ?limit=10

2、攻击者会获取比特币钱包52153和12148的最后两条支付交易记录。

3、将交易的十进制值转换为十六进制：

52153==>CBB9和12148==>2F74

4、将十六进制值切分为高位字节和低位字节，修改字节顺序并转换回十进制：

B9==>185, CB==>203, 74==>116, 2F==>47

5、最后，将这些值合并为隐藏的C&C服务器IP地址：

185.203.116.47

[![format_png 3][]][format_png 3 1]

[![format_png 4][]][format_png 4 1]

## 总结 ##

在这篇文章中，我们介绍了Redaman如何高效地将动态C&C服务器IP地址高效地隐藏在比特币区块链中。跟以往基于硬编码或静态编码IP地址来设置C&C服务器的方法相比，这种技术更加难以检测和防御。

## 入侵威胁指标IoC ##

### C&C服务器地址 ###

[![format_png 5][]][format_png 5 1]

### Redaman样本 ###

> cf9c74ed67a4fbe89ab77643f3acbd98b14d5568
> 
> c098dc7c06e0da8f6e2551f262375713ba87ca05
> 
> 3933f8309824a9127dde97b9c0f5459b06fd6c13
> 
> 817bd8fff5b026ba74852955eb5f84244a92e098
> 
> 51c7a774a0616b4611966d6d4f783c1164c9fa50
> 
> 44b6627acd5b2c601443c55d2e44ae4298381720
> 
> d9fb2504008345af97b0e400706cdaa406476314
> 
> bbdce69acc6101c1f61748c91010c579625ef758
> 
> 3f2b758122c0d180ccfba03b74b593854f2b0e86
> 
> 9d7b264367320da38c94be1f940c663375d67a2a

### 比特币钱包地址 ###

> 1BkeGqpo8M5KNVYXW3obmQt1R58zXAqLBQ

[format_png]: /images/20210728/8d0877ffb85e4e5ab3e786dc2e95e163.png
[format_png 1]: https://image.3001.net/images/20191203/1575349314_5de5ec427175d.png
[format_png 2]: /images/20210728/e96cbf583a414d0ca50a40b9f7ea2b47.png
[format_png 2 1]: https://image.3001.net/images/20191203/1575349357_5de5ec6d8f20b.png
[format_png 3]: /images/20210728/34b0f2c615c74e1994c5ae04f657b4e3.png
[format_png 3 1]: https://image.3001.net/images/20191203/1575349502_5de5ecfef1b53.png
[format_png 4]: /images/20210728/fc564854f25c485d834c701c13a4f52c.png
[format_png 4 1]: https://image.3001.net/images/20191203/1575349511_5de5ed07da485.png
[format_png 5]: /images/20210728/9bd51927d7774b3e9f7c5fa085390464.png
[format_png 5 1]: https://image.3001.net/images/20191203/1575349526_5de5ed163285a.png