[业内新闻动态] [【转载】] 传统 IRC 僵尸网络活动利用自动化 SSH 入侵管道大规模招募 Linux 主机

结论

SSHStalker通过弱密码暴力破解SSH服务建立入口（Source），借助编译型恶意负载（如nmap伪造二进制、C编译的IRC客户端）扩散（Sink），依赖cron持久化和IRC指令实现C2控制。攻击链依赖未更新系统的脆弱性（如Linux 2.6.x漏洞）和临时目录执行权限滥用。

分析路径

L1攻击面识别

1. 入口点（Source）
   • SSH服务暴露的端口22（弱密码、复用密码）
   • 过时Linux内核漏洞（如2.6.x）
2. 传播链
   • 感染主机作为扫描跳板（通过伪造的nmap Go二进制扫描端口22）
   • 分层压缩包解压部署IRC僵尸程序（GS、bootbou.tgz）
3. 持久化机制
   • 每分钟cron任务重启恶意进程
   • PID文件监控实现快速复活

L2假设与验证

1. 假设：恶意二进制以/tmp或/dev/shm为临时执行目录
   • 验证：检查/dev/shm目录下异常文件及最近修改时间，结合find /dev/shm -mmin -10
2. 假设：GCC被用于编译C恶意代码
   • 验证：检查编译记录（history | grep gcc），并分析/var/log/secure中非授权用户的gcc/make进程
3. 假设：IRC客户端通过TCP连接到C2服务器
   • 验证：抓包分析出站IRC流量（6667/6697端口），或检查netstat -anpt | grep irc

L3边界/异常场景

1. 老旧漏洞利用场景
   • 验证主机内核版本（uname -a），若为2.6.x需紧急升级
2. 日志篡改检测
   • 检查/var/log/wtmp//var/log/lastlog文件属性及内容完整性（stat命令对比时间戳）
3. 快速恢复机制测试
   • 手动终止恶意进程后，观察ps或systemctl是否在60秒内自动重启

L4防御反推与修复

1. 切断入口（Source）
   • 禁用SSH密码登录（PasswordAuthentication no in sshd_config）
   • 限制SSH源IP（IPTables/安全组规则）
2. 阻断Sink链路
   • 删除/dev/shm可疑目录及cron任务（crontab -l | grep -v "watchdog" | crontab -）
   • 阻断IRC出站连接（iptables -A OUTPUT -p tcp --dport 6667 -j DROP）
3. 加固与监控
   • 监控临时目录执行权限（chmod 1777 /tmp确保粘滞位但禁止写入恶意二进制）
   • 部署编译行为告警（如通过auditd监控gcc/make的执行）
   • 更新内核及基础软件，移除闲置服务

可执行验证步骤

1. 终端侧

   # 检查异常cron任务  
   grep "/dev/shm" /etc/cron* -R  
   # 查找内存目录中可疑文件  
   find /dev/shm -type f -exec file {} \; | grep "executable"  
   # 验证日志清理痕迹  
   stat /var/log/utmp | grep Modify  

2. 网络侧

   # 实时监控IRC连接  
   tcpdump -i any 'port 6667 or port 6697' -nn -B 512 -X  
   # 统计SSH暴力破解来源IP  
   awk '{print $11}' /var/log/secure | grep "Failed password" | cut -d " " -f1 | sort | uniq -c  

修复建议

1. 强认证
   • 强制SSH密钥认证，禁用root登录，部署Fail2ban限制暴力破解
2. 最小化暴露面
   • 通过SSH端口改移、内网白名单策略限制访问来源
3. 持续检测
   • 监控/tmp//dev/shm的异常文件及进程树（如ps fax | grep nmap）
   • 使用EDR工具标记非授权的IRC连接行为

关键点：攻击核心依赖临时目录执行权限和SSH弱认证，修复需从入口控制、Sink路径阻断、以及快速检测反弹行为三方面切入。