sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

admin 2024年11月12日11:45:48评论5 views字数 6131阅读20分26秒阅读模式

1

引言

在网络安全攻防对抗中,攻击者经常通过在系统关键组件中植入后门程序,来获取持久的访问权限。sshd (SSH daemon) 作为管理远程登录的核心服务,是攻击者常用的目标之一。攻击者通过修改或者替sshd二进制文件,绕过原有身份认证机制。这样,他们就能获取对服务器的控制权,并实施各种恶意攻击。

然而,sshd后门的隐蔽性极强。攻击者通常仅对某个身份认证函数进行细微改动,例如增加特定的后门密码条件判断。这些改动往往形式多样,不同攻击者可能采用不同的后门密码,使得传统检测方法面临巨大挑战。

  • 杀毒软件:主流杀毒软件依赖特征码匹配,擅长检测已知的恶意软件模式,如特定字符串、字节序列等。然而,sshd后门的修改往往是语义层面的微小变化,难以通过通用规则进行有效检测,从而难以应对变种后门的识别。

  • 白名单机制:基于sshd白名单的检测方法虽然能够有效防范后门,但在动态业务环境中,由于sshd版本更新、补丁发布或正常业务逻辑引入,可能导致误报。这不仅影响正常用户的使用体验,也使得白名单的维护成本显著增加。

  • 人工分析:依赖安全专家进行人工分析虽然能够准确识别后门样本,但分析过程耗时且成本高昂,难以满足大规模服务器集群的检测需求。

为了克服这些传统方法的局限性,腾讯安全科恩实验室结合BinaryAI的函数语义匹配技术,设计了一套自动化且精准的sshd后门检测方案。基于BinaryAI引擎,该方案包含两阶段分析流程。首先,BinaryAI基于 BAI代码匹配模型,结合函数间语义信息,从全量开源C/C++库中精确检索目标样本的源函数;借助匹配到的源函数名,我们从sshd中提取所有与身份认证相关的函数。接着,通过比较身份认证函数与匹配到的源函数的语义相似度,进一步定位被篡改的后门函数。
基于该检测方案,科恩已成功发现了多个在VirusTotal[1]未被任何引擎检出的sshd后门样本,证明该方案相比传统检测方法更具优势。

2

sshd后门原理

攻击者通过在sshd身份认证相关函数中插入后门,绕过原有身份认证逻辑。sshd后门常见的行为包括:

  • 设置后门密码,使用该密码可直接成功登录(万能密码)
  • 窃取正常用户的用户名和登录密码,可被攻击者用于横向移动

面以VirusTotal多家引擎检出的sshd后门样本为例解释后门原理:

https://www.binaryai.cn/analysis/dfc86b375e974b3092bbff41eb24db3281fb4fc104f1043a7afbf95f85a2c1d5

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

通过“交互式分析”功能,找到该样本的后门藏在 auth_password 函数中,该函数反编译伪代码如下图所示。

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

43-48行加入了后门密码判断逻辑,如果用户输入的密码等于 SECRETPW0Zm7HF)则直接返回1,表示密码认证成功,不进行其他的认证流程。65-73行将正常登录成功的用户名及其密码写入路径为ILOG(/etc/lps/lps)文件中,攻击者可利用这些信息进一步密码爆破内网其他服务器,实现横向移动。
观察到该函数由于插入了后门逻辑,BinaryAI检索得到的top-1源函数相似度仅为0.6958,远低于正常函数的top-1相似度(通常为0.85以上)。这说明虽然后门逻辑仅为几行代码的改动,BinaryAI的代码匹配模型依然可以精准感知到代码语义的变化,因此可以设置相似度阈值来检测后门函数。

3

sshd后门检测方法

为了有效检测 sshd 后门,腾讯安全科恩实验室设计了一种基于BinaryAI函数语义匹配技术的自动化检测方案。该方案能精准地捕捉sshd样本中的后门代码,具体检测流程如下图所示。

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

3.1.BinaryAI引擎分析

首先,待分析样本会由BinaryAI引擎进行初步分析。BinaryAI通过反编译将二进制代码转换为伪代码,随后基于科恩自研的BAI 代码匹配模型,将每个函数表示为能够表达其语义的高维向量。结合函数的结构化信息,BinaryAI能够从全量开源C/C++库中精准检索与样本函数匹配的源代码函数。BinaryAI引擎的分析结果为后续的后门检测流程提供了基础。

3.2.身份认证函数提取

理论上,sshd中所有涉及身份认证的函数都可能被攻击者植入后门,因此这类函数均应纳入检测范围。为此,需从待分析样本中提取所有身份认证相关函数。

为了实现这一目标,我们通过对sshd项目源码[2]的深入分析,汇总了一个包含63个身份认证函数名的集合(见8.附录)。这些函数与身份认证直接相关,极有可能成为后门植入的目标。得益于强大的代码语义表征能力,BinaryAI引擎能够精准地检索到待分析样本中所有函数对应的标准sshd源代码。通过判断匹配到的源码函数名是否在上述集合中,即可筛选出所有潜在的目标函数。

3.3.后门样本判定

后门样本判定的核心思想是后门函数由于植入了后门代码逻辑,导致与匹配的源代码相似度较低。具体地,我们为每个函数设定相似度阈值,若函数对应的top-1源码相似度低于阈值,则视为后门函数;只要样本中存在至少一个身份认证函数被标记为后门函数,整个样本便被视为后门样本。我们在真实场景收集的大量sshd样本上进行统计分析,为每个身份认证函数设置了特定的阈值,以确保sshd后门检测的准确性。

4

sshd后门样本发现

基于上述方法,我们回溯了腾讯安全威胁情报、VirusTotal等来源的sshd样本,发现了42个新的sshd后门样本,其中8个样本VirusTotal零引擎检出(见8.附录相关IOC)。新发现的样本基于后门方法可分为以下几类。

(1)auth_password/sys_auth_passwd后门密码硬编码

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

该样本在auth_passwordsys_auth_password中直接硬编码了后门密码,如果用户输入密码为后门密码则认证成功。

(2)auth_password用户密码本地记录

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

该样本在auth_password中将用户密码记录到本地文件。

(3)auth_password用户密码回传

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

该样本在auth_password中通过curl将用户名与密码回传至攻击者服务器。
除了上述几种常见的在auth_password中直接添加后门的逻辑,我们还发现了以下其他几种值得关注的后门方式。
(1)使用函数名作为后门密码

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

该样本将一个sshd中的函数名作为后门密码,该后门可以绕过依赖字符串特征的检测方法。

(2)调用自定义函数,在自定义函数中加入后门

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

该样本在auth_password中调用了自定义的后门函数ssh_auth_aaa,该函数与其他进程通过socket通信进行身份认证,并将用户密码写入本地文件。
综上,我们的方案能有效检测出各类型后门植入形式,如硬编码后门密码,用户密码窃取、回传等;也发现了其他后门变种,例如利用函数名作为后门密码或通过自定义函数进行密码泄露等。值得注意的是,上述样本在VirusTotal上均零引擎检出,可见即使是简单的硬编码后门密码,现有的杀毒引擎有时也难以检出;特别的,其中某些样本在VirusTotal上已存在近三个月(如下图所示),但仍未被任何引擎发现,充分证明了基于BinaryAI代码语义匹配技术的sshd后门检测方案的有效性与优越性。

sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

5

讨论

在sshd后门检测的实践中,除了基于函数相似度阈值的判定方法,我们还探索了使用大语言模型(如GPT-4o-mini)来检测后门函数的可能性。具体地,我们尝试将sshd中身份认证函数的伪代码交给GPT模型,并设置prompt指导其输出后门存在性判定与相应解释。

我们发现,GPT虽然能准确识别上述各后门类型并给出相应的后门解释,但对于正常函数的判断存在较高误报。主要原因有:(1)反编译伪代码相比源码结构更复杂,且存在大量地址信息,容易误导GPT产生错误判断;(2)GPT缺乏sshd正常函数的相关知识,很容易被看似“可疑”的词(如"pass", "fakepw"等)所误导。此外,该方法仍然依赖于BinaryAI事先提取样本中的身份认证相关函数。

因此,基于GPT的后门检测方法难以在实际检测中应用。相比之下,基于BinaryAI函数语义匹配的检测方法显得更加精准和可靠。

6

总结

基于BinaryAI的函数语义匹配技术,腾讯安全科恩实验室设计了一套自动化的sshd后门检测方案。该方案在真实场景样本中发现了多种后门类型,并且成功发现了多个VirusTotal零引擎检出的样本。欢迎访问 “8附录”中相关IOC链接,前往样本BinaryAI页面进行体验分析。

7

引用

[1] VirusTotal. https://www.virustotal.com/

[2] GitHub - openssh/openssh-portable: Portable OpenSSH. https://github.com/openssh/openssh-portable/

8

附录

8.1.sshd身份认证函数集

SSHD_AUTH_FUNCTIONS = {"ssh_xmss_equal", "input_userauth_info_response", "auth2_challenge_start","ssh_gssapi_accept_ctx", "user_key_allowed2", "hostbased_key_allowed","mm_ssh_gssapi_server_ctx", "mm_answer_keyverify", "auth_password","userauth_kbdint", "mm_auth_password", "mm_answer_authpassword","sshkey_equal_public", "input_gssapi_token", "mm_answer_pwnamallow","gss_accept_sec_context", "mm_user_key_allowed", "check_hostkeys_by_key_or_type","ssh_ed25519_sk_equal", "ssh_xmss_verify", "ssh_dss_equal","auth_check_authkey_line", "mm_request_send", "mm_sshkey_verify","sshkey_sk_fields_equal", "mm_answer_gss_accept_ctx", "userauth_passwd","input_userauth_request", "ssh_ecdsa_sk_verify", "userauth_gssapi","sshkey_equal", "ssh_rsa_equal", "sshkey_verify","sys_auth_passwd", "userauth_hostbased", "userauth_pubkey","auth2_challenge", "mm_hostbased_key_allowed", "getpwnamallow","user_key_allowed", "check_key_in_hostkeys", "ssh_rsa_verify","ssh_ecdsa_sk_equal", "ssh_ed25519_sk_verify", "sshkey_read","mm_getpwnamallow", "mm_answer_keyallowed", "ssh_dss_verify","check_key_in_hostfiles", "ssh_ecdsa_verify", "userauth_finish","ssh_ed25519_equal", "ssh_ed25519_verify", "userauth_none","ssh_ecdsa_equal", "mm_ssh_gssapi_accept_ctx", "auth_check_authkeys_file","cert_compare", "mm_key_allowed", "auth_krb5_password","sshpam_auth_passwd", "do_authentication", "do_authloop"}

8.2.相关IOC

https://www.binaryai.cn/interactive/file/3876e702b25da4c72d8cdd913f2892e29eb748de59de96a75d4f41293648f8ae?function=1130608
https://www.binaryai.cn/interactive/file/78642628e15db5a2e342e33ff762d6163941c40b80ffdcf0c9bbc2eb881136ab?function=1124576
https://www.binaryai.cn/interactive/file/b15402931cda3221864f69142d4cd5973bf9bdf7e3277ee4e5a55ce71a154493?function=1119728
https://www.binaryai.cn/interactive/file/4391958372f45e26b848b3f8b278022455431eb8a9fb5d85caf4769c45a1de1c?function=1119728
https://www.binaryai.cn/interactive/file/10aa2fe44e4dd4ae4e14eb5c6166fa95adbe5c6f92b590caedace7ed933518db?function=1119952
https://www.binaryai.cn/interactive/file/a6f254c63ff69ac997cf2d6c91ca20284c2851bc8d8eb1b023d43ca29981b318?function=1106624
https://www.binaryai.cn/interactive/file/1d3a7eebc88f731305adf58adecbaab093d9fe302b1ea5c900500d1c0ed370bb?function=4418000
https://www.binaryai.cn/interactive/file/0b99f4d3e57216518b8500f9b8c210b2b8d032b4eb813dfb80997ff1da81c713?function=1129200
https://www.binaryai.cn/interactive/file/40a67e37ded15dd2ea7c13363314a047660fade98a411fee344538469619cf3d?function=4246289

原文始发于微信公众号(腾讯安全威胁情报中心):sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年11月12日11:45:48
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   sshd后门自动化检测 | BinaryAI在恶意软件检测场景的实践https://cn-sec.com/archives/3387841.html

发表评论

匿名网友 填写信息