持续更新的KmsdBot——定制化的僵尸网络家族

版本更迭

表2.1 KmsdBot样本演进

影响平台

KmsdBot采用Go 语言开发，通过SSH暴破的方式传播，最新版本已经适配如下平台：

表2.2 最新版本样本支持架构

基础攻击模块

最新版的KmsdBot在运行后首先使用fslock库创建文件独占锁防止访问冲突。同时会在同目录下生成pid.lock文件。

图2.1 文件独占锁标志

接着通过curl和tftp命令从FTP服务器拉取名为“watchdogs”的SSH暴破工具并调用该程序进行弱密码暴破，以此来传播样本。在调用暴破工具之前，木马会执行如下增加系统文件描述符上限的命令，为SSH暴破工具的多线程扫描暴破做准备。

图2.2 SSH暴破准备参数

从C&C服务器拉取的watchdogs程序是一个独立的暴破模块，会利用弱密码暴破的方式尝试SSH登录，同时该程序具备telnet扫描的功能。

图2.3 SSH扫描暴破模块

图2.4 telnet扫描准备模块

攻击者长期在维护和更新DDoS攻击模块，相比于早期样本，最新版本添加了多种基于UDP协议的泛洪攻击方式，最新版本DDoS攻击方式如下：

表2.3 DDoS攻击手法

挖矿模块

KmsdBot能够完整控制挖矿程序的工作流程，通过“main_reloadminer”，“main_startminer”和“main_updateminer”函数实现下载、加载以及更新挖矿程序。

图2.5 新版挖矿功能模块

另外，值得注意的是挖矿程序使用类似于linux本身守护进程的名称 “watchdog” 来迷惑受者，同时采用用了tls协议用来保护通信的隐匿性，启动挖矿进程的参数如下：

图2.6 挖矿模块启动参数

最新版本中使用的钱包地址如下：

图2.7 内置加密货币钱包

定向攻击模块

不同于传统类僵尸网络家族，KmsdBot在后期版本中内置了定向攻击 FiveM 公司的模块。

图2.8 早期针对fivem公司攻击模块

最新版本中将上述攻击模块进行整合优化，提高了DDoS攻击的效率和稳定性，能够针对FiveM发起基于http协议的泛洪攻击。

图2.9 新版中的针对fivem公司攻击模块

KmsdBot僵尸网络家族从2022年年底首次发现至今，版本更迭频繁，功能趋于完善，兼具挖矿和DDoS功能，同时还存在定向攻击的模块。近期以来，该家族开始了新一轮的活跃，绿盟科技伏影实验室依托全球威胁狩猎系统积累的数据，对该僵尸网络家族控制者所持有的资源进一步梳理，发现KmsdBot背后控制者可谓是“家大业大”，其攻击范围涵盖了Windows和Linux平台，拥有SSH暴破和挖矿在内的多款自研式黑客工具，所控制僵尸网络家族除了KmsdBot外，还拥Mirai变种在内的多个僵尸网络家族。伏影实验室将持续监控KmsdBot及其控制者的新动向。

Hash：

挖矿钱包：