分析ELF/Sshdinjector.A!tr，由人类与AI分析师共同进行

简单机翻，原文见：https://www.fortinet.com/blog/threat-research/analyzing-elf-sshdinjector-with-a-human-and-artificial-analyst

受影响的平台： Linux
受影响的用户：基于 Linux 的网络设备或 IoT
影响：数据泄露
严重程度：中

ELF/Sshdinjector.A!tr是一组可以注入 SSH 守护程序的恶意软件。该恶意软件集合的样本于 2024 年 11 月中旬左右浮出水面。虽然我们掌握了大量有关它们的威胁情报（例如，它们归属于DaggerFly间谍组织，并在针对网络设备的Lunar Peek 活动中使用过），但似乎没有人调查过它们的实际作用。在这篇博文中，我们将重点介绍攻击二进制文件的逆向工程以及如何实现这种逆向工程。

ELF/Sshdinjector.A!tr 的逆向工程

此次攻击使用了多个二进制文件：

• 植入程序会检查主机是否被感染。如果没有，它会将所有恶意二进制文件（见图 1）植入到正确的位置。

• 名为libsshd.so 的恶意 SSH 库  与远程机器人主控进行通信，通常会泄露信息。

• 其他几个受感染的二进制文件（mainpasteheader、  selfrecoverheader ……）确保主机仍然受到感染（恶意软件持久性）。

图 1：ELF/Sshdinjector 概览

更准确地说，dropper 会检查它是否在 root 权限下运行，如果不是，则退出。然后，它会通过搜索包含单词WATERDROP的名为/bin/lsxxxssswwdd11vv的文件来检查主机是否被感染。如果主机尚未被感染，它会尝试用受感染的二进制文件覆盖合法的二进制文件ls、netstat和crond

（/bin/lsxxxssswwdd11vv、selfrecoverheader、mainpasteheade,r ……）。最后，它会搜索 SSH 守护进程，并在必要时使用libsshd.so感染它。

恶意负载包含在libsshd.so中。主要元素位于名为“ haha ”的函数中。它还从函数“ heihei ”和“ xixi ”中创建了另外两个线程。这三个名字在中文里都是笑的意思。函数“ xixi ”检查它是否可以访问/root/intensify-mm-inject/xxx，如果可以，它将终止并重新启动 SSH 和 Cron 守护程序。函数“ heihei ”连接到远程 C2（硬编码 IP 地址 45.125.64[.]200，端口 33200 或 33223）并监听传入的命令。
 

与 C2 的通信使用其自己的协议。所有数据包都包含硬编码的 UUID（a273079c-3e0f-4847-a075-b4e1f9549e88）、标识符（afa8dcd81a854144）以及对命令的响应。

人工智能辅助恶意软件分析

逆向工程是使用 Radare2 进行的，并通过Radare2 扩展“r2ai”提供生成式人工智能的协助。

这项研究表明，人工智能可以对恶意软件提供出色的洞察力，提供高质量的源代码，补充从标准反编译器获得的输出。

例如，我使用了“自动”模式下的 r2ai。在此模式下，用户向 AI 提出问题，AI 会自动使用 radare2 反汇编程序执行必要的步骤来回答。这对于不太了解 Radare2 的用户特别有用。

图 2：r2ai 以自动模式运行并自动发出 r2 命令“iz”开始处理问题。

在此屏幕截图中，我们看到 AI 通过 r2 的命令“iz”自动在二进制文件中搜索字符串。

Dropper 的概览非常出色。AI擅长阅读大量信息并进行总结。

图 3：AI 很好地总结了恶意软件的行为。

然后，我们可以让人工智能反编译主程序。虽然人工智能生成的源代码很容易理解，但其细节并不总是正确的。相比之下，反编译器生成的源代码通常难以阅读，但却是准确的。因此，重要的是要记住这些方法相互补充，最好并排查看。

图 4：此源代码由 AI 通过 r2ai 生成。它总体上正确、可读且有用。只有标记为“AXELLE REMARK”的评论是我自己写的，并强调了 AI 的一些错误。

虽然人工智能的表现非常出色，但在很多情况下它并不能给出令人满意的答案，至少一开始并不能。

最常见的问题是幻觉，即人工智能编造出一些不真实的东西。更糟糕的是，人类分析师并不总是能轻易发现幻觉，因为人工智能听起来非常令人信服。例如，在下面的人工智能生成的代码中，人工智能完全创建了一个纯粹虚构的上传和下载命令。

图 5：AI 幻觉示例：僵尸网络没有任何 FILE_DOWNLOAD 或 FILE_UPLOAD 命令。这是一种虚构，误解了现有的“文件复制”功能。

另一个常见问题是推断，即人工智能并非完全发明某样东西，而是对其进行推断。例如，人工智能说恶意软件“操纵”了 MAC 地址。这是牵强附会的。虽然它会创建一个包含主机 MAC 地址的字符串并将其泄露，但 MAC 地址并没有被修改。在一个相关的例子中，人工智能声称恶意软件隐藏了其网络通信。但事实并非如此。它通过感染常见的二进制文件（如 netstat）来隐藏在操作系统上，但它并没有试图隐藏通信本身。

图 6：AI 推断。红色框出的句子已被 AI 大大夸大。

另一个问题是遗漏。遗漏是人工智能总结情况能力的缺点。它的总结往往缺乏人类认为重要的细节。例如，在某个时候，恶意软件测试对名为/tmp/fcontr.xml的文件的访问。尽管这在汇编中非常清楚，但人工智能生成的代码的第一个版本完全避开了这一部分。此问题的解决方案是通过修改人工智能的问题/提示来再次询问。在这种情况下，我只需在提示末尾添加：“请注意 fcontr.xml 周围的内容”，它就解决了问题。当然，这需要知道首先遗漏了一些东西。

事实上，与人工智能的互动很少能一次性完美实现。相反，它们可以比作与一位知识渊博、智力超群但直觉和经验不足的能干同事的讨论。为了进行这项研究，我打开了我的反汇编程序。我多次使用它来检查幻觉，在人工智能无法找到正确的地址或交叉引用时为其提供帮助，或者引导它查看有趣的部分。

结论

虽然反汇编器和反编译器在过去十年中有所改进，但这无法与我们在人工智能领域看到的创新水平相比。这太出色了！

AI 尤其擅长提供样本概述和生成易于理解的源代码。幸运的是——或者不幸？—— AI 无法独自工作 ，必须由有能力的人类分析人员进行引导和补充，以发现幻觉（最危险的问题）、改进问题、识别遗漏或引导AI 朝着最有趣的方向发展。

我还没有讨论语言模型。显然，r2ai 的结果取决于所使用的语言模型。语言模型是可配置的，我们可以方便地从一个模型切换到另一个模型，无论是本地模型还是远程模型，免费访问还是付费访问。本文的结果主要使用 Claude 3.5 Sonnet 2024-10-22 获得。

最后但同样重要的一点是，这篇博文是在没有人工智能帮助的情况下撰写的;-)

ioc

94e8540ea39893b6be910cfee0331766e4a199684b0360e367741facca74191f

0e2ed47c0a1ba3e1f07711fb90ac8d79cb3af43e82aa4151e5c7d210c96baebb

6d08ba82bb61b0910a06a71a61b38e720d88f556c527b8463a11c1b68287ce84

原文始发于微信公众号（独眼情报）：分析ELF/Sshdinjector.A!tr，由人类与AI分析师共同进行