DNS 隧道通信后门的分析报告
2017年4月，我们发布了一份详细的关于一款恶意程序的报告，该恶意程序使用DNS隧道与它的C&C通信。这项研究促使我们开发了一种技术来检测类似的威胁，该技术使得我们能够通过DNS隧道收集大量的恶意软件样本。在本文中，我们将检查一些使用DNS隧道最著名的恶意程序。Kaspersky实验室的安全产品用一般的(“Trojan.Denes.UDP.C&C”或 “Backdoor.Win32.Denis.*”)或单独的判决来检测这些恶意程序。
Trojan.Win32.Ismdoor.gen
我们将检查的第一个恶意软件有一个多层的C&C通信协议结构，该结构与OSI模型相似，并将此恶意程序与所有其他的木马程序区分开来。Trojan.Win32.Ismdoor的创造者，在设计和开发方面显然付出了很大的努力。
当然,对于其传输层该木马使用DNS隧道。传出“datagrams”（数据报）的长度被限制在60字符,尽管DNS服务器配置和实际协议允许这个值更大。C&C服务器的命令解析到IPv6地址。
一个典型的查询发送到C&C服务器是这样的：
n.n.c.<Session ID >.<Server domain>.com
传输层请求和响应的结构
在DNS隧道传输层上面适当的位置有一个会话层协议,这意味着交换“短”和“长”数据包的能力。会话层与传输层的不同之处在于,它有一种机制来检查丢失的消息。当传输层通过一种数据交换关闭会话时（该数据交换是关于发送和接收数据包的数量），会话层便检查确保每一个发送的数据包已经被正确接收进而关闭。由服务器决定使用哪个选项;例如,“长”数据包协议是用来从受感染的电脑上传文件。
短消息交换协议的例子
短消息
在这个层次上,聊天机器人（bot）的操作可分为五个步骤:
· 向服务器声明会话ID;
· 在数据包中发送消息;
· 发送已发送数据包数量;
· 接收传入数据包的数量;
· 接收传入的数据包。
一个会话的例子:
1. 向服务器声明会话ID
每次打开通信会话，bot都会生成一个GUID,并将其发送到服务器。然后使用该GUID识别会话中的所有通信,并且总是将该GUID写在第三级域位置。在本例中,URL具有以下结构:
n.n.c.<Session ID>.<Server domain>.com The message A67DDB8A2A17334765443253702AA3 is a positive response. Otherwise, the GUID is sent to the server again. n.n.c.<Session ID>.<Server domain>.com
消息A67DDB8A2A17334765443253702AA3是积极响应的。否则,将再次发送GUID到服务器。
2. 以数据包的形式发送一条消息
正如我们前面说的,选择的通信机制将某些限制条件强加到数据包的大小上。将一条即将输出的消息分为60个字节长的数据包,并且以URL的形式发送:
<Outgoing packet>.<Packet number>.dr.<Session ID >. <Server domain>.com
响应一定是A67DDB885A3432576548A2A3707334。
3. 发送已发送数据包的数量
当所有数据包发送成功，便发送已经发送的数据包数量,其数量作为一个查询以下面格式发送:
n.<Number of packets>.f.<Session ID >.<Server domain>.com
应该注意的是,数据包编号从0开始。响应是20202020202020202020202020202020。
4. 接收传入数据包的数量
这一步是通过以下URL格式的类型实现:
n.n.fc.<Sessions ID >.<Server domain>.com
响应一定是以下格式:
A67D: DB8: 85A3: 4325: 7654: 8A2A :: <Number of incoming packets> Receive incoming packets
5. 接收传入的数据包
请求接收下一个数据包是这样的:
www. <Packet number>.s. <Session ID > .<Server domain>.com
以16字节IPv6数据包的形式传入消息。
长消息
在这种情况下,与服务器通信可以分为以下步骤:
· 发送文件分成的数据包的数量;
· 发送文件;
· 向服务器发送周期查询以检查丢失的数据包;
· 重新发送丢失的数据包。
来自查询的会话ID，在该查询中文件被要求。
1. 发送的数据包数量
查询: n.<Number of packets>.<Session ID >.<Server domain >.com
回应:A67DDB8A2A17334765443253702AA3。
2. 以数据包的形式发送文件
查询：<Outgoing packet>.<Packet number >.d.<Session ID >.<Server domain >.com
回应：服务器不回复这条信息,或者发送一个响应服务器故障。
3. 向服务器发送周期查询来检查数据包丢失
超过一般时间间隔，bot向服务器发送以下查询:
uff<Number of packets>.< Number of packets >.<Server domain >.com
回复:20202020202020202020202020202020
一系列操作之后，上一部分“接收传入数据包的数量”以及“接收传入数据包”的步骤已经实现。
作为响应，服务器所遗漏的数据包的数量（用逗号分隔开）被发送了。
4. 重新发送丢失的数据包
查询: <Outgoing packet>.<Packet number>.dl.<Session ID>.<Server domain>.com
OSI的表示层负责编码和解码消息。IPv4地址字段中包含的服务器响应是一个可被16整除的常规ASCII字符串。对包含在DNS查询中的服务器查询在Base64中使用重新定义的索引表进行编码。
第一个消息的例子及其在datagram主体里的代表
应用程序层只是C&C服务器一组GET类似的查询:
· 检查连接。这个查询字符串是“M:CC?”；
· 注册连接。这决定了可用命令,以及受感染的计算机的ID和bot (M:AV?appId=<…>&uniqueId=<…>)；
· 注册确认命令；
· “通用”回应 (M:ME?appId=<…>&message=<…>)；
· 接收命令(M:GAC?appId=8)；
· 确认命令 (M:CR?cd=<Command GUID>)；
· 发送文件 (M:SF?commandId=CmdResult=<Command GUID>|||<Result of command execution >)；
· 接收文件 (M:GF?)；
如上所述，这个木马的设计和编写都很好，拥有经过深思熟虑的通信系统，以及有多种功能的payload。下面是它的主要命令列表:
· SI——发送关于受感染系统的信息;
· RunNewVersion——更新;
· Restart ——重启;
· Remove——删除本身;
· CreateMimi1Bat——Mimikatz执行;
· ExecuteKL——激活键盘记录器;
· RemoveKL——删除由ExecuteKL创建的文件;
· GetVersion——木马版本报告;
· PauseUpload——暂停上传文件到服务器;
· ResumeUpload——恢复上传文件到服务器;
· PauseDownload——暂停从服务器下载文件;
· ResumeDownload——恢复从服务器下载文件;
· PWS——截图;
· DownloadFile——从服务器下载一个文件;
· UploadFile ———上传文件到服务器。
木马可用的其他命令负责其自身的逻辑操作(如改变C&C地址等)。
Backdoor.Win32.ClIEcker
下一个示例使用基于ANY DNS 数据包的不同工作流。这种机制允许恶意程序从服务器接收随机结构的DNS数据包。有了该木马程序，就没有逻辑分解成子协议了——只有传出和传入的请求。我们能够检测到该木马的几个修改。下面，我们将描述所有列出的这些功能和特点。
Backdoor.Win32.ClIEcker其中一个有趣的特点是发现受害者计算机IP地址的方式——为了发现受害者计算机IP地址，它使用Internet Explorer的COM接口。该木马包含网站地址的列表,在该列表上游客可以看到自己的IP地址(例如http://www.ip-adress.com)。木马程序随机选择其中一个,访问地址,发现IP地址所遵循的页面主体的字符串,并提取它。为了尽可能地掩盖该查询,木马程序也会选择一个随机的推荐地址并且在对Internet Explorer适当的请求中使用该地址。
唯一仍不清楚的事情是，为什么会使用这样一个复杂的方法;通常,木马程序通过从一个网站请求数据找到计算机IP地址,以一个HTML页面的形式返回一个包含IP地址的字符串。这么操作做也许是为了避免解析到一个IP地址,对该木马程序来说可能在IoC列表中,或者它可能只是一个欠缺考虑的从代码库或论坛复制粘贴的工作。
为了使事情进一步复杂化,在来自服务器的请求上，该木马程序支持打开Internet Explorer上
一个网站的命令——为此,以 “IEXPLORE.EXE google.com”的形式使用了一个小调用，而不是复杂的COM交互。因此,木马可以作为一个Trojan-Clicker被检测到,不过,正如我们在之前的文章中解释过的,Trojan Clicker通常使用虚拟桌面来实现上述操作。
用于解析IP／推荐地址的URL地址的例子以及通过COM 接收页面内容
在最初的请求中,几个描述受害者系统的参数与惟一的RC4键一起被发送，该RC4键使用以下受害者电脑信息创建的:
· 操作系统的主要版本;
· 逻辑标志指示是否使用调制解调器连接;
· 木马ID;
· 用户的加密IP地址;
· 杀毒服务代码。
最后一点应该给一些解释。木马包含安全软件的列表;每个安全产品都在发送到服务器的这段代码中被编码。例如,所有与McAfee产品有关的进程都将用杀毒服务代码中的标志0 ×400表示。
接下来,我们将对一些命令给出相应描述:
带有代码8的命令值得特别关注,因为它包含了木马的主要功能。它的工作就是下载和启动负载。这个命令有以下参数:
该文件以TXT DNS数据包的形式传输。
所有与服务器通信,在默认情况下,使用一个基于受害者计算机信息生成的RC4密钥加密。然而,服务器可能要求密钥是被改变的,并在文件下载请求中发送一个新的密钥。在任何情况下,生成S-box所需的密钥是用其本身加密的,并随后使用产生的字符串。根据数据包数量修改 S-box,因此对于每一个新的数据包都是唯一的。
当解密完成后,使用CRC32检查生成文件的完整性。
Backdoor.Win32.Denis
Backdoor.Win32.Denis拥有最简单的结构和最简单的DNS服务器通信功能。恶意软件的这段代码与本文描述的木马有相同的名字，但是也仅有此相似之处。
这个恶意程序使用 A DNS-格式数据包来与DNS服务器通信;在这种格式中，响应大小限制为4个字节。所有的指标都表明这是一个常规的木马下载程序（Trojan Downloader），下载文件的速度非常慢。发送给服务器的消息的典型格式如下:
IC<Container type>.<UID>.<Container>.<Server address>
通过“容器”,Trojan运算结果是打包的。命令和响应不同，容器的结构可能有很大的差异。是用户的ID UID字节长度为0x20 。是一个Base32字符串,编码之后有以下结构:
容器也是一个Base32字符串:
总共有四种类型的容器存在。根据接收到的命令，以及执行的结果，Trojan决定哪一个是必需的。
命令
从命令的描述可以看出，该木马程序的目的是下载和启动文件。
MD5
15b36b1e3a41ad80bbd363aea8f2d704 — Trojan.Win32.Ismdoor.gen
1FD599FB9FA62EB91511002771D78104 — Backdoor.Win32.ClIEcker
1f3a2c48a7f5c2c31e71f552d74c3543 — Backdoor.Win32.Denis
官方 