Bash 勒索软件 DarkRadiation 以基于 Red Hat 和 Debian 的 Linux 发行版为目标( 二 ) 研究人员调查了如何使用某些

文章图片
恶意软件将执行状态发送到攻击者的Telegram通道。DarkRadiation勒索软件
在上一节中，研究人员讨论了SSH蠕虫脚本，它接收凭据配置作为base64参数，并将其用于目标系统以下载和执行勒索软件。
在本节中查看勒索软件的各种迭代，研究人员调查了名为"supermicro_cr_third"的脚本，它似乎是最新版本。勒索软件是用bash脚本编写的，目标是RedHat/CentOS和DebianLinux发行版。该恶意软件使用OpenSSL的AES算法和CBC模式来加密各种目录中的文件。它还使用Telegram的API向攻击者发送感染状态。
研究人员观察到这个脚本正在大量开发中，这个勒索软件的各个版本都相似，只有很小的变化。一些函数被恶意软件开发者注释，而一些函数在某些情况下没有使用(死代码) 。在本节中，研究人员将详细讨论该勒索软件的工作原理。
该脚本使用一个名为"node-bash-obfuscate"的开源工具进行了混淆，该工具是一种用于混淆bash脚本的Node.jsCLI工具和库。该工具将bash脚本分成块，然后为每个块分配变量名，并用变量引用替换原始脚本，实际上打乱了原始脚本。
以下代码片段演示了如何使用此脚本来混淆bash脚本：

文章图片
node-bash-obfuscate选项

文章图片
node-bash-obfuscate示例输出supermicro_cr_third分析：

文章图片
supermicro_cr_third混淆脚本执行时，恶意软件会检查它是否以root身份执行；如果没有，它会显示"请以root身份运行"消息，自行删除并退出。

文章图片

文章图片
检查脚本是否以root身份运行然后检查是否安装了curl和OpenSSL；如果不是，恶意软件就会下载并安装它们。

文章图片
supermicro_cr_third中的必备软件包安装

文章图片
supermicro_cr_third中的必备包安装bot_who函数是一个bash脚本，它使用"who"命令获取当前登录到Unix计算机系统的用户的快照，它将结果存在一个名为"/tmp/.ccw"的隐藏文件中。之后，它每五秒再次执行"who"命令并检查输出的".ccw"文件。如果它们不相等（新用户登录），恶意软件会通过Telegram的API向攻击者发送一条消息：

文章图片