深度解析：恶意软件“Mirai”源代码的结构及其对策

2016年9月份以来，发生了多起大规模DDoS攻击事件。本文针对这些攻击事件中使用的恶意软件“Mirai”的源代码进行分析，进一步介绍Bot(客户端)的结构，以及其应对方法。

一、 Mirai Botnet是什么

2016年9月13日晚，美国著名安全记者Brian Krebs氏的网站“Krebs on Security”被DDoS攻击，mirai Botnet发动了此次攻击。Mirai主要是以网络摄像头、路由器、数码录像机等IoT设备为跳台进行DDoS攻击。

据受到攻击后Krebs氏的博客报道，保护该网站的Akamai观测到在高峰时期受到了有史以来经历的最大规模攻击近2倍的流量访问。

另外，2016年10月21日Twitter、Netflix等利用DNS服务进行的DDoS攻击，也被推断利用了Mirai僵尸网络。

然后在Krebs氏网站受到攻击后，黑客平台上Mirai的源代码被公开成为了很大的话题。随后源代码又在GitHub上被转载，谁都可以看到具体内容。

源代码被公开，Mirai Botnet以出厂设置的密码未被更改的IoT设备为目标，进行一般的字典攻击扩大感染范围。据说在进行前述的攻击时，也有几十万台的设备受到僵尸网络攻击。

近年来各种各样的IoT设备得到普及，存在漏洞的设备也在不断增加，受到大规模的DDoS攻击的可能性也会增大。另外，通常这些设备采用的架构是不同于个人的电脑等的多种多样的，不过，Mirai可应对ARM、ARM 7、MIPS、PowerPC、SH4、SPARC x86等各种各样的架构，这与大规模感染的扩大有一定关系吧。

本稿中，以现在GitHub上被公开的代码为基础，解说Mirai Botnet的运作，并且反思使家庭及企业的设备远离僵尸网络的自卫对策。

二、 Mirai Botnet的构成

被公开的Mirai Botnet的源代码可大致分为以下3个部分：

1. 攻击者操作的C&C(Command and Control)服务器功能

2. C&C服务器中被操作的Bot功能

3. Bot程序发布的Downloader功能

C&C服务器部分为Go语言，Bot、下载部分以及其他的加密工具等主要为C语言。对照被公开存储的目录，Mirai的构成如下(List 1)

　　List 1 目录构成

Mirai Botnet 是攻击者通过①C&C服务器向②Bot发送指令，形成以大量的Bot为攻击对象的C&C中心型僵尸网络。同时，Bot会扫描可感染的设备，将找到的设备信息发送给Report服务器，由③downloader植入Bot程序。(图1)

　　(图1.Mirai的动作)

在这里，首先从C&C服务器的代码开始解读Mirai。

三、 C&C服务器

◆ Main函数

由于Mirai的C&C服务器部分为Go语言，最初被执行的mirai/cnc目录中main.go文件内的main函数被读取(List 2)。再者，以下代码中虽然有补充的评语，但是，日语之外的评语是原本就记载的内容。

　　List 2 main.go内的main函数

Mirai的C&C服务器起初是建立在Telne服务器与API服务器之间的。“go~”的部分是利用Go语言degoroutine的非同期被处理的部分。

apiHandler函数中的经由API初期化接受来自攻击者的操作处理程序。initialHandler函数中，初期化向连接Telnet的Bot发送指令的处理程序以及实现C&C服务器上指令行接口的处理程序(List 3)。

　　List 3 main.go 的initialHandler函数

也就是说，这个C&C服务器的操作可能利用API，也可能通过Telnet连接CLI发送指令。解读源代码的话，无论使用哪个方法都是需要认证的。

◆ 认证部分

从api.go文件种Handle函数内的数据看，送来的要求中含有的apikey没有在C&C服务器内登录的话，能够读取未接收的指令。(List 4)

　　List 4 api.go中的Handle函数的认证部分

admin.go中实装的处理程序也同样，在CLI上操作时需要使用用户名和密码登录。(List 5)

　　List 5　admin.go中的Handle函数的认证部分

另外，命令行在登录时要求输入俄罗斯语，因此推断制作者或利用者可能是俄罗斯圈的人。

◆ 用户管理部分

那么，怎样才能把这些信息登记在数据库上呢?读取源代码访问C&C服务器上的CLI时，如果是管理者用户的话可以从CLI注册登录(List 6)。

　　List 6　admin.go的Handle函数内的用户登录部分

然而，管理员账号本身是预先插入数据库中的，被公开的代码中没有管理员账户登录的相关内容。

另外，数据库的users桌面上，除username及password之外，还有max_bots、last_paid、cooldown、duration_limit等列，这些列被用于创建攻击指令，因此每个用户能够利用的Bot数量、攻击间隔、账号等均受控制。并且，用户向僵尸网络持有者支付金钱的时间等都保存在C&C服务器的数据库中。(List 7)

　　List 7 database.go内的CreateUser函数

综上所述，是否可以认为Mirai Botnet的所有者使不特定的多数人以金钱等交换利用了僵尸网络呢。

◆ Bot 管理部分

接下来，看看Bot管理部分吧。首先从Bot连接C&C服务器的话，main.go文件中的initialHandler函数中NewBot.Handle函数被唤起，根据Handle函数的处理Bot信息将被添加到列表中(List 8)。

　　List 8 bot.go内的Handle函数

存储Bot信息的clientList是全球变数，main.go内运行main函数之前就被制作了。另外， clientList在新制作的时候，非同步接收的Worker制作Bot指令，等待Bot指令。

◆ 攻击指令的制作部分

接下来，以攻击者C&C服务器的输入为基础，看看Bot指令的制作部分吧。在API、CLI等输入指定攻击种类·攻击对象的命令，便会在attack.go内的NewAttack函数内完成应对接受指令的Flag设置。在同文件夹中的attackInfoLookup Map内定义了可能利用的攻击种类(表1)(List 9)。