2016年9月份以来，发生了多起大规模DDoS攻击事件。本文针对这些攻击事件中使用的恶意软件“Mirai”的源代码进行分析，进一步介绍Bot(客户端)的结构，以及其应对方法。
一、 Mirai Botnet是什么
2016年9月13日晚，美国著名安全记者Brian Krebs氏的网站“Krebs on Security”被DDoS攻击，mirai Botnet发动了此次攻击。Mirai主要是以网络摄像头、路由器、数码录像机等IoT设备为跳台进行DDoS攻击。
据受到攻击后Krebs氏的博客报道，保护该网站的Akamai观测到在高峰时期受到了有史以来经历的最大规模攻击近2倍的流量访问。
另外，2016年10月21日Twitter、Netflix等利用DNS服务进行的DDoS攻击，也被推断利用了Mirai僵尸网络。
然后在Krebs氏网站受到攻击后，黑客平台上Mirai的源代码被公开成为了很大的话题。随后源代码又在GitHub上被转载，谁都可以看到具体内容。
源代码被公开，Mirai Botnet以出厂设置的密码未被更改的IoT设备为目标，进行一般的字典攻击扩大感染范围。据说在进行前述的攻击时，也有几十万台的设备受到僵尸网络攻击。
近年来各种各样的IoT设备得到普及，存在漏洞的设备也在不断增加，受到大规模的DDoS攻击的可能性也会增大。另外，通常这些设备采用的架构是不同于个人的电脑等的多种多样的，不过，Mirai可应对ARM、ARM 7、MIPS、PowerPC、SH4、SPARC x86等各种各样的架构，这与大规模感染的扩大有一定关系吧。
本稿中，以现在GitHub上被公开的代码为基础，解说Mirai Botnet的运作，并且反思使家庭及企业的设备远离僵尸网络的自卫对策。
二、 Mirai Botnet的构成
被公开的Mirai Botnet的源代码可大致分为以下3个部分：
1. 攻击者操作的C&C(Command and Control)服务器功能
2. C&C服务器中被操作的Bot功能
3. Bot程序发布的Downloader功能
C&C服务器部分为Go语言，Bot、下载部分以及其他的加密工具等主要为C语言。对照被公开存储的目录，Mirai的构成如下(List 1)
List 1 目录构成
Mirai Botnet 是攻击者通过①C&C服务器向②Bot发送指令，形成以大量的Bot为攻击对象的C&C中心型僵尸网络。同时，Bot会扫描可感染的设备，将找到的设备信息发送给Report服务器，由③downloader植入Bot程序。(图1)
(图1.Mirai的动作)
在这里，首先从C&C服务器的代码开始解读Mirai。
三、 C&C服务器
◆ Main函数
由于Mirai的C&C服务器部分为Go语言，最初被执行的mirai/cnc目录中main.go文件内的main函数被读取(List 2)。再者，以下代码中虽然有补充的评语，但是，日语之外的评语是原本就记载的内容。
List 2 main.go内的main函数
Mirai的C&C服务器起初是建立在Telne服务器与API服务器之间的。“go~”的部分是利用Go语言degoroutine的非同期被处理的部分。
apiHandler函数中的经由API初期化接受来自攻击者的操作处理程序。initialHandler函数中，初期化向连接Telnet的Bot发送指令的处理程序以及实现C&C服务器上指令行接口的处理程序(List 3)。
List 3 main.go 的initialHandler函数
也就是说，这个C&C服务器的操作可能利用API，也可能通过Telnet连接CLI发送指令。解读源代码的话，无论使用哪个方法都是需要认证的。
◆ 认证部分
从api.go文件种Handle函数内的数据看，送来的要求中含有的apikey没有在C&C服务器内登录的话，能够读取未接收的指令。(List 4)
List 4 api.go中的Handle函数的认证部分
admin.go中实装的处理程序也同样，在CLI上操作时需要使用用户名和密码登录。(List 5)
List 5 admin.go中的Handle函数的认证部分
另外，命令行在登录时要求输入俄罗斯语，因此推断制作者或利用者可能是俄罗斯圈的人。
◆ 用户管理部分
那么，怎样才能把这些信息登记在数据库上呢?读取源代码访问C&C服务器上的CLI时，如果是管理者用户的话可以从CLI注册登录(List 6)。
List 6 admin.go的Handle函数内的用户登录部分
然而，管理员账号本身是预先插入数据库中的，被公开的代码中没有管理员账户登录的相关内容。
另外，数据库的users桌面上，除username及password之外，还有max_bots、last_paid、cooldown、duration_limit等列，这些列被用于创建攻击指令，因此每个用户能够利用的Bot数量、攻击间隔、账号等均受控制。并且，用户向僵尸网络持有者支付金钱的时间等都保存在C&C服务器的数据库中。(List 7)
List 7 database.go内的CreateUser函数
综上所述，是否可以认为Mirai Botnet的所有者使不特定的多数人以金钱等交换利用了僵尸网络呢。
◆ Bot 管理部分
接下来，看看Bot管理部分吧。首先从Bot连接C&C服务器的话，main.go文件中的initialHandler函数中NewBot.Handle函数被唤起，根据Handle函数的处理Bot信息将被添加到列表中(List 8)。
List 8 bot.go内的Handle函数
存储Bot信息的clientList是全球变数，main.go内运行main函数之前就被制作了。另外， clientList在新制作的时候，非同步接收的Worker制作Bot指令，等待Bot指令。
◆ 攻击指令的制作部分
接下来，以攻击者C&C服务器的输入为基础，看看Bot指令的制作部分吧。在API、CLI等输入指定攻击种类·攻击对象的命令，便会在attack.go内的NewAttack函数内完成应对接受指令的Flag设置。在同文件夹中的attackInfoLookup Map内定义了可能利用的攻击种类(表1)(List 9)。
表1 Mirai Botnet可执行的攻击种类
List 9 attack.go内attackInfoLookup Map
从表1了解到，Mirai可使Bot受到各种各样的DDoS攻击。
另外，VSE平台攻击中被瞄准的游戏引起“Source Engine”是非常有人气的一款在线游戏“反恐精英”中使用的引擎。这样被特意定义，由此可见这样的在线游戏可能被作为攻击的目标。利用GRE等次要的协议进行攻击是有可能的，因此Mirai可回避一般的DDoS攻击对策。
然后把这些攻击Falg设定组装后，同文件的Build函数内将这些攻击设定为二进制向Bot发信。这样就可以向Bot完成数据的发送。
◆ 指令发送部分
最后，看看从C&C服务器向Bot发送指令的流程吧。二进制的攻击设定移交至clientList.go文件内的QueueBuf函数，如名字所示保持Bot的指示被放置在缓冲区列队中(List 10)。
List 10 clientList.go的QueueBuf函数
接收信息的atkQueue频道从持有的Bot信息列表到攻击者可利用的Bot上线数为止在Bot单体的缓冲区排列攻击设定。
List 11 clientList.go内的worker函数
然后，排列的攻击设定最终会被发送到Bot单体(List 12)。
List 12 bot.go内的QueueBuf函数
四、Bot(客户端)
接下来，看看Bot客户端的运作吧。由于客户端是C语言编写的，首先让我们从mirai/bot目录以下的main.c开始解读吧。
◆C&C的连接部分
main.c内的main函数里，启动后本身的过程名伪装成随机的名字，无线循环地呼出establish_connection函数，将加密的C&C服务器的域名和Bot解密后连接在一起(List 13)。
List 13 main.c内的main函数与establish_connection函数
在这里，establish_connection函数里名为resolve_fudc函数被同文件内anti_gdb_entry函数替换，所以实际上也被称作resolve_cnc_addr函数(List 14)。
况且，C&C服务器的域名中，对table.c文件中被定义为“0xdeadbeef”的值实施seed值XOR加密，C&C服务器的解析会变得较困难。
List 14 main.c内的anti_gdb_entry函数与resolve_cnc_addr函数
成功连接后，Bot向C&C服务器中发送二进制“
本文转自d1net（转载）
