海莲花组织Torii远控的网络攻击活动分析

1.概述

---

近期，安天CERT捕获到一批活跃中的物联网远控木马，背后的攻击者不为经济利益，在攻击我国重要政企单位相当数量的Linux主机、服务器和物联网等设备后潜伏隐藏。木马具备丰富的窃密和命令控制能力，C2回传链路上还通过提前攻陷的境内外物联网设备作为流量跳板隐藏真实命令控制服务器。通过关联溯源，安天CERT发现该木马属于Torii僵尸网络家族^[1]的升级版本，与海莲花组织的同类远控木马存在一定的同源性和差别，且在依托的网络资产上与早期海莲花组织的攻击活动也存在重叠。

最终，安天CERT发现Torii家族很可能是除双头龙家族^[2]和Buni家族^[3]之外，海莲花组织第三款比较成熟且常用的针对Linux主机、服务器和物联网平台的远控装备。

表1-1 攻击活动特征

2.攻击活动分析

---

2.1 活动简介

此次攻击活动中涉及的远控家族又被称为Torii，溯源结果表明，该远控很可能是由海莲花组织研发并运营。远控涉及的攻击活动最早在2018年被披露，当时由于其复杂度被业内认为是下一代的物联网僵尸网络，最早活跃时间可追溯至2017年，已发现通过弱口令暴力破解、漏洞攻击等手段进行传播，因为主要被用于针对性的攻击，不会基于已感染设备对全网的其他设备进行扫描攻击，也不会利用已感染设备进行挖矿、勒索、DDOS等活动，因此5年以来其一直保持有相对较好的潜藏隐蔽状态。

该远控的功能丰富，适配广泛，支持生成众多类型如ARM、x86、x64、MIPS、SPARC、PowerPC、SuperH、Motorola 68000等等CPU架构的载荷，能对运行于以上架构的服务器、物联网设备、办公主机等进行深度信息窃取和控制，此外还具备10组以上的命令控制能力。

近年来，Torii活跃于海莲花组织针对我国的网络攻击活动中，攻击者通过攻陷国内的公网路由器、摄像头等网络设备充当跳板，安装流量转发工具，将被植入Torii木马的设备的窃密和控制流量，经一层或多层跳板转发至真实的Torii远控C2服务器。基于目前掌握的跳板和真实C2查找国内受控情况，发现2022上半年存在超1万7千条的可疑受控流量访问次数，Torii在国内已初步具有僵尸网络规模。

2.2 远控功能分析

2.2.1 对抗分析能力

1) 字符加密

绝大多数敏感字符串都被加密，运行时解密，解密算法为自定义的轮转异或：

图2‑1 字符解密函数

2) 执行后休眠

木马执行后，先进行sleep()函数休眠，休眠时间默认60秒或根据传参而自定义，此举可对抗一部分的自动化分析如沙箱等。

图2‑2 运行后休眠

3) 子进程名随机化

父进程退出后的子进程，进程名被命名为正则表达式随机生成的字符串，此举可抵抗基于进程名的筛查检测。

图2‑3 子进程名被随机化

4) C2通信流量加密

虽然木马主要使用443端口通信，但过程实际并非使用TLS加密，而是使用RC4加密后再倒序：

图2‑4 通信流量加密算法

5) 落地文件名伪装

虽然未完全掌握此次攻击活动的上文，但从Torii家族历史的攻击过程来看，此次的远控也应存在第一阶段的母体，母体是负责释放本远控的Dropper，会将远控的落地位置由目录表和伪装正常的文件名表这两个表随机组合而成：

表2‑1 落地位置由两表随机组合

2.2.2 信息窃取能力

除了使用系统函数获取如主机名、MAC地址等，木马还会通过解密出的一批shell命令来获取丰富的系统软硬件信息，例如：

图2‑5 执行收集信息

梳理出的Shell命令和收集对象如下表：

表2‑2 信息收集命令对应信息

2.2.3 远程控制能力

梳理出远控的功能包括操控和窃取本地文件、命令执行、载荷下载等，罗列如下：

表2‑3 命令控制功能

远控连接的C2地址由上述同一解密算法解得，攻击活动中既存在直连真实C2服务器，也存在连接国内跳板的转发端口，之后转往下一跳：

图2‑6 直连C2服务器

图2‑7 连接跳板机和转发端口

3.回传链路分析

---

当木马硬编码的C2地址为跳板时，跳板性质一般为物联网设备，主要有国产路由器、国产VPN设备、公网摄像头等，TCP协议的恶意流量从8443、8773等端口进入设备，然后被转发至真实的C2服务器或更多层的跳板。

从跳板设备运行的服务来看，攻击者有可能通过nday甚至0day漏洞攻击得到系统执行权限。从以往的海莲花在物联网跳板上实现流量转发的手段来看，其曾使用自研或开源的转发工具、防火墙转发规则等，由于目前尚未进一步掌握以上跳板内部信息，猜测此次活动手段也大多如此，例如Github开源的tinyPortMapper，其支持Linux/Windows/MacOS主机、安卓手机/平板、路由器、树莓派等等设备，使用方式例如将本地的1234端口接收到的TCP和UDP流量，转发到目标IP的443端口：

图3‑1 tinyPortMapper的使用方式

当硬编码的地址为真实C2服务器时，目标端口皆为443，域名和VPS的购置厂商和地理位置都分散在境外，无明显特点。

4.关联溯源

---

4.1 与Torii家族的高度同源

通过代码比对，安天CERT发现此次的木马家族与Torii僵尸网络的第二阶段木马存在有大量的同源性，能确认属于同一木马家族，但相对来说有更规范的编码实现和升级，属于Torii家族的新版本。

表4‑1 此次木马家族与Torii的同源性

4.2 与海莲花远控家族的同源性和差异

国内Netlab实验室的研究报告^[4]表明，双头龙家族与海莲花组织的MacOS远控两者之间从C2会话的建立方式、上线包构造、加解密算法甚至多组指令功能对都存在惊人的相似，双头龙家族可以称之为海莲花MAC远控在Linux平台的实现版本。

更早的报告表明^[2]，双头龙家族与Torii家族间存在敏感命令的重用、流量构造方式和持久化方式的相似性，报告推测双头龙与Torii家族可能出自同一攻击者之手。

安天CERT进一步分析发现，双头龙与Torii家族虽然存在个别相似性，但整体的差异要远多于重合，以下罗列双头龙、Torii和另一款已知的海莲花Linux远控Buni家族，三者间的重要差别如下：

表4‑2 Torii家族与双头龙的差异

从整体的功能设计、代码实现和资产依托等更多的层面来看，Torii、双头龙和Buni三者的局部相似性虽然表明可能出自相同的攻击者，但三者并不能划为同一恶意代码家族，而应属于三种不同的远控工具。

4.3 与海莲花组织的资产关联

Torii家族2020年2月活跃的载荷分发服务器185.174.***.***，曾在2017年至2018年绑定已知的海莲花域名svena***.com，以及绑定了可关联到多个海莲花历史资产的高可疑域名hosti***.xyz：

表4‑3 与海莲花组织的资产关联性1

同在2022年2月时期活跃的Torii家族C2域名zhi***.com，曾在该月首先解析到动态IP地址188.166.***.***，该IP曾被卡巴斯基PhantomLance活动报告所提及[5]，进一步分析发现，其并非海莲花私有的IP，但海莲花自2018年起存在偏好将诸如Denes远控、KerrDown下载器、PhantomLance安卓木马以及Covid19疫情期间窃密等攻击活动的大量域名资产临时性地指向该IP。

表4‑4 与海莲花组织的资产关联性2

综上，Torii与早期海莲花网络资产的关联性，结合海莲花组织的双头龙家族与海莲花MAC远控家族的代码高度同源，以及Torii与双头龙家族在设计上的相似性，再结合近期Torii家族通过海莲花组织近年的同类攻击手法攻陷我国的物联网设备充当跳板，大量控制境内重要政企单位网络和办公设备，有理由相信Torii家族很可能是海莲花组织除双头龙家族和Buni家族之外，第三款比较成熟的针对Linux或物联网平台的远控工具。

5.威胁框架视角的攻击映射

---

本次系列攻击活动共涉及ATT&CK框架中10个阶段的17个技术点，具体行为描述如下表：

表5‑1 近期Torri攻击活动的技术行为描述表

ATT&CK阶段	具体行为	注释
侦察	主动扫描	扫描暴露在公网中且存在指定漏洞的IOT设备
资源开发	获取基础设施	注册C2域名，购买并搭建C2服务器
	入侵基础设施	入侵服务器或IOT设备作为跳板
初始访问	利用面向公众的应用程序	利用暴露在公网中且存在漏洞的应用服务
	利用外部远程服务	对暴露在公网中的远程服务进行口令暴力破解
执行	利用命令和脚本解释器	获取权限后利用shell脚本安装后续木马
持久化	利用自动启动执行引导或登录	利用/etc/init实现开机时启动
	利用计划任务/工作	利用crontab计划任务自动执行
防御规避	规避调试器	进程名随机化逃避调试器附加
	仿冒	落地文件名仿冒成正常系统文件
发现	发现账户	获取系统账户信息
	发现系统信息	获取系统版本信息
	发现系统网络配置	获取系统网络信息
收集	压缩/加密收集的数据	收集到的数据通过异或后加AES加密
命令与控制	编码数据	收集到的数据通讯前经过加密
	使用标准非应用层协议	使用TCP协议通讯
数据渗出	使用C2信道回传	远控使用传统C2信道通讯

将涉及到的威胁行为技术点映射到ATT&CK框架如下图所示：

图5‑1 近期Torri攻击活动对应ATT&CK映射图

参考资料：

---

[1]Torii僵尸网络- 不是另一个Mirai 变种

https://blog.avast.com/new-torii-botnet-threat-research

[2]双头龙(RotaJakiro)，一个至少潜伏了3年的后门木马

https://blog.netlab.360.com/stealth_rotajakiro_backdoor_cn/

[3]黑客组织“海莲花”作战武器“Buni”最新曝光，瞄准Linux平台

https://mp.weixin.qq.com/s/1WtaS7htgiUGhtY_ovERxA

[4]“双头龙”源自海莲花组织？

https://blog.netlab.360.com/rotajakiro_vs_oceanlotus_cn/

[5]Hiding in plain sight: PhantomLance walks into a market

https://securelist.com/apt-phantomlance/96772/