2.1 活动简介

此次攻击活动中涉及的远控家族又被称为Torii，溯源结果表明，该远控很可能是由海莲花组织研发并运营。远控涉及的攻击活动最早在2018年被披露，当时由于其复杂度被业内认为是下一代的物联网僵尸网络，最早活跃时间可追溯至2017年，已发现通过弱口令暴力破解、漏洞攻击等手段进行传播，因为主要被用于针对性的攻击，不会基于已感染设备对全网的其他设备进行扫描攻击，也不会利用已感染设备进行挖矿、勒索、DDOS等活动，因此5年以来其一直保持有相对较好的潜藏隐蔽状态。

该远控的功能丰富，适配广泛，支持生成众多类型如ARM、x86、x64、MIPS、SPARC、PowerPC、SuperH、Motorola 68000等等CPU架构的载荷，能对运行于以上架构的服务器、物联网设备、办公主机等进行深度信息窃取和控制，此外还具备10组以上的命令控制能力。

近年来，Torii活跃于海莲花组织针对我国的网络攻击活动中，攻击者通过攻陷国内的公网路由器、摄像头等网络设备充当跳板，安装流量转发工具，将被植入Torii木马的设备的窃密和控制流量，经一层或多层跳板转发至真实的Torii远控C2服务器。基于目前掌握的跳板和真实C2查找国内受控情况，发现2022上半年存在超1万7千条的可疑受控流量访问次数，Torii在国内已初步具有僵尸网络规模。

2.2 远控功能分析

2.2.1 对抗分析能力

1) 字符加密

绝大多数敏感字符串都被加密，运行时解密，解密算法为自定义的轮转异或：

2) 执行后休眠

木马执行后，先进行sleep()函数休眠，休眠时间默认60秒或根据传参而自定义，此举可对抗一部分的自动化分析如沙箱等。

图2‑2 运行后休眠

父进程退出后的子进程，进程名被命名为正则表达式随机生成的字符串，此举可抵抗基于进程名的筛查检测。

图2‑3 子进程名被随机化

4) C2通信流量加密

虽然木马主要使用443端口通信，但过程实际并非使用TLS加密，而是使用RC4加密后再倒序：

图2‑4 通信流量加密算法

5) 落地文件名伪装

虽然未完全掌握此次攻击活动的上文，但从Torii家族历史的攻击过程来看，此次的远控也应存在第一阶段的母体，母体是负责释放本远控的Dropper，会将远控的落地位置由目录表和伪装正常的文件名表这两个表随机组合而成：

表2‑1 落地位置由两表随机组合

2.2.2 信息窃取能力

除了使用系统函数获取如主机名、MAC地址等，木马还会通过解密出的一批shell命令来获取丰富的系统软硬件信息，例如：

图2‑5 执行收集信息

梳理出的Shell命令和收集对象如下表：

表2‑2 信息收集命令对应信息

2.2.3 远程控制能力

梳理出远控的功能包括操控和窃取本地文件、命令执行、载荷下载等，罗列如下：

表2‑3 命令控制功能

远控连接的C2地址由上述同一解密算法解得，攻击活动中既存在直连真实C2服务器，也存在连接国内跳板的转发端口，之后转往下一跳：

图2‑6 直连C2服务器

图2‑7 连接跳板机和转发端口

当木马硬编码的C2地址为跳板时，跳板性质一般为物联网设备，主要有国产路由器、国产VPN设备、公网摄像头等，TCP协议的恶意流量从8443、8773等端口进入设备，然后被转发至真实的C2服务器或更多层的跳板。

从跳板设备运行的服务来看，攻击者有可能通过nday甚至0day漏洞攻击得到系统执行权限。从以往的海莲花在物联网跳板上实现流量转发的手段来看，其曾使用自研或开源的转发工具、防火墙转发规则等，由于目前尚未进一步掌握以上跳板内部信息，猜测此次活动手段也大多如此，例如Github开源的tinyPortMapper，其支持Linux/Windows/MacOS主机、安卓手机/平板、路由器、树莓派等等设备，使用方式例如将本地的1234端口接收到的TCP和UDP流量，转发到目标IP的443端口：

图3‑1 tinyPortMapper的使用方式

当硬编码的地址为真实C2服务器时，目标端口皆为443，域名和VPS的购置厂商和地理位置都分散在境外，无明显特点。

4.1 与Torii家族的高度同源

通过代码比对，安天CERT发现此次的木马家族与Torii僵尸网络的第二阶段木马存在有大量的同源性，能确认属于同一木马家族，但相对来说有更规范的编码实现和升级，属于Torii家族的新版本。

表4‑1 此次木马家族与Torii的同源性

4.2 与海莲花远控家族的同源性和差异

国内Netlab实验室的研究报告^[4]表明，双头龙家族与海莲花组织的MacOS远控两者之间从C2会话的建立方式、上线包构造、加解密算法甚至多组指令功能对都存在惊人的相似，双头龙家族可以称之为海莲花MAC远控在Linux平台的实现版本。

更早的报告表明^[2]，双头龙家族与Torii家族间存在敏感命令的重用、流量构造方式和持久化方式的相似性，报告推测双头龙与Torii家族可能出自同一攻击者之手。

安天CERT进一步分析发现，双头龙与Torii家族虽然存在个别相似性，但整体的差异要远多于重合，以下罗列双头龙、Torii和另一款已知的海莲花Linux远控Buni家族，三者间的重要差别如下：

表4‑2 Torii家族与双头龙的差异

从整体的功能设计、代码实现和资产依托等更多的层面来看，Torii、双头龙和Buni三者的局部相似性虽然表明可能出自相同的攻击者，但三者并不能划为同一恶意代码家族，而应属于三种不同的远控工具。

4.3 与海莲花组织的资产关联

Torii家族2020年2月活跃的载荷分发服务器185.174.***.***，曾在2017年至2018年绑定已知的海莲花域名svena***.com，以及绑定了可关联到多个海莲花历史资产的高可疑域名hosti***.xyz：

表4‑3 与海莲花组织的资产关联性1

同在2022年2月时期活跃的Torii家族C2域名zhi***.com，曾在该月首先解析到动态IP地址188.166.***.***，该IP曾被卡巴斯基PhantomLance活动报告所提及^[5]，进一步分析发现，其并非海莲花私有的IP，但海莲花自2018年起存在偏好将诸如Denes远控、KerrDown下载器、PhantomLance安卓木马以及Covid19疫情期间窃密等攻击活动的大量域名资产临时性地指向该IP。

表4‑4 与海莲花组织的资产关联性2

综上，Torii与早期海莲花网络资产的关联性，结合海莲花组织的双头龙家族与海莲花MAC远控家族的代码高度同源，以及Torii与双头龙家族在设计上的相似性，再结合近期Torii家族通过海莲花组织近年的同类攻击手法攻陷我国的物联网设备充当跳板，大量控制境内重要政企单位网络和办公设备，有理由相信Torii家族很可能是海莲花组织除双头龙家族和Buni家族之外，第三款比较成熟的针对Linux或物联网平台的远控工具。

本次系列攻击活动共涉及ATT&CK框架中10个阶段的17个技术点，具体行为描述如下表：

表5‑1 近期Torri攻击活动的技术行为描述表

将涉及到的威胁行为技术点映射到ATT&CK框架如下图所示：

图5‑1 近期Torri攻击活动对应ATT&CK映射图

参考资料：

https://blog.avast.com/new-torii-botnet-threat-research

https://blog.netlab.360.com/stealth_rotajakiro_backdoor_cn/

https://mp.weixin.qq.com/s/1WtaS7htgiUGhtY_ovERxA

https://blog.netlab.360.com/rotajakiro_vs_oceanlotus_cn/

https://securelist.com/apt-phantomlance/96772/

往期回顾

原文始发于微信公众号（安天集团）：海莲花组织Torii远控的网络攻击活动分析