近期，深服气安全团队在排查问题时，遇到一台主机不断拜访歹意域名linuxsrv134.xp3.biz，测验与之通讯，经过对问题主机的排查和域名的要挟情报分析，相关到了一个2019年新式Linux蠕虫——ibus，本文针对其C&C模块进行详细分析。 进行之一阶段的初始化以及检测。判别/tmp/.Abe0ffdecac1a561be917bfded951a7a pid记载文件是否存在，判别是否存在现已运转的线程。 再从头fork一个进程。 并将新的pid记载到/tmp/.Abe0ffdecac1a561be917bfded951a7a文件。 进行第二阶段的初始化，判别配置文件/usr/share/hplip/data/images/24×24/.rc是否存在，其间包括配置文件的hash以及休眠时刻。 判别预订的UUID是否为空，假如为空则出产新的UUID并写到/usr/share/hplip/data/images/24×24/Remove_user.png文件。 完结第二阶段初始化，进入循环履行阶段。 MAIN为主函数，经过调用check_relay, 判别是否还存在指令。 可是现在该域名现已过期了，获取不到任何的数据。 假如还有未履行的指令，就会调用Knock_Knock函数上传ID信息来获取被base64编码和异或加密的指令内容， 其指令使命内容首要分为4大类，分别为needregr、newtask、notasks以及newreconfig。 下图为使命处理进程。 详细指令功用见下表： 假如没有指令或许 *** 有问题，为了持续通讯，就会测验以下4种 *** 。 1、测验重连； 2、从备用 *** linuxservers.000webhostapp.com以及linuxsrv134.xp3.biz等获取新的C&C地址进行通讯； 现在该blog linuxservers.000webhostapp.com的指令如下，经过躲藏特点躲藏。手动能够拜访该内容，经过该脚本直接拜访得到404。 3、经过解密函数，其解密分为2个部分，首要进行base64解码，再经过异或(“#”为key)得到如下更新信息； [1][2]黑客接单网