综述

大约48小时之前，我们发布 文章 报告了ADB.Miner，一种新型的安卓蠕虫。该蠕虫可以借助安卓设备上已经打开的 adb 调试接口传播，且初期传播的增速很快，约每12小时翻一番。

在过去的48小时内，我们对 ADB.Miner 做更进一步的分析，目前的结论如下，供安全社区参考：

1. 当前感染量已经稳定：日活感染量在增长到7千(2018-02-05 15:00 GMT+8)后不再快速增长。这个数字已经保持稳定了超过 20 小时，可以认为蠕虫已经经过了爆发期，进入稳定期。

2. 确认电视盒子被感染：确认被感染的都是安卓设备。进一步分析能够确认部分设备是电视盒子，其他设备不能认定是何种设备，也不能确认是安卓手机

3. 对样本的分析，排除了样本从远程开启 adb 调试接口的可能。在被感染以前，这些设备的 5555 端口就已经开启。至于 5555 接口是如何打开的，目前无从得知。

受感染的设备地理分布如下图所示，主要的受害者分布在中国（39%，含中国香港和中国台湾）和韩国（39%）：

样本分析

在本次事件中，共捕获样本9个。系列样本的核心功能是蠕虫 + 挖矿。

• 蠕虫式传染：被感染设备会对外发起 TCP 5555 adb 调试端口扫描，并尝试执行 adb 命令把自身拷贝到新的感染机器

• 挖矿：被感染后的核心功能就是利用窃取到的计算资源挖XMR代币

• 此外，该样本的蠕虫的端口探测部分借鉴了MIRAI的SYN扫描模块以提高端口探测效率。

该蠕虫没有上联控制服务器，仅通过单一钱包地址获取收益。这种代码布局更加紧凑。

各样本概要信息如下表所示，后续各小节逐一展开分析：

sss - 代码主体

sss为上载到目标设备的恶意代码主体。在droidbot将其上传到目标设备后，执行nohup /data/local/tmp/sss启动该执行程序时，其会读取bot.dat，并释放droidbot，invoke.sh，ddexe，debuggerd和install-recovery.sh到当前目录下。随后其会调用nohup执行释放的droidbot。

invoke.sh - 持久化

invoke.sh 用于持久性运行droidbot实现后台挖矿。持久化方式有以下三种，成功后，会删除中间文件：

• 如果/system/bin/ddexe存在，则替换其为释放的ddexe脚本；

• 如果/system/bin/debuggerd存在，则替换为释放的debuggerd脚本；

• 如果/system/etc/install-recovery.sh存在，则替换为释放的install-recovery.sh脚本。

droidbot样本 - 蠕虫传播

样本的蠕虫式传播是通过 droidbot 实现的。当样本扫描发现开启5555端口的设备后，将通过依次发送adb connect /adb push/adb shell 等指令的方式，将所有相关样本从本地上传至受害者并执行，相关截图如下所示：

该传播模块借鉴了MIRAI的源码：

1. 样本中内置了MIRAI的SYN扫描模块，以提高对5555 端口开放情况的探测能力。下图高亮处代码在试图构造一个随机IP，且目标端口为5555。如果对MIRAI的代码结构比较熟悉可从左下角缩略图看到这个缩略图同MIRAI的代码结构具有高度相似性。

2. 样本中还遗留了MIRAI代码中table的结构字符，如下下图所示。通过MIRAI的默认密钥0xdeadbeef 对上面的字符内容解密后，可以确认均为弱口令字符。并且我们确认这些弱口令均未被使用。

xmrig32/xmrig64/config.json - 挖矿样本和配置

两个xmrig样本为挖矿样本。

挖矿的配置由 config.json 文件提供，如下：

其中矿池分别为：

• pool.minexmr.com:7777

• pool.monero.hashvault.pro:5555

用户名，即钱包地址为:

• 44XT4KvmobTQfeWa6PCQF5RDosr2MLWm43AsaE3o5iNRXXTfDbYk2VPHTVedTQHZyfXNzMn8YYF2466d3FSDT7gJS8gdHAr

droidbot.apk - 另一个基于CoinHive的挖矿样本

该样本是一个运行于Android环境的apk文件。其核心功能就是通过webview加载一个本地html网页文件挖矿。相关代码如下图所示：

上述两图展示了恶意代码先后利用webview组建加载本地html页面，并通过被加载网页调用 coinhive 脚本挖矿。

IoC