新闻链接：http://netsecurity.51cto.com/art/201609/517568.htm
新闻时间：2016-09-19 08:57
新闻正文：解密方程式组织的Unix后门NOPEN

在ShadowBrokers所泄漏的黑客工具中，有一款名为“NOPEN”的工具。NOPEN”实际上是一款针对Unix操作系统的远程管理工具(RAT)。“RAT”这个词通常形容的是那些针对Windows系统和Android设备的恶意软件，攻击者可以利用这些恶意软件来与受感染的目标主机进行网络通信。

前言

不久之前，黑客组织ShadowBrokers(影子经纪人)曾声称他们从EquationGroup(方程式组织)那里窃取来了大量的黑客工具，并且他们还将部分工具放在网上进行拍卖。

近日，Vectra公司的安全研究专家NickBeauchesne对其中的一份泄漏文件进行了分析，并且发现了一个名叫“NOPEN”的Unix远程管理工具(RAT)。

Nick Beauchesne说到：

“当我在对方程式组织泄漏的文件以及黑客工具进行分析时，我发现了一些非常有意思的东西，而这些东西似乎没有得到它们应得的关注。虽然很多安全研究专家将他们的注意力全部放在了那些潜在的0day漏洞上，但是我认为我们应该还可以从这些泄漏文件中了解到方程式组织的攻击手法和操作模式，毕竟这是全世界最危险的黑客组织之一。”

NOPEN-针对Unix系统的远程管理工具(RAT)

根据NickBeauchesne的描述，在ShadowBrokers所泄漏的黑客工具中，有一款名为“NOPEN”的工具。在此之前，安全研究人员普遍认为这款工具是一种“Post-ExploitationShell”，方程式组织可以用它来感染一台被入侵的设备，而这款工具将允许攻击者与被入侵的设备进行持续性地通信。

但是通过深入分析之后Beauchesne发现，“NOPEN”实际上是一款针对Unix操作系统的远程管理工具(RAT)。各位应该知道，“RAT”这个词通常形容的是那些针对Windows系统和Android设备的恶意软件，攻击者可以利用这些恶意软件来与受感染的目标主机进行网络通信。

根据Beauchesne的分析结果，NOPEN毫无疑问是属于RAT工具这一类的。Beauchesne还表示，这是一款非常复杂的恶意软件，而且该工具似乎是方程式组织的一款非常重要的黑客工具，因为在泄漏文件(script/ops/doc)中曾多次提到了“NOPEN”的名字。之所以说它非常重要，是因为它既可以作为一个网络后门来感染目标系统，而且攻击者还可以用它来监听数据。

首先，方程式组织的黑客需要成功入侵目标系统，然后在系统中安装NOPEN。安装成功之后，攻击者就可以在自己的计算机与被入侵的设备之间建立一条通信链接，并开始监听目标主机中的各种数据。当他们发现并获取到了他们所要寻找的数据之后，黑客可以立刻删除NOPEN。NOPEN的主要功能就是在被感染主机与方程式组织的服务器之间建立一条通信隧道，并运行反向shell(命令行接口)。攻击者运行的是NOPEN的客户端，而NOPEN的服务器端则安装在被感染的设备上。

Beauchesne在分析报告中写到：

“这款工具不仅可以允许攻击者运行功能强大的shell脚本，而且还为他们提供了通信隧道的支持。需要注意的是，所有的操作信息和通信数据都采用了RC6加密算法来进行保护。但好消息是，尽管NOPEN采用了RC6加密算法来保护其网络通信数据，但是目前的很多安全解决方案也许能够在网络中检测到NOPEN的存在。”

Linux、FreeBSD、SunOS、Solaris和HP-UX等操作系统也难逃厄运

根据Beauchesne的分析，NOPEN可以在i386、i486、i586、i686、i86pc、i86、SPARC、Alpha、x86_64、以及AMD64等架构的计算机上正常运行。除此之外，安全专家表示，NOPEN还可以在Linux、FreeBSD、SunOS、Solaris和HP-UX等操作系统上运行。

深入分析NOPEN

简单而言，NOPEN就是一款静态编译的后门。这款UnixRAT会对其所有的控制命令和通信隧道数据进行加密保护，并且还允许攻击者在目标主机中实现提权。接下来，我们会对NOPEN进行深入分析，并且找出可以检测到NOPEN的安全策略。

NOPEN的检测

正如我们之前所提到的那样，第一眼看过去，NOPEN绝对是一款非常复杂的恶意软件。但是如果我们一步一步地进行深入分析，我就发现其实这款RAT并没有我们想象中的那么复杂，因为此前我们还遇到过更加复杂的RAT。像PoisonIvy、blackshade、helium、以及其他的RAT，它们远比NOPEN要麻烦得多，但是这些RAT的功能和运行机制其实都是大同小异的。实际上，就我们目前的经验来看，大多数的RAT工具都拥有相似的行为模式。所以从这一点来看，NOPEN其实也没有多少新颖之处。

没错，该工具背后的黑客组织是方程式组织，他们的确更加复杂，但是这类攻击的本质其实是一样的。我们其实并不需要完全弄清楚任何一款RAT工具的行为模式，我们可以利用“机器学习”来构建出新型的安全防御体系。通过机器学习来识别恶意工具的行为模式其检测效率和准确率都是非常高的。不仅如此，这样可以迫使攻击者不断改变他们的攻击方法，并且增加攻击者绕过下一代安全产品的难度。

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课