Muhstik僵尸网络针对phpMyAdmin服务器的分析与防御指南

1. Muhstik僵尸网络概述

Muhstik僵尸网络于2018年5月首次被发现，最初主要针对GPON路由器。最新变种扩展了攻击范围，开始针对托管phpMyAdmin的Web服务器。

1.1 僵尸网络发展时间线

• 2018年5月：首次被发现，主要攻击GPON路由器
• 2018年11月：发现针对phpMyAdmin服务器的新变种
• 持续演进：不断更新扫描和攻击模块

2. phpMyAdmin的安全风险

phpMyAdmin是一个用PHP编写的开源MySQL管理工具，因其便利性在开发者中广泛流行，但也带来显著安全风险：

• 前端暴露：Web界面直接暴露在互联网上
• 缺乏防护：默认配置缺乏有效的暴力破解保护机制
• 认证弱点：常见弱密码和默认凭据问题

3. Muhstik phpMyAdmin攻击技术分析

3.1 攻击流程架构

Muhstik攻击链包含四个主要阶段：

1. 扫描阶段：识别易受攻击的phpMyAdmin实例
2. 报告阶段：将发现的脆弱目标上报至C&C服务器
3. 下载阶段：从攻击服务器获取恶意payload
4. 控制阶段：通过IRC协议建立僵尸网络控制通道

3.2 扫描模块技术细节

样本哈希：d0d8f3c3e530a75768784c44772b2a71c5b3462d68a3217fee1f6767686cea4e

扫描器特性：

• 命令行工具，接受CIDR列表文件作为参数
• 硬编码报告和下载服务器地址
• 从下载服务器获取目标IP块(CIDR列表)
• 实施针对phpMyAdmin登录页面的暴力破解攻击

暴力破解技术：

• 构造特定HTTP请求头
• 尝试常见凭证组合
• 对发现的phpMyAdmin登录页面进行自动化测试

3.3 服务器基础设施

• 下载服务器：217.13.228.176

  • 存放路径：/rescueshop_dev/x/
  • 托管内容：恶意植入物、CIDR列表、扫描器实例(pma)

• 报告服务器：128.199.251.119

  • 接收格式：http://<reportserver>/pma.php?ip=<vulnerable url>
  • 功能：收集脆弱目标并分发攻击代码

3.4 植入物分析

• 打包方式：使用修改版UPX加壳
• 关联家族：基于Kaiten/IRC僵尸程序家族(Tsunami/STDBot)
• 功能扩展：
  • SSH扫描功能
  • HTTP扫描功能
  • 多种DDoS攻击能力

4. 代码溯源分析

Muhstik的phpMyAdmin扫描器代码源自开源项目Pnscan(Parallel Network Scanner)：

• 项目来源：瑞典Linköping大学的Peter Eriksson开发
• 代码重用证据：
  • 主函数结构高度相似
  • get_ip_range函数实现相同
  • get_port_range函数实现相同
• 与Linux.Pnscan.2蠕虫无关：仅为同名工具

5. 防御措施建议

5.1 phpMyAdmin安全加固

1. 访问控制：

   • 限制访问源IP
   • 使用VPN或跳板机访问
   • 避免直接暴露在公网

2. 认证强化：

   • 使用强密码策略
   • 启用双因素认证
   • 修改默认登录URL

3. 防护机制：

   • 实施账户锁定策略
   • 集成reCaptcha等反自动化措施
   • 设置登录失败速率限制

5.2 系统级防护

1. 入侵检测：

   • 监控/tmp目录异常文件
   • 检测可疑进程链(SHLVL值异常)
   • 分析异常网络连接(特别是IRC协议)

2. 补丁管理：

   • 及时更新phpMyAdmin到最新版本
   • 保持操作系统和组件更新

3. 日志审计：

   • 启用详细认证日志
   • 监控异常登录尝试
   • 建立日志集中分析机制

6. 威胁指标(IOCs)

6.1 phpMyAdmin扫描器样本
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6.2 WordPress扫描器样本

fbfc7b127ab9a03bb6b3550e6678e8224ab3d18d1e96ea473ec50eb271fcf05b

6.3 植入物样本
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6.4 C&C基础设施

下载服务器: 217.13.228.176
报告服务器: 128.199.251.119

7. 总结

Muhstik僵尸网络通过不断演进攻击技术，特别是针对phpMyAdmin服务器的自动化攻击，形成了完整的攻击链条。防御方应重点关注phpMyAdmin的安全配置，实施多层次的防护措施，并密切监控相关IOC以检测潜在入侵。