Elkeid 蜜罐样本分析报告
Botnet
简介：x86_64样本属于Mirai样本家族中的一员，主要感染各类IoT设备构建大规模僵尸网络
关键词：x86_64 Mirai
简介： Saitama样本为Mirai变体，主要利用RCE漏洞传播构建僵尸网络并进行DDos攻击。
关键词：Saitama Mirai
简介：该样本为Mirai变体，主要感染各类IoT设备构建大规模僵尸网络
关键词：0xt984767.sh 0x83911d24Fx.sh Mirai
简介：catvsdog是Mirai的启动脚本，会下载执行Mirai，主要建大规模僵尸网络进行DDos攻击。Mirai由于代码开源，不断产生了多种变体，往往与0/N-Day漏洞利用结合，具有很强的感染性。
关键词：catvsdog.sh Mirai 0xt984767.sh meow.x86
简介：该样本回连IP与Mirai 变体样本具有强关联,推测为Mirai变体之一
关键词：x86.sh Mirai
简介：该样本为tsunami 族内样本,属于僵尸网络类型的样本
关键词：tsunami x001804289383 tsh
简介：catvsdog是Mirai的启动脚本，会下载执行Mirai，主要建大规模僵尸网络进行DDos攻击。Mirai由于代码开源，不断产生了多种变体，往往与0/N-Day漏洞利用结合，具有很强的感染性。
关键词：dota.tar.gz X17-unix
简介：arhivehaceru_Update为botnet样本，下载自arhivehaceru.com域名，感染主机后构建僵尸网络，可发动DDos攻击。
关键词：./History arhivehaceru
简介：yy.py样本执行了ssh登陆后通过vim编辑的yy.py文件。同时行为集合中存在/root/pty样本的关联行为，该样本与僵尸网络和挖矿有关
关键词：yy.py x001804289383
简介：yy.py样本执行了ssh登陆后通过vim编辑的yy.py文件。同时行为集合中存在/root/pty样本的关联行为，该样本与僵尸网络和挖矿有关
关键词：smofpieenq
简介：Oblivion121样本为gafgyt样本关联脚本，利用Shellshock 漏洞进行分发。用于连接硬编码的 C&C 地址。
关键词：Oblivion x001804289383
Miner
简介：Cleanfda是一种挖矿木马，通常会通过未授权命令执行漏洞攻击目标主机,并利用SSH爆破等方式呈蠕虫式传播。
关键词：cleanfda newinit.sh is.sh
简介： robertreynolds2是github上的一个挖矿样本
关键词：robertreynolds2
简介：该样本ssh登陆后针对hive os挖矿平台进行操作，设置用户密码并关闭开放服务减少暴露。猜测可能为批量扫描暴露的矿机进行利用。
关键词：i2gji23g4jigh3gji4hggij345hgh
简介：该样本通过ssh登录后,存在一系列修改定时任务,清除挖矿竞品,重命名系统命令的行为,具有较强的挖矿样本的特征
关键词：download.sh .mm.jpg x001804289383
简介： 该样本通过ssh登录后,存在一系列修改定时任务、清除挖矿竞品、读取系统信息的行为,根据不同系统架构执行脚本,具有较强的挖矿样本的特征
关键词：b4ngl4d3shS3N941 .billgates spreader
简介：hoze样本为挖矿样本，感染x86_64主机，通过多个样本/脚本链式启动，并且会及时清理自身痕迹，还会进行添加用户、密码、公钥等持久化行为
关键词：hoze secure
简介：该样本通过ssh暴破登录后,存在一系列修改定时任务,清除挖矿竞品,重命名系统命令的行为,具有较强的挖矿样本的特征.
关键词：httpss .sh
简介：该样本通过ssh暴破登录后，存在一系列更改用户密码，添加用户，重命名系统命令的行为,具有较强的挖矿样本的特征.
关键词：x86_64 ec2-user binfmt_misc
简介： ssh暴破登录后，xmrig样本被远程下载并执行，是被广泛使用的挖矿样本
关键词：xmrig networkxm install_xm
简介：ssh暴破登录后，minerus样本被下载并执行，具备挖矿样本特征。
关键词：minerus cnrig
简介：ssh暴破登录后，diicot样本通过arhivehaceru.com被下载并执行，具备挖矿样本特征。
关键词：diicot arhivehaceru Opera
简介： ssh暴破登录后，kthreads样本被下载并执行，预备连接特定矿池进行挖矿，具备挖矿样本特征。
关键词：kthreads pool.hashvault.pro
简介：ssh暴破登录后，c3pool_miner样本从download.c3pool.org远程下载并执行，是被广泛使用的挖矿样本
关键词：setup_c3pool_miner protocoldetect
简介：ssh暴破登录后，payload样本通过arhivehaceru.com被下载并执行，具备挖矿样本特征。
关键词：payload arhivehaceru
Backdoor
简介：g6h7是一系列相似名称后门类型的样本的简称,会根据不同的系统执行不同的后门程序,如 g6h7.arm,g6h7.wrt等
关键词：g6h7
简介：样本关联IP频繁通过暴力破解或窃取的凭据执行 SSH 攻击，通过蜜罐采集行为可知，攻击者在ssh登陆成功后会进行信息收集、修改ssh公钥与系统用户密码。并且在蜜罐中执行行为的时间间隔分布均匀，应为攻击脚本。
关键词：nS97pp7fcZ1qu
简介：该样本行为特征中,存在访问恶意IP,文件删除等行为,推测为通过ssh爆破进入的后门样本
关键词：49.142.208.62
简介：该样本行为特征中,存在访问恶意IP,加载内核模块,建立后门等行为,与gates后门样本有相似行为,推测为通过ddos进入的后门样本
关键词：S97DbSecuritySpt bsd-port
简介：messages是一种未知恶意样本，推测为后门。
关键词：messages
ssh暴破后执行
简介：该样本行为特征中,存在访问恶意IP,文件删除等行为,推测为通过ssh爆破进入的后门样本
- ifjeeisurofmioufiose
- finalshell_separator
- wtmp.honeypot,secscan
- alternatives,[Mm]iner
- ns3.jpg,oto,sos.vivi.sg
- nS97pp7fcZ1qu
- games, x
- BC20mxv7lX91