一個(gè)代號(hào)Tadashi的黑客，正在把Android電視盒變成攻擊Minecraft服務(wù)器的打手。這不是游戲里的劇情，是Hunt.io分析師今年4月剛摸清楚的完整產(chǎn)業(yè)鏈。

從Mirai魔改來(lái)的"出租服務(wù)"

這個(gè)叫xlabs_v1的僵尸網(wǎng)絡(luò)，底子是臭名昭著的Mirai惡意軟件。但Tadashi沒(méi)自己用，而是把它包裝成了一門生意——DDoS出租服務(wù)?？蛻舾跺X，就能指揮成千上萬(wàn)臺(tái)被感染的設(shè)備，把某個(gè)Minecraft服務(wù)器沖垮下線。

攻擊目標(biāo)選得很準(zhǔn)。Minecraft的RakNet協(xié)議被專門研究過(guò)，xlabs_v1甚至定制了對(duì)應(yīng)的流量洪水變種。更諷刺的是，分發(fā)惡意程序的服務(wù)器用的是TCP 25565端口——這正是Minecraft服務(wù)器的默認(rèn)端口。用游戲自己的通道，來(lái)攻擊游戲服務(wù)器。

被感染的設(shè)備類型也很雜：Android電視盒、機(jī)頂盒、智能電視、家用路由器，還有各種出廠就開(kāi)著ADB的物聯(lián)網(wǎng)硬件。它們的共同點(diǎn)是5555端口暴露在公網(wǎng)上，Android調(diào)試橋（ADB）沒(méi)關(guān)。

入侵過(guò)程干凈利落。攻擊者連上開(kāi)放的ADB端口，把bot程序丟進(jìn)/data/local/tmp/目錄，執(zhí)行，設(shè)備就入伙了。整個(gè)過(guò)程不需要用戶交互，很多人根本不知道家里的電視盒已經(jīng)成了別人的武器。

荷蘭服務(wù)器上的"裸奔"工具包

Hunt.io的AttackCapture工具在4月初觸發(fā)了警報(bào)。一臺(tái)托管在荷蘭的服務(wù)器，IP是176.65.139[.]44，整個(gè)目錄對(duì)外開(kāi)放，連認(rèn)證都不用。

里面有什么？?jī)蓚€(gè)ELF二進(jìn)制文件、感染載荷、代理憑證，還有一個(gè)寫著"target"的占位符文件。研究人員形容這是"完整的事故現(xiàn)場(chǎng)"——操作者把自己的工具包攤在陽(yáng)光下。

通過(guò)交叉比對(duì)生產(chǎn)環(huán)境的ARM32二進(jìn)制和一個(gè)沒(méi) stripping 的開(kāi)發(fā)版本，分析師還原出了三條關(guān)鍵信息：C2控制域名、操作者代號(hào)、認(rèn)證令牌。那個(gè)代號(hào)就是Tadashi，被加密在每一版bot程序里。

整盤生意都擠在一個(gè)/24網(wǎng)段里，歸屬Offshore LC（AS214472）。C2服務(wù)器、中轉(zhuǎn)主機(jī)、分發(fā)基礎(chǔ)設(shè)施，全在這。同個(gè)網(wǎng)段里還跑著另一攤事——用VLTRig工具包挖門羅幣的礦機(jī)集群。是不是同一個(gè)人干的？單從捕獲的文件沒(méi)法確認(rèn)。

設(shè)備被感染后發(fā)生了什么

xlabs_v1的隱蔽工程做得相當(dāng)細(xì)致，每一步都在抹掉自己的痕跡。

第一步，攔截SIGINT信號(hào)。這樣啟動(dòng)它的進(jìn)程沒(méi)法用Ctrl+C中斷它。

第二步，從啟動(dòng)參數(shù)里抓一個(gè)"感染來(lái)源標(biāo)簽"，然后把這個(gè)參數(shù)清零。標(biāo)準(zhǔn)進(jìn)程列表里看不到任何異常。

第三步，用ChaCha20算法解密內(nèi)部字符串表。里面藏著C2域名、操作者名Tadashi、認(rèn)證令牌。

第四步，把進(jìn)程名改成/bin/bash。管理員看進(jìn)程列表，只會(huì)看到一個(gè)普通的shell進(jìn)程。

第五步，脫離終端會(huì)話，關(guān)閉所有標(biāo)準(zhǔn)輸入輸出，徹底鉆進(jìn)后臺(tái)。

完成這五步，它就變成一個(gè)安靜的潛伏者，等待C2服務(wù)器的指令。

為什么盯上Minecraft

游戲服務(wù)器一直是DDoS的熱門目標(biāo)。競(jìng)爭(zhēng)對(duì)手搞垮你的服務(wù)器，玩家就會(huì)流失；主播被攻擊時(shí)，勒索來(lái)得特別快。Minecraft的私服生態(tài)尤其龐大，無(wú)數(shù)小團(tuán)隊(duì)租著廉價(jià)主機(jī)開(kāi)服，防護(hù)能力參差不齊。

xlabs_v1的商業(yè)模式很清晰：把感染成本攤到無(wú)數(shù)物聯(lián)網(wǎng)設(shè)備上，把攻擊能力零售給有需求的客戶。Tadashi不需要知道客戶為什么攻擊某個(gè)服務(wù)器，只管收租。

這種"基礎(chǔ)設(shè)施即服務(wù)"的犯罪模式，和云計(jì)算行業(yè)的邏輯驚人地相似。只是這里的服務(wù)器是被偷來(lái)的，客戶買的是破壞而非建設(shè)。

暴露的ADB端口仍是重災(zāi)區(qū)

Mirai家族活了這么多年，5555端口的問(wèn)題還是沒(méi)解決。設(shè)備廠商為了調(diào)試方便，出廠開(kāi)著ADB；用戶不懂，路由器NAT一映射，就直接暴露在公網(wǎng)。有些設(shè)備根本關(guān)不掉，或者重置后又自動(dòng)打開(kāi)。

xlabs_v1不是第一個(gè)利用這個(gè)入口的，也不會(huì)是最后一個(gè)。它的"創(chuàng)新"在于把攻擊目標(biāo)收窄到游戲場(chǎng)景，把服務(wù)做得更"垂直"——專用協(xié)議、專用端口、專用客戶群。

Hunt.io的監(jiān)測(cè)顯示，bulletproof hosting（防彈主機(jī)）產(chǎn)業(yè)仍在為這類操作提供溫床。荷蘭那個(gè)/24網(wǎng)段，注冊(cè)在Offshore LC名下，專門承接"不在乎投訴"的業(yè)務(wù)。C2和礦機(jī)擠在一起，資源復(fù)用得很充分。

對(duì)于開(kāi)著Minecraft私服的團(tuán)隊(duì)，這件事的警示很具體：你的競(jìng)爭(zhēng)對(duì)手可能正在花幾十美元租用僵尸網(wǎng)絡(luò)，而攻擊流量來(lái)自某個(gè)客廳里落灰的電視盒。檢查自己的服務(wù)器防護(hù)，比猜測(cè)攻擊者是誰(shuí)更緊迫。