🕵️‍♂️ **隐蔽性极强：** Melofee后门木马新变种通过RC4加密的内核级驱动模块，隐藏样本文件、进程和网络通信，使得检测难度大大增加。

⚙️ **功能升级：** 新变种在持久化、单一实例机制以及功能号设计方面有所变化，表明攻击者持续重构和使用该后门木马。

🔑 **核心技术：** Melofee使用RC4加密解密驱动模块和C2配置，驱动模块基于开源项目Reptile修改而来，实现了对网络连接、进程、文件和目录的多维度隐藏。

💻 **两种模式：** Melofee具有感染模式和管理模式，感染模式用于隐蔽自身并建立与C2服务器的通信；管理模式则通过参数控制驱动的隐藏状态。

原创 奇安信X实验室 2024-11-12 14:09 中国香港

概述

24年7月27日，XLab的大网威胁感知系统检测到 IP 地址 45.92.156.166 正在传播一个名为pskt的ELF 文件，它在 VirusTotal 上尚无检测。该样本触发了两条告警：文件存在 Overlay 区段，且通信域名疑似模仿微软。经过分析，我们确认这是一个专门针对 Red Hat Enterprise Linux (RHEL) 7.9 的 Melofee 后门木马变种。

Melofee 是一个用 C++ 编写的后门木马，支持信息收集、进程管理、文件操作和 SHELL 等功能，最早于 2023 年 3 月被 ExaTrack公司 披露，据信隶属于 APT 组织 Winnti。此次捕获的样本相比旧版本在文件结构和功能层面均有显著升级。文件结构方面，新变种内嵌了一个 RC4 加密的内核级驱动模块，专门用于隐藏活动痕迹，包括样本文件、进程和网络通信。在功能上，新样本在持久化、单一实例机制以及功能号设计方面也有所变化。

通过比较样本中的 RTTI（运行时类型信息），甚至可以看到源码层面的改动。例如，先前样本中的网络连接类名为 TLSSocket，而本次样本的类名已更改为 TlsConn，这暗示 Melofee 可能在安全社区的监测之外被持续重构和使用。

值得注意的是，我们在溯源过程中还发现了一个有趣的误关联。新变种使用的 C2 地址为 filemanage.micrsofts-file.com。根据 PDNS 系统记录，该 C2 的二级域名 micrsofts-file.com 及其关联域名 www.micrsofts-file.com 在 2023 年 11 月至 2024 年 6 月期间解析至 IP 地址 91.195.240.123。该IP也出现在 2024 年 7 月 BlackBerry公司 发布的 APT 组织 SideWinder 分析报告中，且在 VirusTotal 上，它已被多家安全厂商标记为恶意。这是否意味着 Melofee 已在多个组织间流通，成为跨组织使用的工具，而非某个特定组织的专属？

我们认为答案是否定的。91.195.240.123 实际上是域名注册商 NameSilo 提供的 Parking IP，我们认为将其标记为恶意属于误报。NameSilo 会自动将新注册的二级域名及 www 三级域名解析至该 IP，因此，正常域名、不相关的恶意域名及 APT 活动可能共享此 IP，导致误导性的关联。

由于视野有限，我们尚不清楚攻击者的具体入侵手段及其后续目的，欢迎知情者提供更多线索，以帮助完善技战术矩阵。鉴于样本及域名的低检测率，以及Melofee家族的高隐匿性我们决定撰写本文，与社区分享我们的发现，共同维护网络安全。

本文将深入分析以下要点：

Overlay 结构及其解密方法

驱动模块功能

Melofee功能

技术细节

此次发现的新变种，目前我们只捕获了一个样本，它的功能相对直观，此变种的的功能相对直观，可根据运行方式是否带有参数，划分为 感染模式 和 管理模式 两种：

感染模式（无参数启动）：当 Melofee无参数启动时，进入感染模式。在此模式下：

通过 /tmp/lock_tmp1 文件确保仅有一个实例运行。

借助 crontab 实现持久化，并将进程名称伪装为 [md]或wwwwww。

解密并安装驱动模块，在驱动支持下，实现目录，文件、进程，网络连接，特定内容等多维度的隐匿。

解密并连接至 C2 服务器，建立通信，等待接收和执行服务器下发的指令。

管理模式（带参数启动）：当 Melofee 带有参数启动时，进入管理模式，接受一个参数控制驱动的隐藏状态。可用参数为：

hide：启用驱动的隐藏功能。

show：关闭驱动的隐藏功能。

kill：停止进程。

这种设计使得Melofee可以在感染和管理两种模式下灵活运作，满足不同场景下的隐蔽性和控制需求。下文将围绕解密过程、驱动模块以及后门功能等方面分析 Melofee 的技术细节。

第一部分：解密

Melofee 将 RC4 加密的驱动模块以 drv_overlay 结构体的格式附加在文件尾部，作为 Overlay 部分存储。

struct drv_overlay{    int encrypted_payload[payload_size];    int payload_size;    char flag[12];}

在这个样本中flag的值为EV#?YLFAkoip，payload_size为0x6a08，从playload_szie往前的0x6a08字节为encrypted_payload。

使用密钥87JoENDi对encrypt_payload进行解密，就得到了驱动模块kworkerx，可以看出它针对的操作系统为RHEL 7.9，内核版本为3.10.0。

C2配置同样采取RC4加密，密钥为87JoENDi，解密后为0:filemanage.micrsofts-file.com:443:60，它包含以下4部分：

连接的类型

C2 Domain

C2 Port

Interval

第二部分：驱动模块

解密得到的驱动模块kworkerx，经过分析，我们确定它实际上是由开源项目Reptile修改而来。原生的Reptile支持以下通过12种功能，可以分成隐藏，后门2大类；kworkerx主要使用其中的隐藏功能。

kworkerx 通过在初始化函数中挂钩 tcp4_seq_show 来隐藏网络通信记录，所有 443 端口的通信都不显示。对于进程、文件和目录的隐藏，kworkerx则通过挂钩 fillonedir、filldir、filldir64 以及 vfs_read 等函数来实现。

此外，kworkerx 还挂钩了 inet_ioctl 函数，以便与用户空间通信，接收控制命令。

当用户空间调用ioctl函数时，若传入的第二个参数为 0xE0E0E0E，则会进入kworkerx的处理函数 khook_inet_ioctl。在该函数中，根据第三个参数的值来开启或关闭 kworkerx 提供的各种隐藏功能。

第三部分：功能分析

Melofee通过init_module函数安装kworkerx内核驱动模块后，默认就开启了TCP连接的隐藏，再通过IOCTL发送相应的控制指令，开启进程，目录，持久化的隐藏。

我们在虚拟机中首次以无参数形式执行该样本，结果显示其成功隐藏了进程、样本文件、持久化脚本及网络连接。随后，使用 show 参数再次运行样本，进程、样本文件和持久化脚本重新显现，但网络连接依然保持隐藏状态。最终，通过 rmmod 命令卸载 kworkerx 模块后，隐藏的网络连接才得以恢复显示。

Melofee 在安装驱动模块后，会解密 C2 配置并建立通信，等待接收指令并执行。本次捕获的样本支持的功能与 ExaTrack 分析报告中的描述基本一致，但在功能号上存在极大差异。

总结

Melofee 提供的功能较为简洁，但具备极强的隐匿性。该家族的样本并不常见，攻击者可能将其使用范围限定在高价值目标上。网络管理员可以通过 /tmp/lock_tmp1 文件以及 kworkerx 等实体判断系统是否受到感染。如发现感染迹象，可按照前文描述删除相关驱动、进程、文件和持久化内容。

我们欢迎读者提供新的见解和情报，如您对我们的研究感兴趣，可通过留言与我们联系。

阅读原文

跳转微信打开