killvxk 执行固件恶意软件分析
适用场景
- 受入侵的 IoT 设备或路由器需要固件分析以识别植入的后门
- 调查在操作系统重装后仍能存活的 UEFI/BIOS Rootkit
- 分析固件更新中是否存在供应链攻击或恶意修改
- 从 IoT 设备固件镜像中提取并检查嵌入的 Linux 文件系统
- 在疑似硬件或固件级别入侵后验证固件完整性
不适用于标准操作系统恶意软件分析；对常规系统上的操作系统级恶意软件，应使用 PE/ELF 分析工具。
前置条件
- binwalk，用于固件镜像分析和提取（
pip install binwalk） - Ghidra，带 ARM/MIPS 架构支持，用于嵌入式二进制逆向工程
- UEFI Tool（UEFITool），用于 UEFI 固件解析和分析
- 固件分析工具包（FAT）或 EMBA，用于自动化固件分析
- QEMU，用于模拟提取的固件文件系统
- ARM、MIPS 和其他嵌入式架构的交叉编译工具链
工作流程
步骤 1：提取并识别固件组件
分析固件镜像结构并提取文件系统：
# 识别嵌入的文件系统和压缩数据
binwalk firmware.bin
# 提取所有识别到的组件
binwalk -e firmware.bin
# 使用签名扫描进行递归提取
binwalk -eM firmware.bin
# 输出通常包含：
# - 引导加载程序（U-Boot、GRUB、自定义）
# - 内核镜像（Linux、RTOS）
# - 根文件系统（SquashFS、JFFS2、CramFS、ext4）
# - 配置数据
# - 数字签名或校验和
# 熵分析以发现加密或压缩区域
binwalk -E firmware.bin
# 识别特定文件系统类型
file _firmware.bin.extracted/*
# 处理 SquashFS 文件系统
unsquashfs _firmware.bin.extracted/squashfs-root.img
ls squashfs-root/
步骤 2：分析提取的文件系统
在固件文件系统中搜索恶意修改：
# 目录结构分析
find squashfs-root/ -type f | head -50
# 搜索可疑文件
find squashfs-root/ -name "*.sh" -exec ls -la {} \;
find squashfs-root/ -perm -4000 -type f # SUID 二进制文件
find squashfs-root/ -name "*.so" -newer squashfs-root/bin/busybox # 被修改的库
# 检查启动脚本中的后门
cat squashfs-root/etc/init.d/rcS
cat squashfs-root/etc/inittab
ls -la squashfs-root/etc/rc.d/
# 搜索硬编码凭据
grep -rn "password\|passwd\|secret\|key\|token" squashfs-root/etc/ 2>/dev/null
grep -rn "root:" squashfs-root/etc/shadow 2>/dev/null
# 检查未授权 SSH 密钥
find squashfs-root/ -name "authorized_keys" -exec cat {} \;
# 网络配置后门
cat squashfs-root/etc/hosts
grep -rn "iptables\|nc\|netcat\|ncat" squashfs-root/etc/ squashfs-root/usr/bin/
# 检查 cron 中的反弹 Shell
find squashfs-root/ -name "crontab" -o -name "cron*" | xargs cat 2>/dev/null
# 识别所有 ELF 二进制文件进行分析
find squashfs-root/ -type f -exec file {} \; | grep ELF
步骤 3：逆向工程可疑二进制文件
分析可能是后门的提取二进制文件：
# 识别架构和格式
file squashfs-root/usr/bin/suspicious_binary
# 提取字符串以发现 IoC
strings squashfs-root/usr/bin/suspicious_binary | grep -iE "http|ip|port|shell|connect|exec"
# 与已知固件二进制文件交叉对比
# 将 SHA-256 哈希与已知正常固件比较
sha256sum squashfs-root/usr/bin/* > current_hashes.txt
# 对比基线：diff baseline_hashes.txt current_hashes.txt
# 导入 Ghidra 进行反汇编（选择正确的架构）
# ARM：ARM/AARCH64（大多数 IoT 设备使用小端序）
# MIPS：MIPS/MIPS64（大端序或小端序，取决于设备）
# x86：用于 UEFI 模块
# 使用 radare2 进行快速分类
r2 -A squashfs-root/usr/bin/suspicious_binary
# 命令：afl（函数列表）、pdf @main（反汇编 main）、iz（字符串）
步骤 4：UEFI/BIOS 固件分析
分析系统固件中的 Bootkit 和植入物：
# 使用 UEFITool 提取 UEFI 固件卷
# GUI：UEFITool -> 文件 -> 打开 -> 选择 firmware.rom
# CLI：UEFIExtract firmware.rom
# 使用 chipsec 分析 UEFI 固件（需要硬件访问）
python chipsec_main.py -m common.bios_wp # BIOS 写保护
python chipsec_main.py -m common.spi_lock # SPI Flash 锁
python chipsec_main.py -m common.secureboot # 安全启动状态
python chipsec_main.py -m common.uefi.s3bootscript # S3 恢复脚本
# 从实时系统转储 UEFI 固件
python chipsec_util.py spi dump firmware_dump.rom
# 与已知正常固件比较
sha256sum firmware_dump.rom
# 与厂商提供的固件哈希比较
# 使用 YARA 扫描已知 UEFI 恶意软件签名
yara -r uefi_malware_rules.yar firmware_dump.rom
已知 UEFI 恶意软件家族：
━━━━━━━━━━━━━━━━━━━━━━━━━━
LoJax： 首个野外发现的 UEFI Rootkit（APT28/Fancy Bear）
修改 SPI Flash 以投放持久化代理
MosaicRegressor：模块化 UEFI 框架，投放多种载荷
CosmicStrand： UEFI 固件 Rootkit，在启动期间修改内核
BlackLotus： UEFI Bootkit，可绕过 Windows 11 安全启动
ESPecter： ESP（EFI 系统分区）Bootkit，修改启动管理器
MoonBounce： SPI Flash 植入物，修改 CORE_DXE 模块
FinSpy UEFI： 具有 UEFI 持久化的监控软件
步骤 5：模拟固件进行动态分析
在模拟环境中运行提取的固件：
# 使用 QEMU 模拟基于 ARM 的 IoT 固件
# 挂载提取的文件系统
sudo mount -o loop squashfs-root.img /mnt/firmware
# 使用 QEMU 用户态模拟 chroot 进入固件
sudo cp /usr/bin/qemu-arm-static /mnt/firmware/usr/bin/
sudo chroot /mnt/firmware /bin/sh
# 或使用 firmadyne 进行自动化固件模拟
python3 fat.py firmware.bin
# 在模拟固件中进行网络服务分析
# 扫描开放端口和服务
nmap -sV localhost -p 1-65535
# 监控模拟固件的网络流量
tcpdump -i tap0 -w firmware_traffic.pcap
步骤 6：记录固件分析结果
整理完整的固件分析发现：
分析文档应涵盖：
- 固件镜像元数据（厂商、型号、版本、构建日期）
- 提取结果（文件系统类型、内核版本、架构）
- 与已知正常基线相比的修改文件
- 发现的后门二进制文件及逆向工程发现
- 硬编码凭据和未授权访问机制
- 网络服务及其安全状态
- UEFI/BIOS 完整性验证结果
- 提取的 IoC（IP、域名、文件哈希、SSH 密钥）
- 修复建议（重刷固件、更换设备、升级）
核心概念
| 术语 | 定义 |
|---|---|
| 固件 | 永久存储在设备硬件（Flash 存储器、EEPROM）中的软件，控制设备的底层操作和启动过程 |
| UEFI（统一可扩展固件接口） | 取代传统 BIOS 的现代系统固件；提供启动服务、运行时服务和模块化驱动架构 |
| SPI Flash | 存储 UEFI/BIOS 固件的串行外设接口 Flash 存储芯片；可被读取和修改以实现持久化 |
| 安全启动 | UEFI 功能，验证启动组件的数字签名以防止启动期间未授权代码的执行 |
| SquashFS | 只读压缩文件系统，常用于嵌入式 Linux 固件以实现高效存储 |
| Bootkit | 感染启动过程（MBR、VBR、UEFI）以在操作系统之前加载并规避操作系统级安全的恶意软件 |
| 固件模拟 | 在虚拟环境（QEMU、firmadyne）中运行提取的固件以分析行为，无需物理硬件 |
工具与系统
- binwalk：固件分析工具，用于扫描、提取和分析固件镜像中嵌入的文件系统和压缩数据
- UEFITool：开源 UEFI 固件镜像解析器和提取器，用于分析 UEFI 卷、模块和驱动
- chipsec：Intel 的开源平台安全评估框架，包括 SPI Flash、安全启动和 UEFI 分析
- firmadyne：面向基于 Linux 的嵌入式设备的自动化固件分析和模拟平台
- Ghidra：NSA 的逆向工程工具，支持 ARM、MIPS 和其他嵌入式架构，用于固件二进制分析
常见场景
场景：调查具有持久后门的受攻陷路由器
背景：某网络路由器即使在恢复出厂设置后仍持续出现可疑行为（意外的 DNS 解析、向未知 IP 发送流量）。怀疑存在固件级别的入侵。
方法：
- 使用 JTAG/UART 调试接口或厂商管理工具从路由器转储固件
- 使用 binwalk 提取文件系统，识别 Linux 发行版和内核版本
- 将文件哈希与厂商提供的已知正常固件镜像进行比较
- 在启动脚本（rcS、inittab、crontab）中搜索后门条目
- 使用 Ghidra（ARM/MIPS 架构）分析任何被修改或新增的二进制文件
- 检查硬编码凭据、未授权 SSH 密钥和反弹 Shell 脚本
- 模拟固件以观察网络行为并识别 C2 通信
注意事项：
- 不要从厂商网站下载固件来分析（下载的是干净版本，而非受攻陷的版本）
- 不要忽视可能钩挂系统函数的被修改共享库（.so 文件）
- 不要遗漏存储在主文件系统之外的固件修改（引导加载程序、配置分区）
- 不要忘记同时检查主固件分区和备用固件分区（某些设备有双 Bank Flash）
输出格式
固件恶意软件分析报告
===================================
设备： NetGear R7000 路由器
固件版本： V1.0.11.116（已被修改）
架构： ARM（小端序）
文件系统： SquashFS（Linux 3.4.103）
转储方式： UART 调试控制台
完整性检查
厂商固件哈希： aaa111bbb222...（干净的 V1.0.11.116）
被分析固件哈希： ccc333ddd444...（不匹配）
被修改文件： 与厂商基线相比，14 个文件存在差异
后门发现
[!] /usr/bin/httpd_backdoor（新二进制文件，不在厂商固件中）
架构：ARM 32 位
功能：向 185.220.101[.]42:4444 发起反弹 Shell
持久化：已添加到 /etc/init.d/rcS
[!] /etc/shadow 已被修改
root 密码被更改为已知哈希
新增 UID 0 的用户 'admin2'
[!] /etc/crontab 已被修改
添加：*/5 * * * * /usr/bin/httpd_backdoor
[!] /root/.ssh/authorized_keys（新文件）
包含攻击者的 SSH 公钥
提取的 IoC
C2 IP： 185.220.101[.]42
C2 端口： 4444
SSH 密钥： ssh-rsa AAAA... attacker@control
后门哈希： eee555fff666...
修复措施
1. 通过 TFTP 恢复模式刷入干净的厂商固件
2. 更改所有设备凭据
3. 升级到最新固件版本
4. 如可用，启用固件完整性检查
5. 监控是否存在再次入侵的指标