搜索

[11380] 2017-05-24_最新SMB僵尸网络利用了7个NSA工具，而WannaCry只用了两个……

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-05-24_最新SMB僵尸网络利用了7个NSA工具，而WannaCry只用了两个…… 最 新 S M B 僵 尸 网 络 利 用 了 7 个 N S A 工 具 ， 而 W a n n a C r y 只 用 了 两 个 … … 米 雪 儿   F r e e B u f   2 0 1 7 - 0 5 - 2 4 近 日 ， 研 究 人 员 检 测 出 了 一 种 新 的 蠕 虫 正 在 通 过 S M B 传 播 ， 但 与 W a n n a C r y 勒 索 软 件 的 蠕 虫 有 所 不 同 ， 这 种 蠕 虫 病 毒 使 用 了 7 种 N S A 工 具 ， 而 W a n n a C r y 仅 使 用 了 两 种 ， 这 是 否 意 味 着 该 蠕 虫 将 为 全 球 网 络 带 来 更 为 严 重 的 冲 击 ？ 据 悉 ， 该 蠕 虫 由 安 全 研 究 人 员 M i r o s l a v   S t a m p a r （ 克 罗 地 亚 政 府 C E R T 成 员 ， 以 及 用 于 检 测 和 利 用 S Q L 注 入 漏 洞 的 s q l m a p 工 具 的 开 发 者 ） 于 上 周 三 （ 5 月 1 7 日 ） 在 自 己 搭 建 的 S M B 蜜 罐 中 发 现 。 E t e r n a l R o c k s 使 用 了 使 用 了 7 种 种 N S A 工 具 工 具 该 蠕 虫 被 S t a m p a r 命 名 为 “ E t e r n a l R o c k s ” ， 研 究 人 员 在 一 个 样 本 中 发 现 了 该 蠕 虫 的 可 执 行 属 性 ， 它 通 过 使 用 6 个 以 S M B 为 中 心 的 N S A 工 具 来 感 染 网 络 上 暴 露 S M B 端 口 的 计 算 机 。 E T E R N A L B L U E 、 E T E R N A L C H A M P I O N 、 E T E R N A L R O M A N C E 、 以 及 E T E R N A L S Y N E R G Y   4 个 N S A 工 具 主 要 用 于 攻 击 脆 弱 计 算 机 设 备 上 的 S M B 漏 洞 ， 而 S M B T O U C H 和 A R C H I T O U C H   是 2 个 用 于 S M B 漏 洞 扫 描 的 N S A 工 具 。 一 旦 该 蠕 虫 获 取 了 初 步 的 立 足 点 ， 那 么 它 将 使 用 另 一 个 N S A 工 具 — — D O U B L E P U L S A R 来 感 染 其 他 新 的 易 受 攻 击 的 计 算 机 。
影 响 超 过 2 4 万 受 害 者 的 W a n n a C r y 勒 索 软 件 也 是 使 用 S M B 漏 洞 来 感 染 计 算 机 设 备 ， 并 将 病 毒 传 播 给 新 的 受 害 者 。 不 过 ， 与 E t e r n a l R o c k s 不 同 的 是 ， W a n n a C r y 的 S M B 蠕 虫 只 使 用 了 E T E R N A L B L U E 和 D O U B L E P U L S A R 两 种 N S A 工 具 ， E T E R N A L B L U E 用 于 初 始 攻 击 ， D O U B L E P U L S A R 用 于 将 病 毒 传 播 至 新 的 设 备 上 ， 而 此 次 发 现 的 E t e r n a l R o c k s 却 包 含 7 种 N S A 工 具 。 E t e r n a l R o c k s 更 复 杂 ， 但 危 险 更 小 更 复 杂 ， 但 危 险 更 小 作 为 蠕 虫 ， E t e r n a l R o c k s 远 不 如 W a n n a C r y 危 险 ， 因 为 它 目 前 并 没 有 传 送 任 何 恶 意 内 容 。 然 而 ， 这 并 不 意 味 着 E t e r n a l R o c k s 就 很 简 单 。 据 S t a m p a r 所 言 ， 实 际 情 况 恰 恰 相 反 。 对 于 初 学 者 来 说 ， E t e r n a l R o c k s 比 W a n n a C r y 的 S M B 蠕 虫 组 件 更 为 复 杂 。 一 旦 成 功 感 染 了 受 害 者 ， 该 蠕 虫 就 会 使 用 两 阶 段 的 安 装 过 程 ， 且 延 迟 第 二 阶 段 。 在 第 一 阶 段 中 ， E t e r n a l R o c k s 在 感 染 的 主 机 上 获 得 权 限 ， 随 后 下 载 T o r 客 户 端 ， 并 将 其 指 向 位 于 暗 网 的 一 个 .   O n i o n 域 名 C ＆ C 服 务 器 上 。 只 有 经 过 预 定 义 的 休 眠 期 （ 目 前 为 2 4 小 时 ） ， C ＆ C 服 务 器 才 会 做 出 回 应 。 这 种 长 时 间 的 延 迟 很 有 可 能 帮 助 蠕 虫 绕 过 沙 盒 安 全 检 测 和 安 全 研 究 人 员 的 分 析 ， 因 为 很 少 有 人 会 花 费 整 整 一 天 的 时 间 等 待 C ＆ C 服 务 器 做 出 回 应 。 没 有 开 关 （ 没 有 开 关 （ k i l l   s w i t c h ） 域 名 ） 域 名 此 外 ， E t e r n a l R o c k s 还 使 用 了 与 W a n n a C r y 的 S M B 蠕 虫 相 同 的 文 件 名 称 ， 这 是 另 一 个 试 图 愚 弄 安 全 研 究 人 员 将 其 错 误 分 类 的 尝 试 。 但 是 与 W a n n a C r y 不 同 的 是 ， E t e r n a l R o c k s 并 没 有 “ 开 关 域 名 （ k i l l   s w i t c h ） ” 。 在   W a n n a C r y 中 ， 安 全 研 究 人 员 正 是 利 用 该 “ 开 关 域 名 ” 功
能 ， 成 功 阻 止 了 W a n n a C r y 的 传 播 。 在 初 始 休 眠 期 到 期 后 ， C ＆ C 服 务 器 便 会 做 出 响 应 ， E t e r n a l R o c k s 也 开 始 进 入 第 二 阶 段 的 安 装 过 程 ， 下 载 一 个 以 s h a d o w b r o k e r s . z i p 命 名 的 第 二 阶 段 恶 意 软 件 组 件 。 然 后 ， E t e r n a l R o c k s 便 开 始 I P 快 速 扫 描 过 程 ， 并 尝 试 连 接 到 任 意 I P 地 址 中 。 E t e r n a l R o c k s 可 以 随 时 实 现 武 器 化 可 以 随 时 实 现 武 器 化 由 于 E t e r n a l R o c k s 利 用 了 大 量 N S A 工 具 ， 缺 乏 “ 开 关 域 名 ” ， 且 在 两 个 安 装 过 程 间 设 置 了 休 眠 期 ， 一 旦 E t e r n a l R o c k s 开 发 者 决 定 用 勒 索 软 件 、 银 行 木 马 、 R A T 或 其 他 任 何 东 西 来 将 其 武 器 化 ， 那 么 E t e r n a l R o c k s 可 能 会 对 那 些 将 脆 弱 的 S M B 端 口 暴 露 在 网 络 上 的 计 算 机 构 成 严 重 威 胁 。 初 步 看 来 ， 该 蠕 虫 似 乎 还 在 测 试 过 程 中 ， 或 是 其 开 发 者 正 在 测 试 蠕 虫 未 来 可 能 实 现 的 威 胁 。 然 而 ， 这 并 不 意 味 着 E t e r n a l R o c k s 是 无 害 的 。 攻 击 者 可 以 通 过 C & C 服 务 器 对 受 此 蠕 虫 感 染 的 计 算 机 设 备 发 出 指 令 进 行 控 制 ， 此 外 ， 蠕 虫 的 开 发 者 还 可 以 利 用 此 隐 藏 的 通 信 通 道 将 新 的 恶 意 软 件 发 送 到 之 前 已 被 E t e r n a l R o c k s 感 染 的 计 算 机 中 。 此 外 ， 具 有 后 门 功 能 的 N S A 工 具 — — D O U B L E P U L S A R 仍 然 在 受 到 E t e r n a l R o c k s 感 染 的 计 算 机 上 运 行 。 不 幸 的 是 ， E t e r n a l R o c k s 的 开 发 者 并 没 有 采 取 任 何 措 施 来 保 护 D O U B L E P U L S A R ， D O U B L E P U L S A R 目 前 在 默 认 无 保 护 的 状 态 下 运 行 ， 这 意 味 着 ， 其 他 攻 击 者 也 可 以 利 用 已 经 感 染 了 E t e r n a l R o c k s 的 计 算 机 设 备 中 的 后 门 ， 并 通 过 该 后 门 安 装 新 的 恶 意 软 件 到 计 算 机 中 。 有 兴 趣 可 以 前 往 g i t h u b   ， 查 看 更 多 关 于 I O C s 和 蠕 虫 感 染 过 程 的 信 息 。 一 个 免 费 的 一 个 免 费 的   S M B 目 前 ， 有 很 多 攻 击 者 正 在 扫 描 运 行 旧 版 和 未 修 补 版 本 S M B 服 务 的 计 算 机 。 系 统 管 理 员 们 也 已 经 注 意 到 此 事 ， 并 开 始 修 复 存 在 漏 洞 的 计 算 机 ， 或 是 禁 用 旧 版 的 S M B v 1   协 议 ， 从 而 逐 渐 减 少 被 E t e r n a l R o c k s 感 染 的 机 器 数 量 。   此 外 ， 恶 意 软 件 （ 如 A d y l k u z z ） 也 开 始 关 闭 S M B 端 口 ， 防 止 被 其 他 威 胁 进 一 步 利 用 ， 此 举 也 有 助 于 减 少 E t e r n a l R o c k s 和 其 他 S M B 狩 猎
（ S M B - h u n t i n g ） 恶 意 软 件 的 潜 在 目 标 数 量 。 F o r c e p o i n t 、 C y p h o r t 和 S e c d o 的 报 告 详 细 介 绍 了 目 前 针 对 具 有 S M B 端 口 的 计 算 机 的 其 他 威 胁 。 不 管 怎 么 说 ， 系 统 管 理 员 能 够 越 快 为 他 们 的 系 统 打 上 补 丁 越 好 。 S t a m p a r 表 示 ， “ 目 前 ， 该 蠕 虫 正 在 与 系 统 管 理 员 之 间 进 行 一 场 时 间 竞 赛 ， 如 果 它 在 管 理 员 打 补 丁 之 前 就 成 功 感 染 计 算 机 ， 那 么 其 开 发 者 便 可 以 随 时 将 其 武 器 化 ， 组 织 进 一 步 攻 击 行 动 ， 无 碍 于 后 期 什 么 时 候 能 打 上 补 丁 。 ” * 参 考 来 源 ： b l e e p i n g c o m p u t e r ， 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理