搜索

[11782] 2017-09-14_湖南某科技公司疑似利用Struts2漏洞传毒挖矿

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-18
2017-09-14_湖南某科技公司疑似利用Struts2漏洞传毒挖矿 湖 南 某 科 技 公 司 疑 似 利 用 S t r u t s   2 漏 洞 传 毒 挖 矿 瑞 星   F r e e B u f   2 0 1 7 - 0 9 - 1 4 近 日 ， 瑞 星 收 到 用 户 求 助 ， 表 示 内 网 中 有 大 量 服 务 器 中 毒 ， 并 且 每 台 机 器 近 日 ， 瑞 星 收 到 用 户 求 助 ， 表 示 内 网 中 有 大 量 服 务 器 中 毒 ， 并 且 每 台 机 器 C P U 占 用 极 高 ， 导 致 网 内 业 务 系 统 无 占 用 极 高 ， 导 致 网 内 业 务 系 统 无 法 正 常 工 作 。 经 过 瑞 星 安 全 专 家 调 查 取 证 分 析 发 现 ， 这 又 是 一 个 由 于 没 有 及 时 更 新 法 正 常 工 作 。 经 过 瑞 星 安 全 专 家 调 查 取 证 分 析 发 现 ， 这 又 是 一 个 由 于 没 有 及 时 更 新 S t r u t s   2 漏 洞 ， 导 致 内 网 沦 陷 漏 洞 ， 导 致 内 网 沦 陷 的 案 例 ， 黑 客 利 用 漏 洞 植 入 挖 矿 软 件 ， 疯 狂 消 耗 用 户 机 器 资 源 ， 帮 助 其 赚 钱 。 的 案 例 ， 黑 客 利 用 漏 洞 植 入 挖 矿 软 件 ， 疯 狂 消 耗 用 户 机 器 资 源 ， 帮 助 其 赚 钱 。 瑞 星 安 全 专 家 在 中 毒 的 机 器 中 发 现 了 门 罗 币 挖 矿 病 毒 ， 该 病 毒 伪 装 成 e x p l o r e r . e x e ， 运 行 之 后 会 释 放 挖 矿 程 序 挖 掘 门 罗 币 ， 导 致 受 害 者 计 算 机 资 源 极 度 消 耗 ， 这 就 是 导 致 该 内 网 机 器 卡 顿 ， 无 法 正 常 工 作 的 重 要 原 因 。 瑞 星 安 全 专 家 进 一 步 分 析 发 现 ， 该 攻 击 者 所 使 用 的 矿 池 域 名 为 w a k u a n g . a i m e z i . c o m ， 这 并 不 是 一 个 互 联 网 公 开 的 矿 池 ， 此 域 名 很 可 能 是 攻 击 者 自 己 的 域 名 ， 通 过 查 询 该 域 名 的 w h o i s 信 息 ， 查 到 了 域 名 注 册 人 及 注 册 电 话 。 通 过 注 册 电 话 又 查 到 了 一 家 公 司 ， 湖 南 郴 州 某 软 件 开 发 公 司 ， 通 过 调 查 发 现 ， 此 域 名 注 册 人 正 是 该 公 司 股 东 ， 并 且 该 域 名 注 册 电 话 还 曾 出 售 过 比 特 币 ， 同 时 ， 该 公 司 还 做 V P N 代 理 服 务 ， 初 步 可 以 确 认 正 是 这 家 公 司 发 起 了 漏 洞 攻 击 。 目 前 ， 该 用 户 内 网 中 的 病 毒 均 已 被 瑞 星 清 除 ， 同 时 瑞 星 已 将 分 析 资 料 移 交 给 当 地 公 安 机 关 ， 进 一 步 调 查 取 证 将 由 当 地 公 安 机 关 进 行 。 瑞 星 安 全 专 家 表 示 ， 大 多 数 企 业 网 络 安 全 意 识 较 差 ， 没 有 专 职 人 员 维 护 、 管 理 机 制 不 健 全 ， 一 旦 出 现 安 全 问 题 便 束 手 无 策 。 瑞 星 安 全 专 家 建 议 ， 企 业 应 经 常 关 注 安 全 信 息 与 漏 洞 更 新 情 况 ， 同 时 根 据 自 身 的 状 况 选 择 专 门 的 安 全 产 品 和 服 务 ， 健 全 企 业 内 部 管 理 机 制 ， 降 低 企 业 的 安 全 风 险 。 病 毒 详 细 分 析 如 下 ： 病 毒 详 细 分 析 如 下 ： 1 、 病 毒 初 始 样 本 分 析 、 病 毒 初 始 样 本 分 析 病 毒 初 始 样 本 为 D r o p p e r ， 伪 装 成 E x p l o r e r 图 标 ， 用 E 语 言 开 发 ， 运 行 后 释 放 出 挖 矿 程 序 和 守 护 服 务 程 序 到 系 统 F o n t s 目 录 ， 并 设 置 隐 藏 属 性 。 图 ： 病 毒 主 体 伪 装 图 标
挖 矿 程 序 ： 挖 矿 程 序 ： C : W i n d o w s F o n t s c o n h o s t s . e x e 负 责 挖 矿 获 取 门 罗 币 负 责 挖 矿 获 取 门 罗 币 服 务 程 序 ： C : W i n d o w s F o n t s c s r s s . e x e 负 责 启 动 挖 矿 程 序   c o n h o s t s . e x e 启 动 脚 本 ： C : W i n d o w s F o n t s 1 . b a t 负 责 启 动 服 务 程 序 c s r s s . e x e 表 ： 释 放 文 件 功 能 释 放 完 相 应 的 文 件 之 后 ， 运 行 批 处 理 1 . b a t   执 行 相 应 功 能 。 批 处 理 执 行 完 毕 后 调 用 w e v t u t i l 删 除 系 统 的 日 志 。 图 ： 删 除 日 志 的 命 令 行 参 数 2 、 、 b a t 批 处 理 脚 本 分 析 ： 批 处 理 脚 本 分 析 ： 批 处 理 脚 本 主 要 负 责 传 递 命 令 行 参 数 ， 运 行 c s r s s . e x e 创 建 守 护 服 务 ， 设 置 文 件 属 性 ， 导 入 r e g 文 件 添 加 服 务 描 述 。 图 ： 脚 本 内 容 批 处 理 中 启 动 脚 本 批 处 理 中 启 动 脚 本 : [ c m d 运 行 的 程 序 运 行 的 程 序 ] [ 安 装 还 是 卸 载 安 装 还 是 卸 载 ] [ 服 务 名 称 服 务 名 称 ] [ 被 代 理 程 序 被 代 理 程 序 ] c s r s s . e x e i n s t a l l W i n d w o s A T E c o n h o s t s 表 ： 批 处 理 含 义 3 、 服 务 程 序 、 服 务 程 序 c s r s s 分 析 ： 分 析 ： C s r s s 程 序 为 一 开 源 服 务 管 理 程 序 N S S M , ， 功 能 类 似 于 w i n d o w s 的 服 务 管 理 器 ， 相 比 w i n d o w s 自 带 服 务 管 理 器 的 扩 展 了 一 些 功 能 。 从 系 统 角 度 来 看   N S S M   把 自 己 设 置 为 系 统 服 务 （ 而 不 是 把 被 代 理 的 应 用 程 序 设 置 为 服 务 ） ，   运 行 之 后 会 启 动 相 应 的 应 用 程 序 ， 并 一 直 检 测 此 程 序 是 否 存 在 ， 如 果 此 程 序 意 外 终 止 ， N S S M   将 会 重 新 启 动 此 程 序 ， 并 且 将 相 关 情 况 记 录 到 系 统 事 件 日 志 中 ， 以 便 用 户 可 以 了 解 应 用 程 序 为 什 么 不 能 正 常 运 行 。 此 案 例 中 ， 病 毒 作 者 这 样 利 用 N S S M 启 动 挖 矿 程 序 ， 传 入 挖 矿 程 序 的 名 字 c o n h o s t s   和 矿 池 的 地 址 。 N S S M 启 动 后 会 一 直 守 护 着 挖 矿 程 序 的 运 行 ， 如 果 退 出 则 重 新 启 动 。
图 ： 服 务 信 息 图 ： 启 动 参 数 4 、 挖 矿 程 序 分 析 、 挖 矿 程 序 分 析 挖 矿 程 序 c o n h o s t s . e x e 使 用 的 是 开 源 的 c p u m i n e r 软 件 ， 命 令 行 参 数 指 定 了 矿 池 地 址 和 门 罗 币 钱 包 地 址 。 矿 池 地 址 矿 池 地 址 w a k u a n g . a i m e z i . c o m 门 罗 币 钱 包 地 址 4 2 z p X a F j F J Z a j 5 5 h 6 h 8 c t R X C a L s a 2 N n M J 3 f N U 7 3 T o 3 J 8 Y Z U s Z J r v e h m S e b z Q B i 5 s D b c 6 B n u 4 y T 7 8 b N 1 2 n t z y p b t g 7 c 8 d i 8 t 表 ： 矿 池 和 帐 号 释 放 了 一 些   挖 矿 程 序 c p u m i n e r 需 要 用 到 的 D L L 图 ： 挖 矿 程 序 需 要 用 到 的 D L L 病 毒 有 很 多 变 种 ， 下 图 是 自 解 压 包 的 挖 矿 变 种 图 ： 自 解 压 包 变 种 运 行 之 后 释 放 出 挖 矿 程 序 和 库 文 件
图 ： 压 缩 包 内 部 病 毒 其 他 变 种 也 是 同 样 套 路 ， 只 不 过 文 件 名 有 所 修 改 ， 会 伪 装 为   s v c h o s t . e x e   、 t a s k h o s t . e x e 等 。 溯 源 追 踪 溯 源 追 踪 为 了 弄 清 背 后 的 攻 击 者 ， 瑞 星 做 了 简 单 的 溯 源 分 析 ， 攻 击 者 使 用 的 矿 池 域 名 w a k u a n g . a i m e z i . c o m 并 不 是 一 个 互 联 网 公 开 的 矿 池 域 名 ， 此 域 名 很 大 可 能 是 攻 击 者 自 己 的 域 名 ， 查 寻 了 下 该 域 名 的 w h o i s 信 息 ， 如 下 ： 图 ： 域 名 信 息 通 过 域 名 注 册 电 话 查 询 到 一 家 公 司 ： 图 ： 公 司 信 息 域 名 注 册 者 z u o l i n   z h o u   是 此 公 司 股 东 ， 可 见 此 域 名 正 是 此 公 司 注 册 。
图 ： 公 司 股 东 此 手 机 号 码 还 曾 经 出 售 比 特 币 图 ： 出 售 比 特 币 图 ： 交 易 信 息
图 ： 公 司 主 营 业 务 I O C M D 5 : 3 E 0 5 C F F 8 6 B 7 C 5 1 D 5 6 A B 9 C 2 A 7 9 C D 0 2 5 B 9 D C B 5 1 2 3 7 6 F 8 B 9 A 7 A 5 5 2 1 A A 0 5 9 1 0 B 5 1 5 2 E 3 4 2 7 D 9 F 4 3 9 A E B E F A 3 D 9 C 2 9 9 E 2 A 9 4 A F 3 U R L ： ： w a k u a n g . a i m e z i . c o m 钱 包 地 址 ： 钱 包 地 址 ： 4 2 z p X a F j F J Z a j 5 5 h 6 h 8 c t R X C a L s a 2 N n M J 3 f N U 7 3 T o 3 J 8 Y Z U s Z J r v e h m S e b z Q B i 5 s D b c 6 B n u 4 y T 7 8 b N 1 2 n t z y p b t g 7 c 8 d i 8 t * 本 文 作 者 ： 瑞 星 ； 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理