搜索

[13534] 2018-12-15_“驱动人生”利用高危漏洞传播病毒，半天感染数万台电脑

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-12-15_“驱动人生”利用高危漏洞传播病毒，半天感染数万台电脑 “ 驱 动 人 生 ” 利 用 高 危 漏 洞 传 播 病 毒 ， 半 天 感 染 数 万 台 电 脑 火 绒 安 全 实 验 室   F r e e B u f   2 0 1 8 - 1 2 - 1 5 一 、 概 述 一 、 概 述 1 2 月 1 4 日 ， 火 绒 安 全 团 队 发 现 " 驱 动 人 生 " 旗 下 多 款 软 件 携 带 后 门 病 毒 D T S t e a l e r ， 仅 半 天 时 间 感 染 了 数 万 台 电 脑 。 该 病 毒 进 入 电 脑 后 ， 继 续 通 过 " 永 恒 之 蓝 " 高 危 漏 洞 进 行 全 网 传 播 （ 特 别 是 政 企 单 位 局 域 网 ） ， 并 回 传 被 感 染 电 脑 的 I P 地 址 、 C P U 型 号 等 信 息 。   目 前 截 获 的 病 毒 没 有 携 带 其 他 攻 击 模 块 ， 只 是 " 潜 伏 " 。 病 毒 服 务 器 只 开 放 了 不 到 1 0 个 小 时 即 关 闭 ， 但 是 已 经 感 染 数 万 台 电 脑 。 根 据 火 绒 安 全 团 队 分 析 发 现 ，   " 驱 动 人 生 " 、 " 人 生 日 历 " 、 " U S B 宝 盒 " 等 软 件 的 用 户 会 感 染 该 病 毒 。 病 毒 会 同 时 执 行 两 个 任 务 ： 1 、 通 过 " 永 恒 之 蓝 " 漏 洞 进 行 大 面 积 传 播 。 由 于 政 府 、 企 业 等 局 域 网 用 户 使 用 的 系 统 较 为 老 旧 ， 存 在 大 量 未 修 复 的 漏 洞 ， 因 此 受 到 的 威 胁 较 大 ； 2 、 下 载 其 它 病 毒 模 块 ， 回 传 被 感 染 电 脑 的 I P 地 址 、 C P U 型 号 等 信 息 。 根 据 " 火 绒 威 胁 情 报 系 统 " 监 测 ， 该 病 毒 于 1 4 日 下 午 1 4 点 前 后 开 始 传 播 ， 之 后 逐 步 加 大 传 播 速 度 ， 被 感 染 电 脑 数 量 迅 速 上 升 ， 到 晚 间 病 毒 服 务 器 关 闭 ， 停 止 传 播 。 火 绒 工 程 师 推 测 ， 病 毒 团 伙 可 能 是 在 做 传 播 测 试 ， 不 排 除 后 续 进 行 更 大 规 模 的 传 播 。 火 绒 " 企 业 版 " 和 " 个 人 版 " 无 需 升 级 即 可 拦 截 、 查 杀 该 病 毒 。 火 绒 团 队 建 议 政 府 、 企 业 、 学 校 、 医 院 等 受 此 类 病 毒 威 胁 较 大 的 局 域 网 用 户 ， 安 装 使 用 " 火 绒 企 业 版 " （ 可 免 费 使 用 3 个 月 ） ， 可 有 效 防 御 所 有 通 过 " 永 恒 之 蓝 " 等 高 危 漏 洞 传 播 的 各 种 病 毒 。 请 广 大 政 企 单 位 用 户 从 火 绒 官 网 申 请 免 费 使 用 " 火 绒 企 业 版 " ， 网 址 ： h t t p s : / / w w w . h u o r o n g . c n / e s s m g r / e s s r e g 。 二 、 样 本 分 析 二 、 样 本 分 析 火 绒 通 过 火 绒 终 端 威 胁 情 报 系 统 检 测 ， 自 1 2 月 1 4 日 午 时 起 有 病 毒 正 在 通 过 驱 动 人 生 的 升 级 推 送 功 能 进 行 大 量 传 播 。 驱 动 人 生 升 级 推 送 程 序 会 通 过 网 址 链 接 （ h x x p : / / p u l l . u p d a t e . a c k n g . c o m / c a l e n d a r / P u l l E x e c u t e / F 7 9 C B 9 D 2 8 9 3 B 2 5 4 C C 7 5 D F B 7 F 3 E 4 5 4 A 6 9 . e x e ） 将 病 毒 样 本 下 载 到 本 地 进 行 执 行 。 驱 动 人 生 升 级 程 序 下 载 病 毒 样 本 动 作 ， 如 下 图 所 示 ： 下 载 病 毒 样 本 该 病 毒 被 下 载 到 本 地 运 行 后 ， 会 将 自 身 释 放 到 S y s t e m 3 2 （ 或 S y s W O W 6 4 ） 目 录 下 （ C : W i n d o w s S y s W O W 6 4 s v h o s t . e x e ） ， 将 该 可 执 行 文 件 注 册 为 系 统 服 务 继 续 执 行 恶 意 代 码 ， 注 册 服 务 名 为 D d r i v e r 。 病 毒 运 行 进 程 关 系 图 ， 如 下 图 所 示 ：
病 毒 运 行 进 程 关 系 图 该 服 务 运 行 后 ， 首 先 会 在 S y s t e m 3 2 （ 或 S y s W O W 6 4 ） 释 放 s v h h o s t . e x e 进 行 执 行 ， 该 程 序 我 们 暂 且 称 之 为 代 理 病 毒 ； 之 后 再 创 建 s v v h o s t . e x e ， 该 病 毒 用 于 通 过 永 恒 之 蓝 漏 洞 将 s v h o s t . e x e 在 网 络 中 进 行 传 播 ， 下 文 分 两 个 部 分 对 两 个 不 同 的 病 毒 模 块 进 行 分 析 。 永 恒 之 蓝 漏 洞 攻 击 永 恒 之 蓝 漏 洞 攻 击 s v v h o s t . e x e 运 行 后 会 对 当 前 所 在 网 络 扫 描 ， 使 用 永 恒 之 蓝 漏 洞 进 行 攻 击 。 攻 击 成 功 后 ， 恶 意 代 码 会 通 过 C e r t U t i l 从 C & C 服 务 器 下 载 病 毒 到 被 攻 击 终 端 进 行 执 行 。 漏 洞 攻 击 及 火 绒 黑 客 入 侵 拦 截 截 图 ， 下 图 所 示 ： 漏 洞 攻 击 及 火 绒 黑 客 入 侵 拦 截 截 图 被 恶 意 代 码 执 行 的 C e r t U t i l 下 载 命 令 行 参 数 ， 如 下 图 所 示 ：
C e r t U t i l 下 载 相 关 命 令 行 参 数 恶 意 代 码 下 载 到 被 攻 击 终 端 的 病 毒 文 件 与 s v h o s t 相 同 ， 下 载 后 文 件 路 径 为 c : i n s t a l l . e x e ， C & C 服 务 器 地 址 为 ： h x x p : / / d l . h a q o . n e t 。 s v h o s t . e x e 与 代 理 进 程 与 代 理 进 程 父 进 程 s v h o s t . e x e 首 先 会 收 集 本 机 信 息 ， 之 后 通 过 H T T P 请 求 将 在 本 机 收 集 到 的 数 据 回 传 至 C & C 服 务 器 地 址 （ h x x p : / / i . h a q o . n e t / i . p n g ） 。 被 回 传 的 数 据 信 息 ， 如 下 图 所 示 ：
收 集 系 统 信 息 请 求 链 接 示 例 ， 如 下 图 所 示 ： 请 求 链 接 示 例 获 取 本 机 信 息 数 据 ， 如 下 图 所 示 ：
获 取 系 统 信 息
获 取 安 全 软 件 运 行 状 态
拼 接 请 求 参 数 之 后 s v h o s t . e x e 会 从 C & C 服 务 器 获 取 到 加 密 的 恶 意 代 码 下 载 链 接 ， 被 下 载 的 恶 意 代 码 执 行 方 式 分 为 两 种 ： 在 代 理 进 程 内 存 中 加 载 执 行 和 直 接 下 载 到 本 地 （ s v v h o s t . e x e ） 运 行 。 暂 时 ， 被 下 载 执 行 的 恶 意 代 码 只 有 s v v h o s t . e x e 用 来 进 行 永 恒 之 蓝 传 播 （ C & C 服 务 器 地 址 ： h x x p : / / d l . h a q o . n e t / e b . e x e z ） ， 内 存 加 载 执 行 相 关 的 功 能 链 接 暂 时 没 有 被 下 发 ， 我 们 初 步 推 测 病 毒 尚 处 于 测 试 阶 段 。 相 关 代 码 ， 如 下 图 所 示 ：
解 密 控 制 命 令

根 据 控 制 命 令 执 行 远 程 恶 意 代 码 通 过 F i l e M a p p i n g 发 送 恶 意 代 码 代 理 进 程 获 取 到 恶 意 代 码 数 据 后 进 行 执 行 ， 如 下 图 所 示 ： 代 理 进 程 执 行 恶 意 代 码 根 据 火 绒 终 端 威 胁 情 报 系 统 ， 我 们 发 现 下 发 执 行 病 毒 文 件 的 升 级 程 序 路 径 多 指 向 驱 动 人 生 旗 下 应 用 。 相 关 升 级 程 序 路 径 信 息 ， 如 下 图 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理