搜索

[14519] 2019-08-27_记一次勒索病毒的攻防

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-08-27_记一次勒索病毒的攻防 记 一 次 勒 索 病 毒 的 攻 防 f i s h 1 9 8 3   F r e e B u f   2 0 1 9 - 0 8 - 2 7 一 、 现 场 一 、 现 场 话 说 3 . 1 4 号 早 上 ， 小 Z 像 平 常 一 样 来 到 公 司 ， 发 现 一 帮 同 事 在 一 台 电 脑 前 围 观 ， 不 过 各 个 表 情 诧 异 的 样 子 ， 他 也 好 奇 的 凑 过 去 看 看 有 啥 新 奇 的 ， 电 脑 里 除 了 系 统 文 件 ， 无 一 例 外 被 加 了 T i g e r 4 4 4 4 的 后 缀 。 中 勒 索 病 毒 了 。 小 Z 心 里 咯 噔 一 下 ， 明 明 之 前 做 了 很 多 的 防 守 动 作 ， 为 什 么 还 是 中 招 了 ？ 二 、 监 控 平 台 二 、 监 控 平 台 这 里 先 卖 个 关 子 ， 先 看 下 小 Z 搭 建 的 安 全 监 控 平 台 。 日 志 平 台 ， 原 理 很 简 单 ， 各 种 日 志 收 集 起 来 后 ， 进 行 分 析 ， 并 作 实 时 可 视 化 展 示 。 日 志 源 包 括 I P S ， 蜜 罐 ， 杀 软 的 日 志 等 。 主 界 面 如 图 ：
小 Z 还 设 计 了 一 个 一 键 I P 调 查 的 模 块 ， 简 要 说 明 ： 输 入 I P 就 可 以 查 到 服 务 器 的 在 线 状 态 ， 名 称 和 责 任 人 （ 或 者 终 端 的 使 用 人 ） ， 服 务 器 开 放 了 哪 些 端 口 ， 有 哪 些 N A T 映 射 ， 服 务 器 的 漏 洞 信 息 ， 历 史 上 对 外 网 访 问 了 哪 些 I P ， 这 些 I P 是 否 为 新 出 现 的 I P ， 最 近 哪 些 主 机 访 问 或 者 试 图 访 问 这 台 服 务 器 ， 服 务 器 的 中 病 毒 情 况 ， 是 否 存 在 对 内 网 扫 描 的 行 为 ， 如 果 有 ， 什 么 时 间 扫 描 了 哪 些 I P ， 事 件 在 多 个 日 志 源 中 的 时 序 便 于 发 现 日 志 之 间 的 关 联 。 终 端 可 以 根 据 i p 或 者 m a c ， 工 号 等 查 询 人 员 的 基 本 信 息 ， 还 专 门 监 控 信 标 行 为 得 到 趋 势 和 频 率 ， 有 问 题 的 I P 可 以 结 合 开 源 威 胁 情 报 查 询 对 外 大 的 信 标 I P 是 否 为 恶 意 地 址 。 三 、 缘 起 三 、 缘 起 接 下 来 重 点 关 注 蜜 罐 扫 描 的 端 口 分 布 这 个 图 。 时 间 回 到 3 月 4 号 早 晨 ， 小 Z 来 到 公 司 ， 打 开 监 控 平 台 ， 对 实 时 和 历 史 的 图 像 对 安 全 事 件 进 行 分 析 ， 突 然 发 现 蜜 罐 扫 描 的 端 口 分 布 那 个 图 ， 破 天 荒 的 出 现 了 对 3 3 8 9 端 口 的 扫 描 迹 象 ， 事 出 反 常 必 有 妖 邪 ， 于 是 小 Z 点 开 的 3 3 8 9 ， 解 读 3 3 8 9 背 后 的 日 志 。 点 开 3 3 8 9 后   如 下 图 ：
最 初 是 3 月 4 号 8 点 零 8 分 左 右 ， 有 个 内 网 I P   1 0 . . . 4 1 对 蜜 罐 进 行 了 扫 描 ， 准 确 的 说 是 扫 描 被 蜜 罐 捕 捉 到 了 。 随 即 小 Z 问 了 网 络 组 这 个 I P 的 归 属 ， 原 来 是 子 公 司 的 一 台 主 机 （ 由 于 业 务 需 求 , 各 个 子 网 通 过 环 网 相 通 ） 。 之 前 介 绍 平 台 时 提 到 过 一 键 I P 调 查 ， 那 就 一 键 试 试 ， 于 是 输 入 I P : 看 来 的 确 是 在 扫 描 内 网 3 3 8 9 端 口 ， 小 Z 也 是 想 了 一 下 , 继 续 盯 着 。 （ 其 实 是 扫 描 加 破 解 ， 平 台 还 有 欠 完 善 的 地 方 ） 在 接 下 来 的 几 天 ， 通 过 监 控 平 台 ， 陆 续 发 现 有 新 的 服 务 器 I P 出 现 对 内 网 3 3 8 9 端 口 的 扫 描 ， 其 中 居 然 有 域 控 的 服 务 器 也 在 扫 描 。 情 况 紧 急 ， 于 是 小 z 告 诉 运 维 组 这 事 ， 运 维 小 哥 也 觉 得 奇 怪 ， 没 在 域 控 上 做 这 个 操 作 啊 ， 于 是 登 录 域 控 排 查 ， 居 然 发 现 被 安 装 了 a n y d e s k 等 远 控 软 件 ， 于 是 小 Z 和 运 维 一 起 对 发 生 扫 描 的 服 务 器 进 行 检 查 和 清 理 ， 确 认 系 统 干 净 后 ， 改 系 统 密 码 成 强 口 令 。 据 说 之 前 有 几 台 的 密 码 是 p a s s w 0 r d 。 四 、 攻 防 四 、 攻 防 小 Z 于 是 决 定 对 主 机 1 0 . . . 4 1 进 行 调 查 ， 于 是 小 Z 问 了 子 公 司 系 统 管 理 员 1 0 . . . 4 1 的 密 码 ， 结 果 为 1 2 3 4 5 6 ， 登 陆 主 机 调 查 。 初 步 判 断 这 台 服 务 器 是 因 为 弱 口 令 进 来 的 。 发 现 黑 客 扫 描 工 具 K p o r t s c a n 3 . e x e   ， m i m i k a t z . e x e
被 安 装 了 a n y d e s k 远 控 软 件 取 证 过 程 中 发 现 主 机 1 0 . . . 5 2 登 陆 过 主 机 ， 沟 通 管 理 员 要 登 录 权 限 进 一 步 确 认 1 0 . . . 5 2 的 问 题 ， 从 操 作 记 录 看 ， 1 8 0 . 7 6 . 1 4 6 . 8 9 从 3 月 5 号 2 3 点 4 1 开 始 （ 可 能 恢 复 的 日 志 来 看 ） 1 0 . . . 5 2 上 的 软 件 运 行 记 录 ， 基 本 判 断 这 是 黑 客 入 侵 的 入 口 。
其 实 从 l o g 记 录 可 以 看 出 ， 服 务 器 当 时 对 公 网 开 放 了 3 3 8 9 端 口 ， 用 一 个 非 a d m i n i s t r a t o r 账 户 做 远 程 运 维 ， 但 是 a d m i n i s t r a t o r 密 码 过 于 简 单 ， 暴 露 在 公 网 ， 导 致 暴 力 破 解 后 被 黑 。 查 明 原 因 后 ， 小 Z 通 知 系 统 管 理 员 进 行 了 一 系 列 的 清 理 和 加 固 工 作 。 中 毒 前 一 天 监 控 平 台 又 发 现 了 ， 新 的 攻 击 主 机 1 0 . . . 1 0 ， 小 Z 尝 试 性 的 用 1 2 3 4 5 6 登 录 了 该 服 务 器 ， 密 码 居 然 又 这 么 简 单 。 那 究 竟 黑 客 是 用 了 什 么 工 具 在 扫 描 ， 想 干 什 么 。 但 是 在 服 务 器 上 一 顿 搜 索 后 ， 没 有 发 现 任 何 工 具 。 小 Z 想 ， 可 能 是 被 删 除 了 吧 ， 于 是 e a s y r e c o v e r y 对 系 统 进 行 删 除 恢 复 。 的 确 找 到 了 很 多 可 疑 的 文 件 口 令 扫 描 器 一 堆 密 码 捞 取 工 具
口 令 字 典
内 存 密 码 和 存 储 的 各 种 凭 证 捞 取 脚 本 从 这 一 大 堆 工 具 来 分 析 ， 黑 客 只 是 暴 力 破 解 和 密 码 窃 取 ， 没 有 看 到 勒 索 软 件 等 其 他 的 攻 击 倾 向 。 于 是 小 Z 通 知 系 统 管 理 员 进 行 了 一 系 列 的 清 理 和 加 固 工 作 。 五 、 回 到 现 场 五 、 回 到 现 场 时 间 回 到 3 月 1 4 号 早 晨 ， 小 Z 于 是 放 下 书 包 ， 开 始 了 百 度 ， 搜 索 和 这 个 t i g e r 相 关 的 一 切 信 息 ， 试 了 好 几 个 解 密 工 具 结 果 还 是 不 行 ， 当 然 后 来 了 解 到 解 密 是 几 乎 不 可 能 的 。 多 少 主 机 中 毒 了 ？ 会 横 向 扩 散 吗 ？ 由 于 主 机 都 安 装 了 z a b b i x ， 所 以 显 示 z a b b i x 故 障 状 态 的 即 为 中 毒 主 机 ， 基 本 确 认 了 感 染 范 围 。 在 一 台 服 务 器 上 ， 同 事 发 现 了 t i g e r . E X E 的 可 执 行 文 件 ， 上 传 云 沙 箱 行 为 分 析 ， 加 密 文 件 行 为 ， 没 有 横 向 网 络 行 为 。
通 过 某 几 台 服 务 器 的 中 招 事 件 和 监 控 平 台 流 量 调 查 看 ， 中 毒 后 服 务 器 会 与 一 个 公 网 i p   2 1 6 . 1 0 5 . 3 8 . 1 1 的 4 4 3 端 口 通 信 。 （ 从 后 期 和 黑 客 的 邮 件 沟 通 ， 他 们 知 道 内 部 多 少 台 主 机 中 招 ， 这 个 应 该 是 个 信 令 ） 疑 问 点 ： 1 . 为 什 么 中 毒 主 机 的 杀 软 打 不 开 了 ， 是 病 毒 把 杀 软 干 掉 了 吗 ? 2 . 之 前 修 改 了 密 码 的 主 机 没 有 中 招 , 但 是 中 招 的 服 务 器 中 有 密 码 很 复 杂 的 ( 没 在 黑 客 字 典 里 ， 也 几 乎 不 可 能 破 解 ) , 为 什 么 ？ 3 . 内 网 的 攻 击 线 路 是 怎 样 的 ？ 六 、 释 疑 六 、 释 疑 疑 问 1 . 通 过 对 杀 软 日 志 分 析 ， 最 早 的 杀 软 日 志 ， 其 实 能 够 把 t i g e r 的 病 毒 体 查 杀 的   那 为 什 么 中 毒 主 机 的 杀 软 打 不 开 了 ？ 这 个 是 个 矛 盾 的 问 题 图 为   最 早 的 杀 软 记 录 ， 显 示 病 毒 被 杀 的 记 录 继 续 查 看 单 台 服 务 器 上 杀 软 的 详 细 日 志 ， 发 现 如 下 日 志 ， 日 志 的 脱 敏 信 息 ： 2 0 1 9 / 3 / 1 4   1 : 0 9 : 2 4 * 运 行 的 P C H U N T E R 6 4 . E X E   试 图 访 问   。 其 实 熟 悉 这 个 工 具 的 人 知 道 ， 一 旦 使 用 系 统 管 理 员 权 限 运 行 p c h u n t e r ， 那 么 p c h u n t e r 和 杀 软 就 直 接 在 0 环 对 抗 。 所 以 ， 这 个 基 本 可 以 解 释 疑 问 点 1 . 疑 问 2 ． 中 招 直 接 和 密 码 有 关 系 ， 这 是 小 Z 前 期 的 一 直 判 断 ， 所 以 他 认 为 把 密 码 改 了 就 能 解 决 问 题 。 但 是 一 个 同 事 的 服 务 器 说 是 很 复 杂 的 密 码 ， 根 本 不 可 能 破 解 的 ， 后 来 又 听 说 是 加 域 的 。 查 询 服 务 器 的 登 录 日 志 ， 发 现 凌 晨 都 有 子 公 司 B 的 域 管 理 员 登 录 的 记 录 。 所 以 这 几 台 中 招 的 根 本 不 是 破 解 进 来 的 ， 直 接 域 管 理 员 登 录 。 疑 问 2 解 开 。 疑 问 3 . 攻 击 线 路 ： 暴 力 破 解 子 公 司 A 对 公 网 的 服 务 器 - 扫 描 内 网 相 通 的 子 网 - 获 取 子 公 司 B 域 控 管 理 权 限 - 攻 击 小 Z 所 在 公 司 C 的 加 域 服 务 器 （ 子 公 司 B 和 公 司 C 共 用 域 控 ） 七 、 后 记 七 、 后 记 黑 客 攻 击 方 式 不 完 全 总 结 ： 3 月 4 号 左 右 ， 内 网 子 公 司 A 的 一 台 服 务 器 对 外 网 做 了 I P 映 射 做 运 维 ， 被 黑 客 的 3 3 8 9 暴 力 破 解 扫 描 器 攻 陷 成 为 跳 板 机 ， 黑 客 使 用 大 量 密 码 获 取 工 具 的 同 时 暴 力 破 解 内 网 所 有 相 通 网 段 服 务 器 ， 再 次 利 用 这 些 攻 破
的 主 机 作 为 跳 板 暴 力 破 解 ， 攻 击 新 的 网 段 ， 扩 大 内 网 范 围 ， 基 本 上 是 一 种 网 状 扩 散 。 由 于 子 公 司 B 的 域 控 管 理 员 密 码 比 较 简 单 ， 在 攻 破 子 公 司 B 的 域 控 服 务 器 后 ， 利 用 高 权 限 账 户 ， 登 陆 所 有 其 他 加 域 的 服 务 器 ， 这 里 面 包 括 和 子 公 司 B 共 用 域 控 的 公 司 C 。 在 收 集 了 大 量 凭 证 后 ， 在 3 月 1 3 号 晚 开 始 集 中 登 陆 这 些 主 机 ， 执 行 勒 索 病 毒 ， 一 开 始 都 被 杀 软 干 掉 ， 发 现 有 杀 软 的 ， 使 用 p c h u n t e r 结 束 杀 软 ， 执 行 病 毒 。 前 期 ， 由 于 小 Z 通 过 平 台 发 现 的 被 暴 力 破 解 进 来 的 服 务 器 ， 由 于 及 时 修 改 了 密 码 ， 免 于 病 毒 ， 但 整 个 事 件 教 训 还 是 很 多 ： 1 . 备 份 ， 备 份 ， 备 份 。 重 要 的 事 情 说 三 边 ， 很 多 服 务 器 由 于 有 备 份 ， 快 速 恢 复 了 ， 但 也 有 没 有 备 份 的 ； 2 . 网 络 的 分 区 分 域 ， 做 好 网 络 的 权 限 梳 理 和 基 于 端 口 的 访 问 策 略 ， 让 攻 击 限 制 在 局 部 ； 3 . 集 权 系 统 的 权 限 管 理 ， 特 别 是 域 控 ， 邮 件 系 统 ， 内 部 的 运 维 监 控 系 统 等 ， 这 些 系 统 往 往 是 一 破 百 破 ； 4 . 主 机 的 访 问 控 制 ， 使 用 堡 垒 机 等 ； 5 . 日 志 平 台 的 报 警 功 能 ， 很 多 攻 击 往 往 发 生 在 非 工 作 时 间 ， 所 以 有 效 的 报 警 机 制 很 重 要 ； 6 . 退 出 主 机 后 自 动 清 理 保 存 在 本 地 的 各 种 凭 据 ， 除 了 服 务 器 就 是 运 维 人 员 的 终 端 ， 都 需 要 重 点 防 守 ； 7 . 勒 索 软 件 可 能 作 为 痕 迹 清 理 工 具 ， 反 溯 源 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： f i s h 1 9 8 3 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理