搜索

[21823] 2021-03-30_【干货分享】应急响应案例分析与经验分享

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-03-30_【干货分享】应急响应案例分析与经验分享 【 干 货 分 享 】 应 急 响 应 案 例 分 析 与 经 验 分 享 L e m o n S e c   2 0 2 1 - 0 3 - 3 0 中 了 勒 索 病 毒 ,   勒 索 病 毒 ,   勒 索 病 毒 怎 么 处 理 ,   应 急 响 应 ,   应 急 响 应 支 持 ,   恶 意 样 本 分 析 ,   日 志 分 析 ,   样 本 分 析 ,   样 本 溯 源 ,   病 毒 行 为 分 析 ,   绿 盟 科 技 应 急 响 应 中 心 ,   网 络 安 全   应 急 预 案 ,   网 络 安 全 应 急 响 应 ,   网 络 安 全 应 急 响 应 过 程 ,   网 络 安 全 应 急 处 置 办 法 ,   网 络 安 全 应 急 处 置 预 案 网 站 首 页 图 片 被 篡 改 ； 服 务 器 被 上 传 大 量 博 彩 文 件 ， 且 r m   - r f 不 能 删 除 ； 服 务 器 中 了 勒 索 病 毒 ， 文 件 被 加 密 … … 出 现 以 上 情 况 如 何 应 急 ？ 别 着 急 ， 绿 盟 科 技 一 线 交 付 工 程 师 手 把 手 教 你 应 急 响 应 ， 快 快 来 学 习 吧 ！ 应 急 响 应 准 则 ： 有 迹 可 循 ， 倒 推 分 析 有 迹 可 循 ， 倒 推 分 析 攻 击 者 ： 漏 洞 - > 攻 击 行 为 - > 攻 击 迹 象 应 急 人 员 ： 攻 击 迹 象 - > 攻 击 者 - > 行 为 分 析 - > 定 位 漏 洞 案 例 一 ： 网 站 首 页 图 片 被 篡 改 攻 击 者 入 侵 成 功 后 可 能 会 对 网 站 进 行 篡 改 ， 比 如 上 传 黑 页 、 博 彩 页 面 、 w e b s h e l l 等 。 从 攻 击 者 的 心 理 分 析 ， 往 往 攻 击 者 会 是 这 些 黑 页 、 博 彩 页 面 或 者 w e b s h e l l 的 首 次 访 问 者 。 1 . 首 页 头 顶 图 片 被 篡 改 为 首 页 头 顶 图 片 被 篡 改 为 z . J P G ， 发 现 可 疑 ， 发 现 可 疑 I P ： ： 2 . 通 过 分 析 通 过 分 析 w e b 日 志 发 现 该 日 志 发 现 该 I P 在 某 段 时 间 内 存 在 大 量 的 在 某 段 时 间 内 存 在 大 量 的 P O S T 请 求 ， 访 问 的 文 件 为 请 求 ， 访 问 的 文 件 为 c h a n n e l . j s p ， 初 步 怀 疑 ， 初 步 怀 疑 c h a n n e l . j s p 为 为 w e b s h e l l 。 。
3 . 确 定 确 定 c h a n n e l . j s p 为 为 w e b s h e l l , 并 且 对 并 且 对 I P   6 7 . 2 0 4 . 0 . 2 1 7 行 为 进 一 步 分 析 没 发 现 其 他 有 价 值 的 信 息 行 为 进 一 步 分 析 没 发 现 其 他 有 价 值 的 信 息 4 . 对 对 c h a n n e l . j s p 做 关 联 分 析 发 现 更 多 的 攻 击 者 做 关 联 分 析 发 现 更 多 的 攻 击 者 I P 及 及 w e b s h e l l ， 对 所 有 关 联 ， 对 所 有 关 联 I P 及 及 w e b s h e l l 分 析 ， 最 后 发 现 分 析 ， 最 后 发 现 I P   1 1 4 . 8 0 . 2 1 5 . 2 1 6 在 在 4 月 月 2 9 日 登 录 进 入 日 登 录 进 入 t o m c a t 后 台 并 部 署 后 台 并 部 署 w a r 包 。 包 。
5 . 攻 击 还 原 攻 击 还 原 案 例 二 ： 服 务 器 被 上 传 大 量 博 彩 文 件 ， 且 r m   - r f 不 能 删 除 文 件 内 容 可 知 主 要 在 页 面 写 入 一 些 热 搜 词 让 百 度 、 谷 歌 等 搜 索 引 擎 去 进 行 爬 取 收 录
1 . 对 博 彩 页 面 的 对 博 彩 页 面 的 j s   p a c k e d 解 密 找 到 博 彩 站 点 解 密 找 到 博 彩 站 点
2 . 博 彩 文 件 被 设 置 博 彩 文 件 被 设 置 i 、 、 a 属 性 ， 所 以 不 能 直 接 属 性 ， 所 以 不 能 直 接 r m   – r f 删 除 删 除
3 . s e c u r e 日 志 发 现 异 常 登 录 ， 但 是 日 志 发 现 异 常 登 录 ， 但 是 s e c u r e 日 志 记 录 太 少 ， 未 发 现 其 他 异 常 行 为 ， 查 看 日 志 记 录 太 少 ， 未 发 现 其 他 异 常 行 为 ， 查 看 h i s t o r y 也 没 有 相 关 的 命 令 记 录 也 没 有 相 关 的 命 令 记 录 2 1 9 . 1 5 0 . 8 5 . 1 9 4 （ 天 津 市 ） （ 天 津 市 ） 1 0 3 . 2 4 4 . 2 5 3 . 2 0 1 （ 北 京 市 朝 阳 区 ） （ 北 京 市 朝 阳 区 ） 1 1 2 . 1 7 5 . 1 0 6 . 9 3 （ 韩 国 ） （ 韩 国 ） 1 1 6 . 9 3 . 1 2 0 . 4 0 （ 菲 律 宾 ） （ 菲 律 宾 ） 4 . 查 看 端 口 信 息 发 现 异 常 连 接 查 看 端 口 信 息 发 现 异 常 连 接
5 . 查 看 异 常 端 口 对 应 进 程 ， 每 个 进 程 相 关 目 录 对 应 一 个 博 彩 文 件 目 录 查 看 异 常 端 口 对 应 进 程 ， 每 个 进 程 相 关 目 录 对 应 一 个 博 彩 文 件 目 录 6 . 查 看 进 程 树 发 现 所 有 异 常 进 程 存 在 一 个 父 进 程 。 进 程 查 看 进 程 树 发 现 所 有 异 常 进 程 存 在 一 个 父 进 程 。 进 程 I D 为 为 1 0 7 5 4 样 本 已 被 删 除 7 . 继 续 排 查 进 程 发 现 新 的 异 常 进 程 ， 进 程 相 关 目 录 为 继 续 排 查 进 程 发 现 新 的 异 常 进 程 ， 进 程 相 关 目 录 为 / u s r / l i b 6 4 / r h y t h m b o x / p l u g i n s / r b ( R h y t h m b o x 是 一 个 是 一 个 G N O M E 组 件 组 件 , 负 负 责 音 乐 管 理 与 播 放 责 音 乐 管 理 与 播 放 , c 和 和 p y t h o n 编 写 编 写 )
S S H 登 录 的 帐 号 和 密 码 。 S S H 后 门 ？ 套 路 极 深 动 态 调 试 S S H 确 认 存 在 后 门 S t r a c e 动 态 调 试 : s t r a c e   - o   a a   - f f   - p   s s h 进 程 进 程 g r e p   o p e n   a a *   |   g r e p   - v   - e   N o   - e   n u l l   - e   d e n i e d |   g r e p   W R g r e p 一 下 一 下 o p e n 系 统 调 用 ， 然 后 过 滤 掉 错 误 信 息 和 系 统 调 用 ， 然 后 过 滤 掉 错 误 信 息 和 / d e v / n u l l 信 息 ， 以 及 信 息 ， 以 及 d e n i e d 信 息 ， 并 且 找 信 息 ， 并 且 找 W R 的 的 8 . 隐 藏 的 计 划 任 务 隐 藏 的 计 划 任 务
案 例 三 ： 服 务 器 中 了 勒 索 病 毒 ， 文 件 被 加 密 被 加 密 的 文 件 如 下 图 所 示 ， 被 加 密 文 件 名 被 改 为 原 文 件 名 ＋ . i d ＋ I D ＋ 攻 击 者 邮 箱 ＋ . w a l l e t 。 从 文 件 命 名 的 方 式 大 致 判 断 为 w a l l e t 勒 索 病 毒   （ 该 病 毒 最 早 发 现 于 2 0 1 6 年 1 1 月 份 ， 并 且 攻 击 目 标 大 多 针 对 服 务 器 ， 攻 击 方 式 主 要 通 过 爆 破 服 务 器 3 3 8 9 口 令 进 行 入 侵 。 ） 1 .   查 看 安 全 事 件 日 志 发 现 大 量 的 暴 力 破 解 日 志 ， 初 步 怀 疑 是 查 看 安 全 事 件 日 志 发 现 大 量 的 暴 力 破 解 日 志 ， 初 步 怀 疑 是 a d m i n i s t r a t o r 帐 号 出 问 题 帐 号 出 问 题
通 过 W i n d o w s 事 件 查 看 器 可 以 发 现 存 在 大 量 的 登 陆 失 败 日 志 ， 因 此 可 以 初 步 判 断 攻 击 者 攻 击 方 式 为 3 3 8 9 爆 破 。 进 一 步 进 行 沟 通 确 认 服 务 器 的 a d m i n i s t r a t o r 账 号 确 实 采 用 了 弱 口 令 。 （ 被 误 导 认 为 就 是 a d m i n i s t r a t o r 帐 号 有 问 题 ） 2 . 从 事 件 日 志 中 筛 选 出 远 程 桌 面 成 功 登 录 的 日 志 进 行 分 析 发 现 可 疑 帐 号 从 事 件 日 志 中 筛 选 出 远 程 桌 面 成 功 登 录 的 日 志 进 行 分 析 发 现 可 疑 帐 号 t e s t 在 现 场 排 查 时 有 注 意 到 这 个 t e s t 帐 号 ， 但 是 咨 询 管 理 员 说 此 账 号 被 禁 用 。 当 时 被 误 导 ， 没 有 继 续 去 细 查 。 3 . 样 本 发 现 ： 发 现 可 疑 进 程 样 本 发 现 ： 发 现 可 疑 进 程 4 . 样 本 简 单 分 析 样 本 简 单 分 析
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理