搜索

[13574] 2018-12-25_一次防火墙拦截挖矿病毒应急处置经历

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-25_一次防火墙拦截挖矿病毒应急处置经历 一 次 防 火 墙 拦 截 挖 矿 病 毒 应 急 处 置 经 历 原 创   l i t t t 0   F r e e B u f   2 0 1 8 - 1 2 - 2 5 前 言 前 言 在 应 急 响 应 的 过 程 中 ， 客 户 反 馈 防 火 墙 在 应 急 响 应 的 过 程 中 ， 客 户 反 馈 防 火 墙 A F 报 告 客 户 服 务 器 僵 尸 网 络 警 告 ， 服 务 器 试 图 解 析 恶 意 域 名 报 告 客 户 服 务 器 僵 尸 网 络 警 告 ， 服 务 器 试 图 解 析 恶 意 域 名 m s u p d a t e . i n f o 。 于 是 客 户 使 用 。 于 是 客 户 使 用 3 6 0 ， 火 绒 剑 等 杀 毒 软 件 均 没 有 发 现 异 常 现 象 。 于 是 求 助 我 ， 遂 有 此 文 章 。 ， 火 绒 剑 等 杀 毒 软 件 均 没 有 发 现 异 常 现 象 。 于 是 求 助 我 ， 遂 有 此 文 章 。 病 毒 v i r u s t o t a l . c o m 的 报 告 ， 可 以 看 到 很 多 国 内 厂 商 依 然 无 法 检 出 ： 0 x 0 0   d a y 1 接 到 应 急 ， 远 程 登 录 一 把 梭 ， n e t s t a t   - a n o   查 看 异 常 外 连 ， 由 于 病 毒 发 起 的 外 连 已 经 被 深 信 服 防 火 墙 A F 所 拦 截 ， 重 点 关 注 S Y N _ S E N T 和 T I M E _ O U T ， 经 过 排 查 。 并 未 发 现 异 常 外 连 ， 于 是 通 过 p r o c e s s   h a c k e r   查 看 异 常 进 程 。 然 而 也 没 S H A 2 5 6 :   c 7 6 5 b a 5 e e d c d 8 7 b 6 f 9 8 e b 5 0 3 d f 6 4 0 f 5 a 8 b 0 7 7 d 3 a 3 0 f 0 2 c 6 0 1 9 f e e c 1 b 5 a 5 5 3 9 8 1 文 件 名 ：   c s p s v c . e x e h t t p s : / / w w w . v i r u s t o t a l . c o m / z h - c n / f i l e / c 7 6 5 b a 5 e e d c d 8 7 b 6 f 9 8 e b 5 0 3 d f 6 4 0 f 5 a 8 b 0 7 7 d 3 a 3 0 f 0 2 c 6 0 1 9 f e e c 1 b 5 a 5 5 3 9 8 1 / a n a l y s i s /
有 发 现 异 常 进 程 ， 也 没 有 挖 矿 进 程 占 用 大 量 的 c p u 资 源 。 于 是 排 查 一 度 陷 入 江 局 。 这 时 候 束 手 无 策 的 我 只 能 上 微 软 闭 环 工 具 s y s m o n   对 系 统 进 行 监 控 。 观 察 病 毒 的 一 举 一 动 。 s y s m o n 需 要 安 装 使 用 ： 0 x 0 1   d a y 2   收 获 日 收 获 日 昨 天 种 下 一 颗 种 子 ， 今 天 就 是 收 获 日 啦 。 深 信 服 防 火 墙 A F 依 然 在 报 僵 尸 网 络 ， 不 过 已 经 拒 绝 了 ： 查 看 s y s m o n 日 志 ， 根 据 深 信 服 下 一 代 防 火 墙 A F 报 僵 尸 网 络 的 时 间 果 然 找 到 可 疑 的 点 。 s y s m o n . e x e - a c c e p t e u l a   – i   - n
可 以 看 到 服 务 拉 起 了 一 个 可 疑 文 件 。 接 着 排 查 发 现 它 拉 起 一 个 可 疑 p o w e r s h e l l 脚 本 ， 以 服 务 的 方 式 启 动 。 接 着 这 个 p s 脚 本 执 行 。 这 个 脚 本 还 利 用 注 册 表 生 成 了 一 个 用 户 名 为 a d m ： 至 此 ， 我 们 已 经 找 出 了 挖 矿 程 序 。 查 看 p s 脚 本 就 可 以 看 到 他 的 钱 包 地 址 ：
0 x 0 2   分 析 分 析 首 先 看 c s p s v c . e x e 文 件 ： c s p s v c . e x e   是 启 动 程 序 用 于 加 载 p s 脚 本 程 序 。 p s 脚 本 是 一 个 内 容 丰 富 的 木 马 也 是 主 要 的 程 序 ： 可 以 看 到 脚 本 提 供 了 丰 富 的 命 令 行 参 数 ， 我 们 之 前 看 到 的 就 是 S C M S t a r t 。 接 下 来 使 用 ：
获 取 了 命 令 行 参 数 执 行 相 关 操 作 ： 程 序 获 取 了 登 录 名 ， 默 认 启 动 s e t u p ： s e t u p 里 面 包 含 了 编 译 了 一 个 c # 文 件 的 功 能 ： $ a r g v 0   =   G e t - I t e m   $ M y I n v o c a t i o n . M y C o m m a n d . D e f i n i t i o n
由 可 知 编 译 的 文 件 就 是 我 们 发 现 的 c s p s v c . e x e 接 着 就 从 C : W i n d o w s   f o n t s a r i a l c o n f i g . x m l 或 者 C : W i n d o w s S o f t w a r e D i s t r i b u t i o n c o n f i g . x m l   读 取 配 置 文 件 ， 不 存 在 就 新 建 了 一 个 f o n t s a r i a l   目 录 ： 写 入 配 置 后 并 拷 贝 一 份 ： 继 续 往 下 看 发 现 了 主 要 执 行 的 S e r v i c e ： $ e x e N a m e   =   " $ s e r v i c e N a m e . e x e " $ e x e F u l l N a m e   =   " $ i n s t a l l D i r $ e x e N a m e "
发 现 执 行 了 一 处 加 密 内 容 。 加 密 内 容 为 一 个 新 的 p o w e r s h e l l 脚 本 。 可 以 看 到 它 新 建 了 一 个 a d m 的 用 户 。 密 码 是 从 之 前 的 配 置 文 件 中 读 取 的 密 码 ： 从 域 名 m s u p d a t e . i n f o 通 过   网 络 下 载 矿 机 ： 接 着 释 放 又 释 放 了 一 个 加 密 的 p s 脚 本 ： 结 合 通 过 a u t o r u n s 发 现 计 划 任 务 G p C h e c k . p s 1 计 划 任 务 ， 和 下 面 的 写 操 作 可 以 发 现 该 脚 本 写 入 位 于 s y s t e m 3 2 d r i v e r s e n - U S G p C h e c k . p s 1   的 该 文 件 ： 0 x 0 3   清 理 病 毒 清 理 病 毒
0 x 0 4   后 记 后 记 此 次 由 于 防 火 墙 的 存 在 成 功 阻 挡 了 恶 意 程 序 下 载 挖 矿 程 序 进 行 挖 矿 。 并 及 时 警 报 客 户 ， 使 得 客 户 业 务 没 有 受 到 影 响 。 对 于 此 木 马 的 分 析 只 是 浅 显 的 分 析 了 下 ， 主 要 是 想 分 享 一 下 这 种 没 有 执 行 成 功 的 挖 矿 病 毒 如 何 排 查 的 经 验 。 希 望 能 够 抛 砖 引 玉 。 * 本 文 作 者 ： 本 文 作 者 ： l i t t t 0 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文 停 止 服 务 C r y p t o g r a p h i c   S e r v i c e   P r o v i d e r s 删 除 计 划 任 务   G p C h e c k 删 除 C : W i n d o w s S y s t e m 3 2 d r i v e r s   目 录 下 c s p s v c . e x e 、   c s p s v c . p s 1 、 c s p s v c . p d b   文 件 删 除   注 册 表 项 c s p s v c 删 除 C : W i n d o w s S o f t w a r e D i s t r i b u t i o n c o n f i g . x m l 删 除   a d m 用 户 删 除 C : W i n d o w s F o n t s a r i a l 删 除   C : W i n d o w s F o n t s L o g s 删 除   C : W i n d o w s F o n t s t e m p 删 除   C : W i n d o w s s y s t e m 3 2 d r i v e r s e n - U S G p C h e c k . p s 1 删 除   C : W i n d o w s s y s t e m 3 2 d r i v e r s   W m i P r v S E . p s 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理