搜索

[14127] 2019-05-19_绕过杀软！SQLServerTransact-SQL的无文件攻击姿势

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-05-19_绕过杀软！SQLServerTransact-SQL的无文件攻击姿势 绕 过 杀 软 ！ S Q L   S e r v e r   T r a n s a c t - S Q L   的 无 文 件 攻 击 姿 势 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 5 - 1 9 背 景 概 述 背 景 概 述 近 日 ， 深 信 服 安 全 团 队 捕 获 到 一 起 绕 过 杀 毒 软 件 的 无 文 件 攻 击 事 件 ， 被 入 侵 的 主 机 或 服 务 器 会 被 安 装 近 日 ， 深 信 服 安 全 团 队 捕 获 到 一 起 绕 过 杀 毒 软 件 的 无 文 件 攻 击 事 件 ， 被 入 侵 的 主 机 或 服 务 器 会 被 安 装 M y k i n g s 、 、 M i r a i 、 暗 云 等 多 种 僵 尸 网 络 木 马 及 挖 矿 程 序 ， 并 且 难 以 彻 底 清 除 。 经 分 析 排 查 ， 该 木 马 通 过 弱 口 令 、 暗 云 等 多 种 僵 尸 网 络 木 马 及 挖 矿 程 序 ， 并 且 难 以 彻 底 清 除 。 经 分 析 排 查 ， 该 木 马 通 过 弱 口 令 爆 破 爆 破 S Q L   S e r v e r 服 务 器 后 ， 利 用 服 务 器 后 ， 利 用 s q l s e r v e r   T r a n s a c t - S Q L 存 储 存 储 C # 编 译 恶 意 代 码 ， 通 过 编 译 恶 意 代 码 ， 通 过 M S S Q L 作 业 定 时 执 行 存 作 业 定 时 执 行 存 储 过 程 ， 在 受 害 主 机 下 载 恶 意 程 序 。 储 过 程 ， 在 受 害 主 机 下 载 恶 意 程 序 。 排 查 过 程 排 查 过 程 排 查 主 机 上 的 恶 意 文 件 、 启 动 项 等 ， 发 现 执 行 恶 意 脚 本 的 W M I ， 功 能 是 下 载 文 件 到 本 地 执 行 ： 排 查 注 册 表 启 动 项 ， 存 在 一 个 B G C l i e n t s ， 执 行 c : w i n d o w s s y s t e m 3 2 w b e m 1 2 3 . b a t ， 看 起 来 十 分 可 疑 ：
查 看 1 2 3 . b a t 的 内 容 ， 其 中 比 较 关 键 的 操 作 是 创 建 了 几 个 隐 藏 目 录 ， 并 且 通 过 R e g S v r 3 2 / S c r o b j . d l l 来 执 行 远 程 S C T 脚 本 ： 顺 手 逛 一 下 查 杀 到 恶 意 e x e 文 件 的 目 录 ， 发 现 两 个 d v r 后 缀 的 文 件 ， 打 开 一 看 果 不 其 然 ， 包 含 了 用 于 下 载 恶 意 文 件 的 命 令 ：
启 动 项 、 注 册 表 、 W M I 、 进 程 、 服 务 、 计 划 任 务 都 找 了 一 圈 ， 再 没 发 现 其 他 问 题 ， 于 是 把 以 上 发 现 的 问 题 项 统 统 删 除 ， 结 案 ！ 那 是 不 可 能 的 。 c a b . e x e 又 出 现 了 。 而 且 手 动 删 掉 的 一 堆 乱 七 八 糟 全 都 回 来 了 。 没 辙 了 ， 只 能 放 大 招 ， 通 过 安 装 监 控 ， 在 恶 意 文 件 生 成 的 时 间 节 点 附 近 排 查 监 控 日 志 。 终 于 在 恶 意 文 件 被 实 时 监 控 拦
截 的 时 间 节 点 发 现 了 两 条 通 过 数 据 库 进 程 执 行 了 可 疑 的 c m d 命 令 日 志 ， 用 于 运 行 c : w i n d o w s d e b u g 和 c : p r o g r a ~ 1 目 录 下 的 e x e 文 件 ， 由 此 推 测 数 据 库 中 存 在 恶 意 的 执 行 计 划 ：
对 数 据 库 作 业 进 行 排 查 ， 果 然 存 在 一 大 堆 奇 怪 的 计 划 ： 逐 条 查 看 作 业 步 骤 ， 这 功 能 丰 富 啊 ， 由 于 内 容 过 多 ， 下 面 将 部 分 作 业 对 应 的 命 令 或 功 能 整 理 出 来 ：
可 以 看 到 ， 上 一 次 排 查 时 发 现 的 恶 意 文 件 、 W M I 、 注 册 表 等 项 都 可 以 在 表 格 中 找 到 生 成 语 句 ， 并 且 还 有 一 些 没 有 排 查 到 的 文 件 ， 可 能 被 防 病 毒 软 件 识 别 清 除 了 。 这 回 可 算 是 结 案 了 吧 ， 先 对 比 作 业 中 的 语 句 将 主 机 上 可 能 存 在 的 残 留 项 都 排 查 一 遍 ， 然 后 删 除 这 些 作 业 。 事 情 果 然 没 有 想 象 中 那 么 简 单 ， 某 一 个 风 轻 云 淡 的 下 午 四 点 ， c a b s . e x e 又 双 叒 叕 回 来 了 ， 堪 称 病 毒 界 的 灰 太 狼 。 四 点 ， 这 个 时 间 点 好 像 似 曾 相 识 ， 每 次 防 病 毒 软 件 弹 出 查 杀 到 c a b s . e x e 的 时 间 好 像 都 是 四 点 ， 监 控 日 志 中 数 据 库 进 程 执 行 了 恶 意 c m d 命 令 的 时 间 也 是 四 点 ， 直 觉 告 诉 我 们 ， S Q L 作 业 中 肯 定 还 有 问 题 ， 于 是 把 目 光 投 向 了 上 一 次 漏 掉 的 数 据 库 作 业 ， 在 s q l r c 中 发 现 了 一 条 执 行 存 储 过 程 的 命 令 ， 运 行 一 下 ： 这 不 就 是 我 们 苦 苦 寻 找 的 c a b s . e x e 么 ！ 原 来 是 隐 藏 在 存 储 过 程 中 ， 执 行 了 E x e c C o d e 对 象 的 内 容 ：
通 过 查 询 T r a n s a c t - S Q L 中 的 项 ， 发 现 执 行 的 对 象 E x e c C o d e ： 再 通 过 对 象 名 称 查 询 s y s . a s s e m b l y _ f i l e s 表 ， 找 到 E x e c C o d e 对 应 的 c o n t e n t 内 容 ， 从 “ 4 D 5 A ” 来 看 ， 这 应 该 就 是 我 们 要 找 的 目 标 ：
病 毒 文 件 分 析 病 毒 文 件 分 析 将 十 六 进 制 数 据 拷 贝 出 来 转 换 为 P E 文 件 ， 是 一 个 用 C # 编 写 的 D L L 文 件 ， 通 过 M y D o w n l o a d F i l e 方 法 读 取 指 定 U R L 网 页 的 内 容 ： 该 U R L 的 内 容 如 下 ， 也 是 两 个 下 载 链 接 以 及 对 应 保 存 的 完 整 路 径 ， 其 中 o k . e x e 地 址 已 失 效 ， u p s . r a r 就 是 我 们 发 现 的 c a b s . e x e ： M y D o w n l o a d F i l e 方 法 的 执 行 过 程 如 下 ： 下 载 的 c a b s . e x e 是 一 个 下 载 器 ， 会 下 载 M y k i n g s 、 M i r a i 、 暗 云 、 挖 矿 等 多 个 恶 意 模 块 到 受 害 主 机 ， 功 能 十 分 复 杂 ：
解 决 方 案 解 决 方 案 1 . 删 除 S Q L   S e r v e r 中 的 恶 意 作 业 和 存 储 过 程 ； 2 . 删 除 主 机 中 存 在 的 恶 意 程 序 、 W M I 、 注 册 表 项 等 ， 详 见 下 表 ： 3 .   S Q L   S e r v e r 使 用 强 密 码 ； 4 . 深 信 服 为 广 大 用 户 免 费 提 供 查 杀 工 具 ， 可 下 载 如 下 工 具 ， 进 行 检 测 查 杀 。 6 4 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 6 4 . 7 z 3 2 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 8 6 . 7 z * 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理