搜索

[14711] 2019-10-17_全套黑客工具横行内网，新型勒索病毒DEADMINLOCKER盯上国内企业

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-10-17_全套黑客工具横行内网，新型勒索病毒DEADMINLOCKER盯上国内企业 全 套 黑 客 工 具 横 行 内 网 ， 新 型 勒 索 病 毒 D E A D M I N   L O C K E R 盯 上 国 内 企 业 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 1 0 - 1 7 近 日 ， 深 信 服 安 全 团 队 捕 获 到 针 对 国 内 企 业 的 新 型 勒 索 病 毒 攻 击 事 件 ， 攻 击 者 通 过 爆 破 获 得 跳 板 机 权 限 后 ， 利 近 日 ， 深 信 服 安 全 团 队 捕 获 到 针 对 国 内 企 业 的 新 型 勒 索 病 毒 攻 击 事 件 ， 攻 击 者 通 过 爆 破 获 得 跳 板 机 权 限 后 ， 利 用 全 套 黑 客 工 具 包 对 内 网 主 机 进 行 渗 透 ， 人 工 投 放 勒 索 病 毒 进 行 加 密 ， 该 勒 索 病 毒 加 密 邮 箱 与 后 缀 为 硬 编 码 的 用 全 套 黑 客 工 具 包 对 内 网 主 机 进 行 渗 透 ， 人 工 投 放 勒 索 病 毒 进 行 加 密 ， 该 勒 索 病 毒 加 密 邮 箱 与 后 缀 为 硬 编 码 的 字 符 串 字 符 串 “ . [ D e A d m i n @ c o c k . l i ] . D E A D M I N ” ， 并 在 勒 索 信 息 文 件 中 自 命 名 为 ， 并 在 勒 索 信 息 文 件 中 自 命 名 为 D E A D M I N   L O C K E R ， 该 勒 索 暂 ， 该 勒 索 暂 无 公 开 解 密 工 具 。 无 公 开 解 密 工 具 。 加 密 完 成 后 在 桌 面 及 加 密 根 目 录 释 放 勒 索 信 息 文 件 病 毒 名 称 ： 病 毒 名 称 ： D E A D M I N   L O C K E R 病 毒 性 质 ： 病 毒 性 质 ： 勒 索 病 毒 影 响 范 围 ： 影 响 范 围 ： 目 前 国 内 已 有 感 染 案 例 危 害 等 级 ： 危 害 等 级 ： 高 危 传 播 方 式 ： 传 播 方 式 ： 通 过 社 会 工 程 、 R D P 暴 力 破 解 入 侵 ， 并 使 用 黑 客 工 具 包 内 网 渗 透 病 毒 描 述 病 毒 描 述 该 勒 索 病 毒 主 要 利 用 全 套 黑 客 工 具 包 对 内 网 主 机 进 行 渗 透 ， 人 工 投 放 勒 索 病 毒 进 行 加 密 。 在 被 勒 索 的 主 机 上 获 取 到 攻 击 者 留 下 的 全 套 黑 客 工 具 包 ， 包 含 从 密 码 收 集 到 远 程 登 录 等 一 系 列 内 网 渗 透 工 具 ， 可 谓 是 一 应 俱 全 ， 其 中 包 含 较 为 小 众 的 A u t o M I M I 、 L a z y 、 r d p _ c o n 、 g m e r 等 工 具 ， 甚 至 包 含 名 为 ! R D P 的 快 捷 方 式 ， 用 于 启 动 本 地 远 程 桌 面 连 接 ：
黑 客 工 具 包 包 含 ： 密 码 抓 取 ： 密 码 抓 取 ： A u t o M I M I 、 m i m i 、 n e t p a s s 6 4 . e x e 、 L a z y 内 网 扫 描 ： 内 网 扫 描 ： m a s s c a n 、 ! P o r t S c a n 、 A d v a n c e d _ P o r t _ S c a n n e r 、 N e t w o r k S h a r e 密 码 爆 破 ： 密 码 爆 破 ： N L B r u t e 远 程 工 具 ： 远 程 工 具 ： p s e x e c 、 ! R D P 、 r d p _ c o n 反 杀 软 工 具 ： 反 杀 软 工 具 ： g m e r 、 P C H u n t e r 6 4 、 P o w e r T o o l 、 P o w e r T o o l _ 6 4 、 P r o c e s s H a c k e r 6 4 勒 索 病 毒 入 侵 攻 击 流 程 ： 勒 索 病 毒 入 侵 攻 击 流 程 ： 1 、 本 地 提 权 后 ， 使 用 m i m i k a t z 抓 取 主 机 密 码 ， 在 此 过 程 中 ， 黑 客 写 了 自 动 化 脚 本 l a u n c h . v b s 来 简 化 抓 取 密 码 的 步 骤 。
2 、 黑 客 将 抓 取 到 的 密 码 加 入 后 续 的 爆 破 字 典 中 ， 原 因 是 管 理 员 一 般 会 将 多 个 服 务 器 的 密 码 设 置 成 相 同 的 ， 将 本 机 密 码 加 入 字 典 ， 可 以 增 大 爆 破 的 成 功 率 。
3 、 使 用 端 口 扫 描 器 扫 描 内 网 中 存 活 的 I P ， 并 筛 选 开 放 了 4 4 5 和 3 3 8 9 端 口 的 主 机 。
4 、 对 于 开 放 了 3 3 8 9 端 口 的 主 机 ， 黑 客 直 接 使 用 N L B r u t e 进 行 爆 破 用 户 名 和 密 码 。
5 、 对 于 只 开 放 了 4 4 5 端 口 的 主 机 ， 黑 客 通 过 爆 破 的 方 式 获 取 主 机 的 账 号 密 码 。 6 、 然 后 使 用 p s e x e c 上 传 脚 本 至 目 标 主 机 并 运 行 ， 开 启 R D P 服 务 。 7 、 获 取 到 以 上 爆 破 成 功 的 主 机 后 ， 使 用 r d p _ c o n 工 具 进 行 批 量 连 接 。
R D P 连 接 到 受 害 主 机 后 ， 黑 客 会 上 传 一 系 列 反 杀 软 工 具 ， k i l l 杀 毒 软 件 ， 最 后 运 行 勒 索 病 毒 进 行 勒 索 ， 至 此 ， 整 个 勒 索 入 侵 的 流 程 完 成 。 勒 索 病 毒 详 细 分 析 勒 索 病 毒 详 细 分 析 1 、 勒 索 病 毒 文 件 使 用 U P X 加 壳 ， 运 行 后 首 先 调 用 了 W i n e x e c 执 行 命 令 行 删 除 磁 盘 卷 影 ， 用 于 防 止 用 户 恢 复 数 据 ： 2 、 关 闭 如 下 服 务 ， 避 免 影 响 加 密 ： v m i c k v p e x c h a n g e 、 v m i c g u e s t i n t e r f a c e 、 v m i c s h u t d o w n 、 v m i c h e a r t b e a t 、 v m i c r d v 、 s t o r f l t 、 v m i c t i m e s y n c 、 v m i c v s s 、 M S S Q L F D L a u n c h e r 、 M S S Q L S E R V E R 、 S Q L S E R V E R A G E N T 、 S Q L B r o w s e r 、 S Q L T E L E M E T R Y 、 M s D t s S e r v e r 1 3 0 、 S S I S T E L E M E T R Y 1 3 0 、 S Q L W r i t e r 、 M S S Q L 、 S Q L A g e n t 、 M S S Q L S e r v e r A D H e l p e r 1 0 0 、 M S S Q L S e r v e r O L A P S e r v i c e 、 M s D t s S e r v e r 1 0 0 、 R e p o r t S e r v e r 、 T M B M S e r v e r 、 p o s t g r e s q l - x 6 4 - 9 . 4 、 U n i F i 、 v m m s 、 s q l - x 6 4 - 9 . 4 、 U n i F i 、 v m m s 3 、 遍 历 进 程 ， 结 束 下 列 进 程 ， 防 止 进 程 占 用 文 件 影 响 加 密 ： s q l b r o w s e r . e x e 、 s q l w r i t e r . e x e 、 s q l s e r v r . e x e 、 m s m d s r v . e x e 、 M s D t s S r v r . e x e 、 s q l c e i p . e x e 、 f d l a u n c h e r . e x e 、 S s m s . e x e 、 s q l s e r v . e x e 、 o r a c l e . e x e 、 n t d b s m g r . e x e 、 R e p o r t i n g S e r v e c e s S e r v i c e . e x e 、 f d h o s t . e x e 、 S Q L A G E N T . e x e 、 R e p o r t i n g S e r v i c e s S e r v i c e . e x e 、 m s f t e s q l . e x e 、 p g _ c t l . e x e 、 p o s t g r e s . e x e 、 U n i F i . e x e 、 s q l a g e n t . e x e 、 o c s s d . e x e 、 d b s n m p . e x e 、 s y n c t i m e . e x e 、 m y d e s c t o p s e r v i c e . e x e 、 o c a u t o u p d s . e x e 、 a g n t s v c . e x e 、 a g n t s v c . e x e 、 a g n t s v c . e x e 、 e n c s v c . e x e 、 f i r e f o x c o n f i g . e x e 、 t b i r d c o n f i g . e x e 、 o c o m m . e x e 、 m y s q l d . e x e 、 m y s q l d - n t . e x e 、 m y s q l d - o p t . e x e 、 d b e n g 5 0 . e x e 、 s q b c o r e s e r v i c e . e x e 、 e x c e l . e x e 、 i n f o p a t h . e x e 、 m s a c c e s s . e x e 、 m s p u b . e x e 、 o n e n o t e . e x e 、 o u t l o o k . e x e 、 p o w e r p n t . e x e 、 s t e a m . e x e 、 t h e b a t . e x e 、 t h e b a t 6 4 . e x e 、 t h u n d e r b i r d . e x e 、 v i s i o . e x e 、 w i n w o r d . e x e 、 w o r d p a d . e x e 、 e r b i r d . e x e 、 v i s i o . e x e 、
w i n w o r d . e x e 、 w o r d p a d . e x e 4 、 生 成 秘 钥 ， 使 用 R S A 算 法 加 密 A E S 秘 钥 ， 再 使 用 A E S 算 法 加 密 文 件 ： 5 、 在 桌 面 创 建 一 个 勒 索 信 息 T X T 文 件 ， 然 后 通 过 遍 历 在 每 个 加 密 文 件 的 根 目 录 下 释 放 一 个 勒 索 信 息 T X T 文 件 ： 6 、 遍 历 磁 盘 进 行 加 密 ， 并 且 对 C 盘 下 的 目 录 单 独 进 行 判 断 ， 跳 过 系 统 目 录 ：
7 、 加 密 完 成 后 进 行 自 删 除 ： 解 决 方 案 解 决 方 案 针 对 已 经 出 现 勒 索 现 象 的 用 户 ， 由 于 暂 时 没 有 解 密 工 具 ， 建 议 尽 快 对 感 染 主 机 进 行 断 网 隔 离 。 此 外 ， 小 编 提 醒 广 大 用 户 尽 快 做 好 病 毒 检 测 与 防 御 措 施 ， 防 范 该 病 毒 家 族 的 勒 索 攻 击 。 1 、 、 病 毒 检 测 查 杀 ： 病 毒 检 测 查 杀 ： （ 1 ） 深 信 服 终 端 检 测 响 应 平 台 （ E D R ） 、 下 一 代 防 火 墙 及 安 全 感 知 平 台 等 安 全 产 品 均 具 备 病 毒 检 测 能 力 ， 部 署 相 关 产 品 用 户 可 进 行 病 毒 检 测 。 （ 2 ） 深 信 服 为 广 大 用 户 免 费 提 供 查 杀 工 具 ， 可 下 载 如 下 工 具 ， 进 行 检 测 查 杀 。 6 4 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 6 4 . 7 z 3 2 位 系 统 下 载 链 接 ： h t t p : / / e d r . s a n g f o r . c o m . c n / t o o l / S f a b A n t i B o t _ X 8 6 . 7 z 2 、 、 日 常 防 御 措 施 日 常 防 御 措 施 （ 1 ） 及 时 给 电 脑 打 补 丁 ， 修 复 漏 洞 ；
（ 2 ） 对 重 要 的 数 据 文 件 定 期 进 行 非 本 地 备 份 ； （ 3 ） 不 要 点 击 来 源 不 明 的 邮 件 附 件 ， 不 从 不 明 网 站 下 载 软 件 ； （ 4 ） 尽 量 关 闭 不 必 要 的 文 件 共 享 权 限 ； （ 5 ） 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 ； （ 6 ） 如 果 业 务 上 无 需 使 用 R D P 的 ， 建 议 关 闭 R D P 。 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理