搜索

[15392] 2020-05-19_实战中应急响应溯源思路

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-05-19_实战中应急响应溯源思路 实 战 中 应 急 响 应 溯 源 思 路 b b b b b b i g   F r e e B u f   2 0 2 0 - 0 5 - 1 9 一 、 孽 缘 之 我 与 病 毒 一 、 孽 缘 之 我 与 病 毒 至 至 2 0 1 7 年 年 5 月 月 1 2 日 起 ， 日 起 ， “ 勒 索 病 毒 勒 索 病 毒 ” 一 词 以 迅 雷 之 势 出 现 在 大 众 眼 前 ， 很 多 管 理 者 谈 之 色 变 ， 令 人 恐 惧 的 不 是 病 一 词 以 迅 雷 之 势 出 现 在 大 众 眼 前 ， 很 多 管 理 者 谈 之 色 变 ， 令 人 恐 惧 的 不 是 病 毒 ， 而 是 加 密 。 大 部 分 计 算 机 使 用 人 员 当 遇 到 病 毒 的 第 一 时 间 ， 想 到 的 无 非 以 下 两 种 做 法 ： 杀 毒 软 件 查 杀 或 拷 毒 ， 而 是 加 密 。 大 部 分 计 算 机 使 用 人 员 当 遇 到 病 毒 的 第 一 时 间 ， 想 到 的 无 非 以 下 两 种 做 法 ： 杀 毒 软 件 查 杀 或 拷 贝 文 件 重 装 系 统 。 当 勒 索 软 件 出 现 的 那 一 刻 ， 这 两 种 方 式 已 失 去 了 意 义 。 有 时 终 端 电 脑 数 据 丢 失 都 会 令 人 伤 心 贝 文 件 重 装 系 统 。 当 勒 索 软 件 出 现 的 那 一 刻 ， 这 两 种 方 式 已 失 去 了 意 义 。 有 时 终 端 电 脑 数 据 丢 失 都 会 令 人 伤 心 难 过 ； 当 服 务 器 中 勒 索 病 毒 时 ， 你 便 会 苦 笑 不 得 ， 数 据 没 有 丢 失 ， 还 在 设 备 上 ， 可 是 却 无 法 使 用 。 难 过 ； 当 服 务 器 中 勒 索 病 毒 时 ， 你 便 会 苦 笑 不 得 ， 数 据 没 有 丢 失 ， 还 在 设 备 上 ， 可 是 却 无 法 使 用 。 2 0 1 7 年 5 月 是 我 接 触 安 全 的 第 二 年 ， 我 以 渗 透 测 试 工 程 师 的 身 份 进 入 信 息 安 全 行 业 ， 这 一 年 却 因 为 勒 索 病 毒 改 变 了 我 的 行 业 。 那 个 时 候 在 上 家 公 司 ， 我 信 息 安 全 这 一 块 就 我 一 人 ， 那 夜 我 记 得 格 外 的 清 晰 ， 大 晚 上 睡 不 着 ， 在 床 上 玩 手 机 ， 突 然 一 张 照 片 在 群 里 发 送 ， 看 了 一 眼 ， 全 是 英 文 没 什 么 兴 趣 ， 准 备 关 掉 微 信 继 续 玩 手 机 ， 这 时 另 一 条 信 息 弹 了 出 来 ， 内 网 为 勒 索 病 毒 席 卷 欧 洲 医 疗 单 位 ， 当 时 就 想 ， 什 么 玩 意 呀 ， 那 么 厉 害 ， 从 此 便 踏 上 了 应 急 响 应 之 路 ， 在 应 急 的 道 路 越 走 越 远 。 2 0 1 7 年 5 月 ~ 2 0 1 8 年 7 月 几 乎 每 天 都 和 病 毒 打 交 道 ， 这 里 我 将 2 0 1 7 年 至 今 遇 到 的 病 毒 列 举 如 下 （ 能 记 住 的 ） ： 2 0 1 7 . 5 — W a n n a C r y ； 2 0 1 7 . 6 — N o t P e t y a ； 2 0 1 7 . 8 — 流 氓 软 件 （ 在 系 统 中 创 建 文 件 ， 无 法 删 除 ） ； 2 0 1 8 . 3 — x m r 挖 矿 病 毒 （ w i n d o w s ） ； 2 0 1 8 . 3 — 1 0 W a n n a M i n e 1 ~ 4 ； 2 0 1 8 . 9 — G l o b e I m p o s t e r ； 2 0 1 9 . 1 1 — S o d i n o k i b i ； 2 0 1 9 . 1 2 — x m r 挖 矿 （ l i n u x ） ； 2 0 2 0 . 4 — R o b b i n H o o d 勒 索 … … 二 、 鸿 蒙 之 初 思 路 初 成 二 、 鸿 蒙 之 初 思 路 初 成 思 路 每 个 人 来 说 并 不 陌 生 ， 从 小 开 始 就 习 惯 这 各 种 思 路 ， 如 ： 1 、 小 学 生 上 学 时 ， 需 要 前 往 学 校 ， 在 家 与 学 校 之 间 会 选 择 一 条 道 路 ， 选 择 道 路 的 过 程 时 候 一 种 思 路 ； 2 、 初 中 生 做 物 理 作 业 时 ， 当 他 遇 到 关 于 摩 擦 力 的 题 时 ， 他 需 要 算 出 答 案 ， 结 题 的 过 程 是 一 种 思 路 ； 3 、 高 中 生 在 高 考 报 名 时 ， 选 择 学 校 ， 选 择 学 校 的 过 程 是 一 种 思 路 。 不 管 遇 到 任 何 问 题 ， 我 们 都 会 去 想 该 怎 么 做 ， 不 管 是 遇 到 问 题 时 举 手 投 降 ， 还 是 在 困 难 面 前 勇 敢 拼 博 一 次 ， 还 是 停 止 不 前 ， 这 都 是 思 路 。 这 里 我 讲 解 一 下 我 的 思 路 。 每 次 工 作 中 遇 到 的 应 急 ， 我 会 把 每 个 应 急 看 成 一 个 目 的 地 ， 而 抵 达 目 的 地 的 路 径 则 是 应 急 过 程 中 的 思 路 ， 抵 达 目 的 地 的 路 径 有 很 多 ， 而 最 短 路 径 则 是 工 作 经 验 。 与 病 毒 不 断 接 触 的 过 程 中 ， 我 不 断 学 习 不 同 病
毒 的 特 征 和 病 毒 的 传 播 方 式 ， 积 累 各 种 思 路 ， 尤 其 是 勒 索 病 毒 的 溯 源 （ 注 意 ： 溯 源 我 通 常 是 从 结 论 出 发 ， 倒 推 过 程 ） 。 三 、 牛 刀 小 试 之 三 、 牛 刀 小 试 之 S o d i n o k i b i 勒 索 病 毒 溯 源 勒 索 病 毒 溯 源 前 段 时 间 在 一 客 户 处 做 S o d i n o k i b i 勒 索 病 毒 的 过 程 中 ， 觉 得 这 一 次 很 有 意 思 ， 在 此 我 分 享 一 下 。 3 . 1 网 络 概 述 网 络 概 述 中 勒 索 病 毒 设 备 为 A 系 统 ， 该 系 统 处 于 内 网 ， 与 互 联 网 无 数 据 交 换 ； 系 统 中 间 件 使 用 的 是 I I S 。 2 . 3 勒 索 病 毒 确 认 勒 索 病 毒 确 认 通 过 后 缀 名 和 勒 索 信 息 弹 框 确 认 该 勒 索 病 毒 是 S o d i n o k i b i ， 确 认 勒 索 病 毒 后 ， 于 是 回 想 该 勒 索 病 毒 的 传 播 方 式 ： 1 、 钓 鱼 邮 件 ； 2 、 利 用 R D P 传 播 ； 3 、 利 用 W e b l o g i c 漏 洞 传 播 ； 由 于 A 系 统 与 互 联 网 无 数 据 交 换 ， 可 能 有 的 小 伙 伴 在 这 里 就 思 路 就 被 掐 断 了 。 这 里 我 们 分 析 一 下 ： 1 、 首 先 A 系 统 为 服 务 器 ， 且 与 互 联 网 无 数 据 交 换 ， 因 此 可 以 排 除 钓 鱼 邮 件 ； 2 、 中 间 件 为 I I S ， 因 此 可 以 排 除 W e b l o g i c 漏 洞 传 播 ； 3 、 排 除 以 上 两 种 方 式 后 ， 只 剩 下 R D P 传 播 ， 可 是 该 系 统 是 在 内 网 ， 为 什 么 会 是 R D P 传 播 呢 ？ 4 、 可 不 可 能 是 有 内 鬼 ， 人 工 投 毒 呢 ？ 由 于 人 工 投 毒 问 题 不 好 分 析 ， 因 此 暂 且 跳 过 。 3 . 3 确 认 文 件 加 密 时 间 确 认 文 件 加 密 时 间 通 过 对 文 件 修 改 时 间 进 行 查 看 ， 了 解 加 密 时 间 2 0 : 5 9 : 4 0 （ 这 个 是 大 致 加 密 时 间 ， 不 一 定 为 病 毒 执 行 时 间 ， 病 毒 执 行 到 全 部 文 件 加 密 需 要 一 定 的 时 间 ） 。
3 . 4 确 认 系 统 安 全 日 志 和 攻 击 者 确 认 系 统 安 全 日 志 和 攻 击 者 I P 3 . 4 . 1 爆 破 日 志 确 认 查 看 系 统 安 全 日 志 ， 发 现 存 在 多 个 账 户 登 录 ； 在 勒 索 时 间 前 存 在 大 量 4 6 2 5 登 录 失 败 为 3 类 型 的 日 志 ， 但 无 相 关 登 录 I P 信 息 和 用 户 信 息 ， 如 下 ： 拿 到 这 些 信 息 后 转 移 战 场 ， 转 到 M i c r o s o f t - W i n d o w s - R e m o t e D e s k t o p S e r v i c e s - R d p C o r e T S % 4 O p e r a t i o n a l 该 日 志 。 在 这 里 可 以 发 现 r d p 登 录 相 关 信 息 。
在 这 里 我 们 首 先 看 到 的 是 任 务 类 型 R e m o t e F X ， 然 后 事 件 I D 均 为 3 位 数 ， 与 通 常 我 们 所 需 要 的 4 6 2 5 日 志 不 同 ， 初 看 可 能 会 觉 得 这 些 信 息 无 用 ， 但 实 际 并 不 然 。 首 先 我 们 需 要 了 解 什 么 是 R e m o t e F X — — R e m o t e F X 是 微 软 在 W i n d o w s   7 / 2 0 0 8 R 2   S P 1 中 增 加 的 一 项 桌 面 虚 拟 化 技 术 ， 使 得 用 户 在 使 用 远 程 桌 面 或 虚 拟 桌 面 进 行 游 戏 应 用 时 ， 可 以 获 得 和 本 地 桌 面 一 致 的 效 果 。 了 解 该 信 息 后 ， 对 以 上 日 志 进 行 分 析 ， 发 现 事 件 I D 为 1 4 0 的 日 志 记 录 了 来 自 I P : x x . x x . x x . x x 的 登 录 失 败 信 息 ， 扫 选 了 一 下 ， 发 现 该 信 息 均 为 被 加 密 前 。 3 . 4 . 2 R D P 登 录 信 息 通 过 对 日 志 进 行 分 析 发 现 存 在 R D P 的 登 录 ， 如 下 ：
3 . 4 . 3 检 测 是 否 创 建 服 务 这 里 主 要 检 测 7 0 4 5 日 志 ， 这 个 日 志 很 有 趣 ， 如 下 ： 可 以 看 这 样 一 张 运 行 了 C l e n W i p . e x e （ 卸 载 赛 门 铁 克 杀 软 ） ， 一 张 运 行 了 k p r e o c e s s h a c k e r . s y s
通 过 以 上 信 息 和 猜 想 结 合 ， 验 证 自 己 的 思 路 , 即 通 过 R D P 爆 破 远 程 桌 面 用 户 名 和 密 码 ， 通 过 3 3 8 9 登 录 A 系 统 ， 然 后 卸 载 赛 门 铁 克 杀 毒 软 件 ， 安 装 p r o c e s s h a c k e r 工 具 ， 最 终 投 放 勒 索 病 毒 （ 由 于 攻 击 者 攻 陷 了 与 互 联 网 存 在 通 信 的 B 系 统 ， 以 B 系 统 作 为 跳 板 登 录 A 系 统 ， 完 成 整 个 勒 索 过 程 ， 这 里 B 系 统 日 志 分 析 与 A 系 统 相 同 ， 在 此 省 略 ） 。 四 、 总 结 四 、 总 结 像 极 了 走 迷 宫 ， 如 果 你 从 开 始 方 向 往 终 点 方 向 进 行 ， 则 很 大 程 度 上 会 迷 路 ， 但 是 如 果 你 从 终 点 往 开 始 方 向 走 ， 则 很 简 单 。
* 本 文 作 者 ： 本 文 作 者 ： b b b b b b i g ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理