搜索

[15707] 2020-08-09_Tellyouthepass携带永恒之蓝攻击模块，已有企业受害

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-08-09_Tellyouthepass携带永恒之蓝攻击模块，已有企业受害 T e l l y o u t h e p a s s 携 带 永 恒 之 蓝 攻 击 模 块 ， 已 有 企 业 受 害 F r e e B u f   2 0 2 0 - 0 8 - 0 9 一 、 概 述 一 、 概 述 在 例 行 风 险 文 件 排 查 过 程 中 ， 发 现 T e l l y o u t h e p a s s 勒 索 病 毒 变 种 活 跃 。 攻 击 者 利 用 压 缩 工 具 打 包 e x e 的 方 式 ， 将 m s 1 6 - 0 3 2 内 核 提 权 漏 洞 利 用 模 块 、 永 恒 之 蓝 内 网 扩 散 模 块 集 成 到 勒 索 攻 击 包 中 ， 以 实 现 内 网 蠕 虫 式 病 毒 传 播 。 若 企 业 未 及 时 修 补 漏 洞 ， 可 能 造 成 严 重 损 失 。 众 所 周 知 ， W a n n a C r y 病 毒 事 件 就 是 勒 索 病 毒 利 用 永 恒 之 蓝 漏 洞 进 行 蠕 虫 化 传 播 制 造 的 网 络 灾 难 。 只 是 幸 运 的 是 ， 永 恒 之 蓝 漏 洞 毕 竟 已 经 修 补 3 年 多 了 ， 未 修 复 该 漏 洞 的 W i n d o w s 系 统 只 占 少 数 。 查 看 T e l l y o u t h e p a s s 勒 索 病 毒 用 于 交 易 的 比 特 币 钱 包 地 址 ， 发 现 近 期 已 产 生 多 笔 交 易 ， 钱 包 当 前 余 额 0 . 6 9 比 特 币 。 由 于 该 勒 索 病 毒 使 用 了 R S A + A E S 的 方 式 对 文 件 进 行 加 密 ， 被 病 毒 加 密 后 文 件 暂 无 法 解 密 。 同 时 具 备 蠕 虫 病 毒 攻 击 能 力 的 勒 索 病 毒 极 易 在 存 在 弱 点 的 企 业 内 网 广 泛 传 播 ， 我 们 提 醒 各 政 企 机 构 高 度 警 惕 。 二 、 样 本 分 析 二 、 样 本 分 析 完 整 攻 击 利 用 包 是 一 个 使 用 压 缩 工 具 打 包 的 e x e 执 行 程 序 ， 运 行 后 会 首 先 执 行 其 包 中 的 r u n _ u p d a t e . b a t 脚 本 。 r u n _ u p d a t e . b a t 脚 本 则 进 一 步 以 a w i n d o w s _ p r i v e d g e . e x e 作 为 父 进 程 启 动 其 它 两 模 块 a w i n d o w s _ p r i v e d g e . e x e 为 m s 1 6 - 0 3 2 内 核 提 权 漏 洞 利 用 程 序 内 核 提 权 漏 洞 利 用 程 序 ， 攻 击 者 试 图 以 S Y S T E M 权 限 执 行 其 它 攻 击 模 块 ， 从 而 达 到 勒 索 加 密 文 件 覆 盖 面 更 广 ， 内 网 扩 散 攻 击 过 程 更 稳 定 的 效 果 。
L a n t o o l s _ e x p . e x e 是 一 个 P y t h o n 打 包 的 e x e 程 序 ， 解 包 反 编 译 后 可 知 该 模 块 为 针 对 s m b 进 行 攻 击 利 用 的 工 具 集 ， 其 中 包 含 了 对 s m b 服 务 的 远 程 探 测 ， 服 务 的 远 程 探 测 ， s m b 登 录 登 录 p s e x e c 命 令 执 行 ， 端 口 扫 描 ， 命 令 执 行 ， 端 口 扫 描 ， h t t p 服 务 搭 建 等 功 能 服 务 搭 建 等 功 能 ， 同 时 该 工 具 包 含 了 永 永 恒 之 蓝 漏 洞 高 危 漏 洞 （ 恒 之 蓝 漏 洞 高 危 漏 洞 （ M S 1 7 - 0 1 0 ） ） 的 攻 击 利 用 ， 该 模 块 运 行 后 将 进 行 内 网 蠕 虫 扩 散 d e b u g . e x e 病 毒 模 块 。 病 毒 使 用 开 源 的 永 恒 之 蓝 漏 洞 利 用 攻 击 相 关 代 码 h t t p s : / / g i t h u b . c o m / m e z - 0 / M S 1 7 - 0 1 0 - P y t h o n / b l o b / m a s t e r / z z z _ e x p l o i t . p y h t t p s : / / g i t h u b . c o m / p y t h o n o n e / M S 1 7 - 0 1 0 / b l o b / m a s t e r / e x p l o i t s / e t e r n a l b l u e
d e b u g . e x e 文 件 依 然 为 使 用 压 缩 包 打 包 的 可 执 行 程 序 ， 执 行 后 首 先 运 行 d e b u g . b a t ， 脚 本 随 后 启 动 w i n d e b u g . e x e 执 行 。 w i n d e b u g . e x e 模 块 为 g o 语 言 编 写 的 T e l l y o u t h e p a s s 勒 索 病 毒 勒 索 病 毒 ， 病 毒 运 行 后 会 首 先 生 成 R S A - 1 0 2 4 本 地 密 钥 对 。
随 后 使 用 硬 编 码 的 R S A - 2 0 4 8 - P u l b i c K e y 对 本 地 生 成 的 R S A - 1 0 2 4 - P r i v a t e K e y 进 行 加 密 ， 并 B a s e 6 4 编 码 保 存 作 为 勒 索 信 中 的 p e r s o n i d 部 分 内 容 。 硬 编 码 R S A - 2 0 4 8   P u b l i c K e y 信 息
加 密 时 对 每 个 文 件 随 机 生 成 A E S - K E Y 和 I V ， 共 计 0 x 3 0 字 节 使 用 本 地 R S A - 1 0 2 4 - P u b l i c - K e y 将 A E S - K e y 和 I V 加 密 后 保 存 到 文 件 头 ， 共 0 x 8 0 字 节 数 据 。
最 终 对 文 件 使 用 A E S - C F B 1 2 8 模 式 进 行 全 部 加 密 加 密 完 成 后 文 件 均 被 添 加 . l o c k e d 扩 展 后 缀 ， 同 时 留 下 名 为 R E A D M E . h t m l 的 勒 索 说 明 信 件 ， 勒 索 新 提 示 要 求 使 用 B T C 进 行 交 易 ， 查 看 其 使 用 的 钱 包 之 一 地 址 可 知 ， 近 期 已 进 行 过 7 次 交 易 ， 钱 包 内 当 前 余 额 0 . 6 9 9 比 特 币 。
三 、 安 全 建 议 三 、 安 全 建 议 根 据 该 勒 索 病 毒 的 特 性 ， 安 全 专 家 建 议 相 关 企 业 和 个 人 用 户 参 考 以 下 建 议 强 化 网 络 抗 攻 击 能 力 ， 修 复 高 危 漏 洞 ， 避 免 内 网 遭 遇 攻 击 而 造 成 无 法 挽 回 的 损 失 ： 企 业 用 户 ： 企 业 用 户 ： 1 、 尽 量 关 闭 不 必 要 的 端 口 ， 如 ： 4 4 5 、 1 3 5 ， 1 3 9 等 ， 对 3 3 8 9 ， 5 9 0 0 等 端 口 可 进 行 白 名 单 配 置 ， 只 允 许 白 名 单 内 的 I P 连 接 登 陆 。 2 、 尽 量 关 闭 不 必 要 的 文 件 共 享 ， 如 有 需 要 ， 请 使 用 A C L 和 强 密 码 保 护 来 限 制 访 问 权 限 ， 禁 用 对 共 享 文 件 夹 的 匿 名 访 问 。 3 、 采 用 高 强 度 的 密 码 ， 避 免 使 用 弱 口 令 密 码 ， 并 定 期 更 换 密 码 。 建 议 服 务 器 密 码 使 用 高 强 度 且 无 规 律 密 码 ， 并 且 强 制 要 求 每 个 服 务 器 使 用 不 同 密 码 管 理 。 4 、 对 没 有 互 联 需 求 的 服 务 器 / 工 作 站 内 部 访 问 设 置 相 应 控 制 ， 避 免 可 连 外 网 服 务 器 被 攻 击 后 作 为 跳 板 进 一 步 攻 击 其 他 服 务 器 。 5 、 对 重 要 文 件 和 数 据 （ 数 据 库 等 数 据 ） 进 行 定 期 非 本 地 备 份 。 6 、 教 育 终 端 用 户 谨 慎 下 载 陌 生 邮 件 附 件 ， 若 非 必 要 ， 应 禁 止 启 用 O f f i c e 宏 代 码 。 个 人 用 户 ： 个 人 用 户 ： 勿 随 意 打 开 陌 生 邮 件 ， 关 闭 O f f i c e 执 行 宏 代 码 ； 使 用 电 脑 管 家 或 W i n d o w s   U p d a t e 扫 描 修 复 系 统 漏 洞 ； 备 份 数 据 文 档 。 I O C s M D 5 0 a 0 d 5 d 2 d 3 c 6 6 3 c 5 4 a 9 2 c b 1 1 f 7 1 0 2 e b 3 9 4 d 0 8 7 a 1 1 a b c 7 e b d 9 9 8 a b 1 2 8 3 6 7 6 f 7 a 9 7
0 8 b 9 4 4 4 6 1 6 2 e d 7 a 1 a 1 b 0 7 8 d 6 a d 5 9 0 7 f 5 3 3 a a 4 d 8 8 e 7 9 5 9 5 b 3 a 5 5 8 c e 2 0 5 a 3 3 1 d 4 3 6 2 8 8 3 c 8 4 d c 5 5 e b 6 5 f d 7 1 3 4 1 6 9 5 7 d 8 5 2 4 1 9 9 2 1 3 4 d 3 f 2 1 d e f 5 d e 1 0 7 f 4 1 4 b 6 b 2 0 6 7 c f 8 9 5 4 2 e f 0 0 9 5 5 4 3 a 4 6 b b 7 9 f 0 e 0 6 f b 3 a f a 3 f 3 0 b 2 2 7 5 7 c b 0 c e 2 1 4 8 c b d 3 d 1 1 9 8 d d 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理