搜索

[18280] 2021-02-06_记一次失败的挖矿病毒应急响应

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2021-02-06_记一次失败的挖矿病毒应急响应 记 一 次 失 败 的 挖 矿 病 毒 应 急 响 应 M 0 9 i c   H A C K 之 道   2 0 2 1 - 0 2 - 0 6 0 x 0 0   前 言 前 言 一 个 小 伙 伴 的 朋 友 说 自 己 家 里 的 w i n d o w s   s e r v e r   2 0 0 8   R 2   服 务 中 了 挖 矿 木 马 让 我 看 看 . 我 也 是 第 一 次 接 触 这 东 西 , 也 就 边 学 边 弄 了 . 服 务 上 只 装 了 个 m s s q l   2 0 0 8   和   管 家 婆 E R P 3   , 通 过 花 生 壳 8 8 端 口 映 射 到 公 网 . 服 务 器 刚 装 好 , 只 在 公 网 开 了 三 天 , 5 月 8 日 发 现 m s s q l   2 0 0 8   上 不 去 了 , 才 发 现 中 了 挖 矿 木 马 , 我 去 处 理 的 时 候 已 经 是 5 月 1 1 日 . 总 共 花 了 五 六 个 小 时 , 只 能 勉 强 分 析 出 攻 击 情 况 , 无 法 彻 底 清 理 干 净 . 但 是 挺 好 玩 的 , 大 概 是 在 两 个 甚 至 更 多 木 马 在 掐 架 . 0 x 0 1   粗 略 分 析 粗 略 分 析 我 接 手 的 时 候 , 他 说 已 经 删 了 两 个 木 马 文 件 . 但 是 重 启 后 这 两 个 木 马 文 件 没 再 次 生 成 , 服 务 还 是 有 一 个 高 c p u 占 用 的 进 程 . 他 还 说 装 过 3 6 0 , 但 是 启 动 不 起 来 , 只 有 个 断 网 急 救 箱 可 以 用 , 扫 到 两 个 木 马 , 就 是 他 之 前 删 掉 的 . 所 以 没 截 图 , 这 图 是 在 下 面 链 接 里 的 文 章 偷 的 , 只 能 文 字 描 述 一 下 两 个 木 马 创 建 时 间 是 在 5 月 5 日 1 2 点 左 右 , 也 是 在 这 个 文 件 夹 下 面 . l s m m . e x e
l a c a s . e x e 是 矿 机 , l s a s s . e x e 是 矿 机 的 释 放 程 序 , 也 是 本 地 安 全 认 证 子 系 统 服 务 （ L o c a l   S e c u r i t y   A u t h o r i t y   S u b s y s t e m   S e r v i c ) , 和 系 统 重 要 进 程 同 名 混 淆 一 下 , 但 是 c p u 占 用 高 , 一 眼 就 能 看 穿 了 . 通 过 l a c a s . e x e 这 个 文 件 名 在 网 上 搜 索 到 了 腾 讯 安 全 的 这 篇 文 章 : 挖 矿 木 马 针 对 S Q L 服 务 器 爆 破 攻 击   中 招 可 致 服 务 器 被 远 程 控 制 - h t t p s : / / s . t e n c e n t . c o m / r e s e a r c h / r e p o r t / 6 8 4 . h t m l 浏 览 了 下 文 章 , 大 致 知 道 是 m s s q l 弱 密 码 爆 破 进 来 的 . 那 就 先 看 一 下 安 全 日 志 . 确 实 找 到 了 很 多 爆 破 记 录 , 这 里 说 一 下 m s s q l 登 录 失 败 的 事 件 i d 是 [ ^ 1 ] . 这 样 基 本 可 以 确 定 挖 矿 木 马 就 是 这 样 了 , 腾 讯 的 文 章 分 析 很 全 面 , 照 着 步 骤 一 步 一 步 删 除 服 务 , 启 动 项 , 计 划 任 务 , 文 件 之 类 的 就 好 了 . 1 8 4 5 6
等 等 等 等 ! 没 这 么 快 没 这 么 快 . 矿 机 肯 定 注 册 的 服 务 , 那 就 在 日 志 里 筛 选 事 件 i d 为 ( 创 建 服 务 ) 的 日 志 , 果 然 发 现 了 一 条 . 嗯 , 很 简 单 , 打 开 找 到 删 除 即 可 . 7 0 4 5 s e r v i c e s . m s c , D i a g H n o s t i o n   W i n d o w s   H o s t
用 工 具 包 中 的 搜 索 一 下 S y s i n t e r n a l s S u i t e 下 载 - h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / d o w n l o a d s / s y s i n t e r n a l s - s u i t e 空 的 , 没 有 这 个 服 务 . 网 上 没 找 到 删 除 服 务 的 事 件 i d . 自 己 测 试 了 下 删 除 启 动 项 和 服 务 也 没 有 日 志 记 录 , 如 果 有 求 告 知 . 但 是 挖 矿 木 马 确 确 实 实 还 是 存 在 的 , 只 是 换 了 个 名 字 . S y s i n t e r n a l s S u i t e A u t o r u n s . e x e
开 始 意 识 到 , 这 可 能 不 是 同 一 个 木 马 . 0 x 0 2   相 爱 相 杀 相 爱 相 杀 突 然 没 有 了 头 绪 . 只 能 继 续 审 计 日 志 . 找 到 了 一 些 比 较 奇 怪 的 操 作 记 录 , 没 有 一 一 截 图 .

创 建 了 一 个 隐 藏 账 号 , 很 快 又 删 除 了 . 还 有 一 些 服 务 创 建 失 败 的 记 录 ( 事 件 i d : 7 0 3 0 ) , 创 建 的 服 务 名 也 是 又 继 续 看 了 一 下 进 程 . 直 接 通 过 进 程 反 查 到 文 件 再 通 过 文 件 搜 索 服 务 , 搜 到 了 一 个 服 务 ( 又 忘 了 截 图 ) . 把 文 件 和 服 务 删 掉 . 重 启 , 矿 机 还 在 , 问 题 没 解 决 . 又 继 续 找 到 了 几 个 可 疑 的 服 务 和 启 动 项 . D i a g H n o s t i o n   W i n d o w s   H o s t l s m m . e x e


还 有 两 个 个 文 件 目 录 下 和 创 建 日 期 在 5 月 8 日 , 大 概 这 是 第 二 个 挖 矿 木 马 了 , 进 来 的 时 候 把 前 一 个 木 马 杀 了 , 还 把 m s s q l 服 务 器 给 关 了 , 这 才 发 现 中 了 木 马 . 0 x 0 3   尝 试 清 理 尝 试 清 理 暂 时 没 办 法 了 , 干 脆 装 个 火 绒 , 火 绒 里 面 有 几 个 小 工 具 挺 好 用 的 , 用 看 的 眼 花 . 然 后 火 绒 起 来 的 一 瞬 间 , 主 进 程 就 被 关 掉 了 . 之 前 那 文 章 里 说 过 有 监 控 安 全 软 件 . 那 就 关 机 重 启 F 8 进 安 全 模 式 打 开 火 绒 , 火 绒 的 几 个 工 具 都 没 扫 出 问 题 来 , 还 是 只 能 肉 眼 分 析 . 火 绒 剑 的 U I 比 C : / w i n d o w s / s y s t e m / i n f / m s i n f o . e x e d o w n . e x e A u t o r u n s . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理