搜索

[11897] 2017-10-15_腾讯安全反病毒实验室：捕获多起Ramnit僵尸网络家族的DDoS攻击

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-10-15_腾讯安全反病毒实验室：捕获多起Ramnit僵尸网络家族的DDoS攻击 腾 讯 安 全 反 病 毒 实 验 室 ： 捕 获 多 起 R a m n i t 僵 尸 网 络 家 族 的 D D o S 攻 击 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 1 0 - 1 5 0 x 1   概 况 概 况 近 期 ， 腾 讯 安 全 反 病 毒 实 验 室 和 腾 讯 云 安 全 团 队 感 知 到 多 起 D D o S 攻 击 事 件 ， 攻 击 目 标 包 括 为 金 融 、 婚 恋 、 博 彩 等 类 型 的 网 站 ， 研 究 发 现 这 几 起 攻 击 来 自 于 同 一 僵 尸 网 络 。 目 前 该 僵 尸 网 络 已 感 染 机 器 数 达 到 数 万 台 ， 而 传 播 源 就 是 目 前 该 僵 尸 网 络 已 感 染 机 器 数 达 到 数 万 台 ， 而 传 播 源 就 是 R a m n i t 家 族 。 家 族 。 R a m n i t 初 始 形 态 为 蠕 虫 病 毒 ， 通 过 自 繁 初 始 形 态 为 蠕 虫 病 毒 ， 通 过 自 繁 殖 策 略 得 到 迅 速 传 播 ， 感 染 计 算 机 的 殖 策 略 得 到 迅 速 传 播 ， 感 染 计 算 机 的 e x e 、 、 d l l 、 、 h t m l 、 、 h t m 、 、 v b s 文 件 ， 新 变 种 通 过 捆 绑 在 未 知 来 源 的 软 件 或 植 文 件 ， 新 变 种 通 过 捆 绑 在 未 知 来 源 的 软 件 或 植 入 到 受 害 网 站 的 工 具 包 中 进 行 传 播 ， 受 感 染 机 器 组 成 僵 尸 网 络 ， 对 网 络 上 的 目 标 发 起 入 到 受 害 网 站 的 工 具 包 中 进 行 传 播 ， 受 感 染 机 器 组 成 僵 尸 网 络 ， 对 网 络 上 的 目 标 发 起 D D o S 攻 击 。 攻 击 。 受 影 响 网 站 ： 0 x 2   攻 击 、 溯 源 过 程 及 详 细 分 析 攻 击 、 溯 源 过 程 及 详 细 分 析 1 .   攻 击 过 程 攻 击 过 程 2 .   溯 源 过 程 溯 源 过 程
3 .   详 细 分 析 详 细 分 析 木 马 启 动 后 ， 会 检 测 是 否 被 感 染 过 ， 如 果 已 经 被 感 染 过 ， 则 直 接 启 动 木 马 注 册 的 服 务 程 序 。 新 感 染 的 机 器 会 检 测 自 身 是 否 运 行 在 w i n d o w s 目 录 下 ， 如 果 不 在 ， 则 拷 贝 自 身 到 系 统 目 录 ， 文 件 名 为 6 个 随 机 小 写 字 符 ： 拷 贝 到 s y s t e m 3 2 目 录 后 ， 注 册 服 务 程 序 ， 服 务 名 为 W i n h e l p 3 2 。
服 务 入 口 处 ， 即 创 建 一 个 线 程 ， 负 责 接 收 命 令 。 线 程 入 口 处 解 析 C 2 服 务 器 地 址 以 及 端 口 ， 域 名 ： w w w . m * * r . x y z   端 口 ： 7 5 5 5 远 控 服 务 器 解 析 后 ， 开 始 搜 集 计 算 机 信 息 ， 包 括 操 作 系 统 版 本 ， 处 理 器 个 数 ， 处 理 器 容 量 ， 远 程 桌 面 端 口 。 该 木 马 目 前 可 接 受 服 务 器 发 来 的 5 个 命 令 。 C M D _ D O W N L O A D _ R U N _ E X E ：
目 前 监 控 到 该 木 马 下 载 过 的 链 接 ， 目 前 链 接 已 经 失 效 。 C M D _ A D D _ U S E R ： 为 了 后 续 远 程 3 3 8 9 登 录 ， 木 马 会 在 本 地 添 加 一 个 账 户 。 C M D _ D D O S ： 接 收 到 D D o S 攻 击 命 令 后 ， 木 马 循 环 连 接 被 攻 击 目 标 网 站 ， 并 发 送 攻 击 包 。 该 木 马 同 时 会 检 测 金 盾 防 火 墙 以 及 服 务 器 安 全 狗 ， 并 试 图 绕 过 其 防 护 ：
C M D _ U N I N S T A L 命 令 ： 0 x 3   攻 击 者 溯 源 攻 击 者 溯 源 根 据 域 名 信 息 ， 查 询 到 攻 击 者 的 一 些 基 本 信 息 。 通 过 管 理 员 邮 箱 查 到 攻 击 者 Q Q ， 昵 称 和 域 名 对 应 ， 确 认 这 个 就 是 攻 击 者 Q Q 。
同 时 也 发 现 该 邮 箱 注 册 了 支 付 宝 ， 真 实 名 是 * 华 胜 。 也 发 现 攻 击 者 曾 在 某 论 坛 共 享 S S - R 服 务 ， 表 示 害 怕 成 为 D D o S 受 害 者 ， 而 他 真 实 身 份 竟 然 是 攻 击 者 。
0 x 4   安 全 建 议 安 全 建 议 用 户 可 通 过 查 看 w i n d o w s 服 务 确 认 是 否 中 招 ： 一 旦 发 现   w i n h e l p 3 2   服 务 在 运 行 ， 则 很 可 能 已 经 感 染 了 僵 尸 网 络 。 此 外 ， 使 用 腾 讯 电 脑 管 家 可 以 实 时 拦 截 该 木 马 。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理