搜索

[12511] 2018-03-26_WannaMine新动向：对Weblogic服务端发起大规模攻击

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-03-26_WannaMine新动向：对Weblogic服务端发起大规模攻击 W a n n a M i n e 新 动 向 ： 对 W e b l o g i c 服 务 端 发 起 大 规 模 攻 击 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 8 - 0 3 - 2 6 近 日 ， 近 日 ， 3 6 0 互 联 网 安 全 中 心 监 测 到 挖 矿 僵 尸 网 络 互 联 网 安 全 中 心 监 测 到 挖 矿 僵 尸 网 络 “ W a n n a M i n e ” 进 行 了 一 次 全 面 更 新 ， 目 标 直 指 使 用 进 行 了 一 次 全 面 更 新 ， 目 标 直 指 使 用 W e b l o g i c 服 服 务 端 组 件 的 服 务 器 。 该 僵 尸 网 络 使 用 务 端 组 件 的 服 务 器 。 该 僵 尸 网 络 使 用 O r a c l e 在 在 2 0 1 7 年 年 1 0 月 修 复 的 月 修 复 的 W e b l o g i c 反 序 列 化 漏 洞 反 序 列 化 漏 洞 c v e - 2 0 1 7 - 1 0 2 7 1 发 起 攻 发 起 攻 击 ， 由 于 外 网 仍 有 大 量 服 务 器 未 对 击 ， 由 于 外 网 仍 有 大 量 服 务 器 未 对 W e b l o g i c 服 务 进 行 升 级 ， 这 些 服 务 器 很 可 能 成 为 下 一 批 服 务 进 行 升 级 ， 这 些 服 务 器 很 可 能 成 为 下 一 批 “ W a n n a M i n e ” 的 矿 的 矿 工 。 工 。 “ W a n n a M i n e ” 最 早 活 跃 于 2 0 1 7 年 9 月 ， 更 新 前 的 “ W a n n a M i n e r ” 使 用 “ 永 恒 之 蓝 ” 漏 洞 攻 击 武 器 与 “ M i m i k a t z ” 凭 证 窃 取 工 具 攻 击 服 务 器 植 入 矿 机 ， 并 借 助 P o w e r S h e l l 和 W M I 实 现 无 文 件 ， 具 体 细 节 见 附 录 中 的 报 告 。 “ W a n n a M i n e ” 在 3 月 1 0 日 进 行 更 新 ， 摒 弃 了 “ 永 恒 之 蓝 ” 漏 洞 和 “ M i m i k a t z ” 工 具 ， 转 而 对 W e b l o g i c 服 务 端 组 件 发 起 攻 击 。 图 1 展 示 了 我 们 监 测 到 的 3 月 份 外 网 对 W e b l o g i c 组 件 网 络 路 径 “ / w l s - w s a t / C o o r d i n a t o r P o r t T y p e ” 的 请 求 量 ， 可 见 3 月 1 0 日 之 后 对 该 路 径 请 求 量 直 线 上 升 ， 单 日 请 求 量 最 高 达 到 3 0 w 。 图 1 现 阶 段 只 攻 击 现 阶 段 只 攻 击 * * W i n d o w s * * 服 务 器 服 务 器 更 新 后 的 “ W a n n a M i n e ” 使 用 c v e - 2 0 1 7 - 1 0 2 7 1 攻 击 外 网 W e b l o g i c 服 务 。 该 漏 洞 在 2 0 1 7 年 底 曾 被 大 量 用 于 植 入 挖 矿 机 。 图 2 展 示 了 “ W a n n a M i n e ” 使 用 的 p a y l o a d ， p a y l o a d 最 终 在 目 标 计 算 机 上 执 行 P o w e r S h e l l 脚 本 ， 可 见 现 阶 段 的 攻 击 只 对 W i n d o w s 服 务 器 奏 效 。
图 2 僵 尸 程 序 中 配 置 两 个 未 开 启 的 爆 破 模 块 ， 目 标 为 僵 尸 程 序 中 配 置 两 个 未 开 启 的 爆 破 模 块 ， 目 标 为 * * M S S Q L 和 和 P H P M y A d m i n * * 在 对 “ W a n n a M i n e ” 新 版 本 僵 尸 程 序 的 分 析 中 我 们 发 现 其 配 置 了 针 对 M S S Q L 和 P H P M y A d m i n 爆 破 模 块 。 这 两 个 模 块 使 用 内 置 的 字 典 对 M S S Q L 和 P H P M y A d m i n 数 据 库 进 行 弱 口 令 爆 破 。 对 M S S Q L 爆 破 成 功 后 ， 将 在 M S S Q L 中 执 行 P o w e r S h e l l 命 令 ； 对 P H P M y A d m i n 爆 破 成 功 后 ， 向 C & C 发 送 使 用 的 帐 号 和 密 码 。 图 3 展 示 了 爆 破 M S S Q L 成 功 后 所 执 行 的 命 令 。 图 3 “ W a n n a M i n e ” 内 置 的 弱 口 令 字 典 包 含 上 百 组 弱 口 令 ， 虽 然 现 阶 段 尚 未 使 用 爆 破 功 能 ， 但 其 潜 在 威 胁 不 容 小 觑 。 “ * * W a n n a M i n e * * ” 依 然 沿 用 依 然 沿 用 “ 无 文 件 无 文 件 ” 攻 击 技 术 ， 并 可 一 键 转 化 为 后 门 攻 击 技 术 ， 并 可 一 键 转 化 为 后 门 新 版 本 的 “ W a n n a M i n e ” 依 然 沿 用 旧 版 本 的 ” 无 文 件 “ 攻 击 技 术 ， 所 有 的 恶 意 行 为 都 来 自 P o w e r S h e l l 进 程 。 图 4 展 示 了 “ W a n n a M i n e ” 所 使 用 的 “ 无 文 件 ” 攻 击 流 程 。 图 4 “ W a n n a M i n e ” 的 “ 无 文 件 ” 攻 击 使 用 了 反 射 P E 注 入 （ R e f l e c t i v e P E I n j e c t i o n ） 技 术 ， 该 技 术 能 有 效 躲 避 杀 毒 软 件 的 查 杀 。
除 了 进 行 挖 矿 外 ， “ W a n n a M i n e ” 还 可 以 通 过 接 收 C & C 发 出 的 指 令 转 化 为 后 门 。 当 C & C 向 “ W a n n a M i n e ” 下 发 命 令 “ C M D ” 和 “ S c r e e n S h o t ” 时 ， “ W a n n a M i n e ” 将 执 行 相 应 的 命 令 并 对 屏 幕 进 行 截 图 。 表 1 展 示 了 “ W a n n a M i n e ” 所 接 收 的 指 令 与 对 应 的 功 能 ， 目 前 “ W a n n a M i n e ” 的 C & C 地 址 为 h x x p : / / 1 2 3 . 5 9 . 6 8 . 1 7 2 / C a c h e / T u n n e l . p h p 。 表 1 命 令 命 令 功 能 功 能 C M D 执 行 执 行 * * C o m m a n d * * S c r e e n S h o t 屏 幕 截 图 屏 幕 截 图 C r a c k M S S Q L M S S Q L * * 扫 描 与 爆 破 * * C r a c k W e b l o g i c W e b L o g i c * * 漏 洞 攻 击 * * P M A F i n d P H P M y A d m i n * * 弱 口 令 扫 描 与 W e b S h e l l 扫 描 * * 新 版 本 的 新 版 本 的 “ * * W a n n a M i n e ” 尚 在 发 展 期 ， 正 在 对 随 机 尚 在 发 展 期 ， 正 在 对 随 机 i p * * 进 行 攻 击 进 行 攻 击 “ W a n n a M i n e ” 在 3 月 1 0 日 进 行 更 新 ， 而 直 到 3 月 1 7 日 “ W a n n a M i n e ” 才 向 目 标 计 算 机 中 植 入 挖 矿 机 ， 在 这 一 个 礼 拜 的 时 间 内 ， “ W a n n a M i n e ” 利 用 已 控 制 的 僵 尸 机 对 随 机 i p 发 起 攻 击 。 图 5 展 示 了 目 前 “ W a n n a M i n e ” C & C 对 被 控 僵 尸 机 发 出 的 命 令 。 图 5 新 版 本 的 “ W a n n a M i n e ” 目 前 仍 处 在 扩 张 自 身 规 模 的 发 展 期 ， 任 何 i p 地 址 都 可 能 成 为 其 攻 击 目 标 。 及 时 更 新 W e b l o g i c 服 务 端 组 件 是 抑 制 “ W a n n a M i n e ” 扩 张 的 最 好 办 法 。 结 语 结 语 2 0 1 7 年 下 半 年 起 ， 入 侵 服 务 器 挖 矿 的 攻 击 事 件 频 频 发 生 ， 这 些 入 侵 攻 击 大 多 数 依 赖 已 公 开 的 N d a y 漏 洞 或 者 弱 口 令 爆 破 。 在 漏 洞 利 用 方 面 ， W e b l o g i c 反 序 列 化 漏 洞 C V E - 2 0 1 7 - 1 0 2 7 1 以 及 s t r u t s 2 漏 洞 s 2 - 0 4 5 是 攻 击 者 最 喜 欢 使 用 的 两 个 N d a y 漏 洞 ； 在 弱 口 令 爆 破 方 面 ， 数 据 库 和 远 程 桌 面 备 受 攻 击 着 青 睐 。 对 此 ， 服 务 器 管 理 员 需 要 对 此 进 行 针 对 性 防 御 ， 及 时 为 系 统 及 对 外 开 放 的 服 务 打 补 丁 ， 并 使 用 强 度 较 大 的 登 录 口 令 。 附 录 附 录 I O C h x x p : / / 1 2 3 . 5 9 . 6 8 . 1 7 2 / p u t o u t / D L . p s 1 h x x p : / / 1 2 3 . 5 9 . 6 8 . 1 7 2 / p u t o u t / N e u t r i n o . p s 1 h x x p : / / 1 2 3 . 5 9 . 6 8 . 1 7 2 / C a c h e / T u n n e l . p h p h x x p : / / 1 2 3 . 5 9 . 6 8 . 1 7 2 / C a c h e / D L . p h p h x x p : / / 1 2 3 . 5 9 . 6 8 . 1 7 2 / c a c h e / x 6 4 . p s
相 关 报 告 相 关 报 告 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / p a p e r / 1 5 7 5 3 7 . h t m l h t t p s : / / m o t h e r b o a r d . v i c e . c o m / e n _ u s / a r t i c l e / y w 5 y p 7 / m o n e r o - m i n i n g - w a n n a m i n e - w a n n a c r y - n s a h t t p s : / / w w w . c r o w d s t r i k e . c o m / b l o g / c r y p t o m i n i n g - h a r m l e s s - n u i s a n c e - d i s r u p t i v e - t h r e a t / h t t p s : / / w w w . p a n d a s e c u r i t y . c o m / m e d i a c e n t e r / p a n d a l a b s / t h r e a t - h u n t i n g - f i l e l e s s - a t t a c k s / * 本 文 作 者 ： 本 文 作 者 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 来 自 安 全 卫 士 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理