搜索

[12690] 2018-05-11_GhostMiner解析：无文件挖矿的新姿势

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2018-05-11_GhostMiner解析：无文件挖矿的新姿势 G h o s t M i n e r 解 析 ： 无 文 件 挖 矿 的 新 姿 势 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 0 5 - 1 1 现 在 ， 有 很 多 网 络 犯 罪 分 子 都 靠 着 恶 意 挖 矿 软 件 来 赚 钱 ， 甚 至 还 有 很 多 之 前 依 靠 勒 索 软 件 谋 生 的 人 也 加 入 到 了 恶 意 挖 矿 的 行 列 。 近 期 ， 近 期 ， M i n e r v a 的 研 究 团 队 又 发 现 了 一 种 新 的 挖 矿 攻 击 的 研 究 团 队 又 发 现 了 一 种 新 的 挖 矿 攻 击 - G h o s t M i n e r ， 这 种 新 型 的 恶 意 挖 矿 软 件 主 要 挖 的 是 门 罗 ， 这 种 新 型 的 恶 意 挖 矿 软 件 主 要 挖 的 是 门 罗 币 ， 它 使 用 了 高 级 无 文 件 技 术 ， 并 能 够 在 全 球 范 围 内 悄 无 声 息 地 传 播 。 币 ， 它 使 用 了 高 级 无 文 件 技 术 ， 并 能 够 在 全 球 范 围 内 悄 无 声 息 地 传 播 。 剖 析 剖 析 G h o s t M i n e r - 如 何 传 播 ？ 如 何 挖 矿 ？ 如 何 传 播 ？ 如 何 挖 矿 ？ 使 用 了 无 文 件 逃 逸 框 架 使 用 了 无 文 件 逃 逸 框 架 G h o s t M i n e r 组 件 的 核 心 活 动 就 是 通 过 一 个 已 编 译 的 恶 意 W i n d o w s 可 执 行 程 序 实 现 的 。 为 了 避 免 被 检 测 到 ， 可 执 行 程 序 使 用 了 两 个 P o w e r S h e l l 逃 逸 框 架 ， 即 O u t - C o m p r e s s e d D l l 和 I n v o k e - R e f l e c t i v e P E I n j e c t i o n ， 它 们 使 用 了 新 型 的 无 文 件 技 术 来 隐 藏 恶 意 程 序 的 存 在 。 其 中 的 每 一 个 组 件 都 使 用 了 不 同 的 P o w e r S h e l l 脚 本 来 启 动 ， 这 种 逃 逸 技 术 对 于 大 多 数 安 全 产 品 来 说 效 率 是 非 常 高 的 ， 因 为 其 中 的 某 些 P a y l o a d 目 前 还 无 法 被 检 测 到 ：
下 面 给 出 的 是 编 译 后 可 执 行 文 件 的 直 接 扫 描 结 果 对 比 ， 如 果 它 们 没 有 使 用 这 种 无 文 件 技 术 的 话 ， 目 前 有 4 1 家 厂 商 可 以 检 测 到 其 恶 意 P a y l o a d ： G h o s t M i n e r 的 传 播 的 传 播 N e u t r i n o . p s 1 可 以 感 染 并 攻 击 运 行 了 下 列 应 用 程 序 的 服 务 器 ： 1 . O r a c l e W e b L o g i c （ 利 用 漏 洞 C V E - 2 0 1 7 - 1 0 2 7 1 ） ; 2 . M S S Q L ； 3 . p h p M y A d m i n ； 恶 意 软 件 可 以 随 机 探 测 I P 地 址 ， 并 跟 存 在 漏 洞 的 目 标 主 机 每 秒 钟 建 立 多 个 新 的 T C P 链 接 ：
为 了 避 免 被 网 络 安 全 工 具 检 测 到 ， 这 个 攻 击 组 件 会 使 用 编 码 后 的 请 求 和 B a s e 6 4 编 码 后 的 响 应 信 息 并 通 过 H T T P 来 与 其 C 2 服 务 器 进 行 交 互 。 消 息 交 换 所 使 用 的 协 议 会 通 过 简 单 的 握 手 来 处 理 请 求 信 息 ， 并 执 行 各 种 任 务 ， 例 如 感 染 其 他 服 务 器 或 截 取 屏 幕 图 像 等 等 。 任 务 完 成 之 后 ， 客 户 端 将 会 向 C 2 服 务 器 发 送 信 息 并 请 求 其 他 任 务 ： 在 下 面 的 样 本 中 ， 出 于 保 密 原 因 ， 原 始 的 编 码 信 息 已 经 经 过 了 混 淆 处 理 。 不 过 ， 我 们 在 解 码 内 容 的 核 心 元 素 中 保 留 了 关 键 信 息 。 请 求 信 息 （ 红 色 部 分 ） 包 含 感 染 节 点 中 新 任 务 的 标 识 符 ， 响 应 信 息 （ 蓝 色 部 分 ） 会 命 令 恶 意 软 件 去 寻 找 并 利 用 W e b L o g i c 服 务 器 中 的 安 全 漏 洞 。
其 中 的 r e f e r r e r 头 （ q q . c o m ） 是 硬 编 码 的 ， 再 加 上 我 们 所 发 现 的 其 他 识 别 符 ， 我 们 认 为 此 次 攻 击 背 后 的 攻 击 者 很 可 能 是 来 自 中 国 的 。 G h o s t M i n e r 如 何 挖 矿 ？ 如 何 挖 矿 ？ 正 如 我 们 之 前 所 介 绍 的 那 样 ， 挖 矿 组 件 使 用 的 是 逃 逸 框 架 直 接 从 内 存 中 启 动 的 。 它 使 用 的 是 开 源 X M R i g 挖 矿 软 件 的 自 定 义 版 本 ， 我 们 所 观 察 到 的 通 信 流 量 数 据 如 下 ： 在 分 析 的 过 程 中 ， 我 们 发 现 该 活 动 已 经 持 续 了 大 约 三 个 星 期 了 ：
根 据 目 前 的 情 况 来 看 ， 该 恶 意 活 动 的 X M R 钱 包 中 大 约 有 1 . 0 3 个 门 罗 币 ， 价 值 约 为 2 0 0 美 金 。 不 过 ， 攻 击 者 很 可 能 还 有 其 他 的 钱 包 地 址 ， 由 于 门 罗 币 的 匿 名 性 ， 有 些 我 们 还 无 法 检 测 到 。 之 所 以 现 在 G h o s t M i n e r 的 利 润 还 不 高 ， 很 可 能 是 因 为 还 有 其 他 的 攻 击 者 也 攻 击 了 相 同 的 服 务 器 ， 并 造 成 了 资 源 竞 争 。 但 是 ， G h o s t M i n e r 有 它 自 己 消 除 竞 争 的 方 式 。 消 除 恶 意 挖 矿 竞 争 消 除 恶 意 挖 矿 竞 争 为 了 避 免 资 源 竞 争 所 造 成 的 攻 击 利 润 过 低 ， G h o s t M i n e r 可 以 通 过 一 系 列 分 析 技 术 来 清 除 同 一 主 机 中 的 其 他 恶 意 挖 矿 竞 争 对 手 。 负 责 检 测 和 移 除 其 他 挖 矿 软 件 的 代 码 如 下 ： 入 侵 威 胁 识 别 指 标 入 侵 威 胁 识 别 指 标 I o C C 2 服 务 器 服 务 器 I P 地 址 ： 地 址 ： 哈 希 （ 哈 希 （ S H A - 2 5 6 ） ） N e u t r i n o . p s 1 ： ： W M I . p s 1 ： ： W M I 6 4 . p s 1 ： ： 1 2 3 [ . ] 5 9 [ . ] 6 8 [ . ] 1 7 2 4 b 9 c e 0 6 c 6 d c 8 2 9 4 7 e 8 8 8 e 9 1 9 c 3 b 8 1 0 8 8 8 6 f 7 0 e 5 d 8 0 a 3 b 6 0 1 c c 6 e b 3 7 5 2 a 1 0 6 9 a 1 9 a 3 2 6 a f e e b 2 b a 8 0 d e 3 5 6 9 9 2 e c 7 2 b e e a b 2 8 e 4 c 1 1 9 6 6 b 2 8 a 1 6 3 5 6 b 4 3 a 3 9 7 d 1 3 2 e 8 4 0 a 5 0 7 a 8 8 b a 0 3 b 9 d a 3 d e 2 3 5 c 9 c 0 a f d f c f 7 a 0 4 7 3 c 8 7 0 4 c b b 2 6 e 1 6 b 1 b 7 8 2 b e c d 4 d
相 关 的 门 罗 币 钱 包 地 址 ： 相 关 的 门 罗 币 钱 包 地 址 ： K i l l e r 脚 本 ： 脚 本 ： 服 务 名 ： 服 务 名 ： 任 务 名 ： 任 务 名 ： 进 程 名 ： 进 程 名 ： 挖 矿 相 关 的 服 务 器 端 挖 矿 相 关 的 服 务 器 端 T C P 端 口 ： 端 口 ： 8 a 2 b d e a 7 3 3 e f 3 4 8 2 e 8 d 8 f 3 3 5 e 6 a 4 e 7 5 c 6 9 0 e 5 9 9 a 2 1 8 a 3 9 2 e b a c 6 f c b 7 c 8 7 0 9 b 5 2 4 3 Z S p X d M e r Q G e r i m D r U v i D N 6 q P 3 v k w n k Z Y 1 v v z T V 2 2 A b L W 1 o C C B D s t N j X q r T 3 a n y Z 2 2 j 7 D E E 7 4 G k b V c Q F y H 2 n N i C 3 f c h G f c x W i n W p d S r v S V S H o s t M i c r o s o f t T e l e m e t r y l s a s s M i c r o s o f t s y s t e m O r a c l e u p d a t e C L R s y s m g t g m W m d n P n S N S o u g o u d l N a t i o n a a a l N a t i m m o n a l N a t i o n a l o l l M y s a M y s a 1 M y s a 2 M y s a 3 o k O r a c l e J a v a O r a c l e J a v a   U p d a t e M i c r o s o f t T e l e m e t r y S p o o l e r S u b S y s t e m   S e r v i c e O r a c l e P r o d u c t s   R e p o r t e r U p d a t e s e r v i c e   f o r   p r o d u c t s g m n g m m s i n f o x m r i g * m i n e r d M i n e r G a t e C a r b o n y a m m 1 u p g e a d e a u t o - u p g e a d e s v s h o s t S y s t e m I I S S y s t e m I I S S e c W i n d o w s U p d a t e r * W i n d o w s D e f e n d e r * u p d a t e c a r s s s e r v i c e c s r s c c a r a j a v a u p d g x d r v l s m o s e e
挖 矿 相 关 的 命 令 行 参 数 ： *   参 考 来 源 ： 参 考 来 源 ： m i n e r v a - l a b s ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 1 1 1 1 2 2 2 2 3 3 3 3 4 4 4 4 5 5 5 5 6 6 6 6 7 7 7 7 8 8 8 8 9 9 9 9 1 4 4 3 3 1 4 4 4 4 4 5 5 6 0 6 5 3 3 3 5 5 3 3 5 * c r y p t o n i g h t * * s t r a t u m + * * - - d o n a t e - l e v e l * * - - m a x - c p u - u s a g e * * - p x * * p o o l . e l e c t r o n e u m . h a s h v a u l t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理