搜索

[12746] 2018-05-25_挖矿恶意程序纪实分析之Windows篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-05-25_挖矿恶意程序纪实分析之Windows篇 挖 矿 恶 意 程 序 纪 实 分 析 之   W i n d o w s   篇 C G F 9 9   F r e e B u f   2 0 1 8 - 0 5 - 2 5 一 、 背 景 一 、 背 景 近 期 接 到 客 户 反 馈 ， 其 网 络 中 有 部 分 近 期 接 到 客 户 反 馈 ， 其 网 络 中 有 部 分   W i n d o w s   系 统 终 端 机 器 异 常 ， 安 全 团 队 经 过 分 析 ， 发 现 其 仍 旧 是 一 起 网 络 系 统 终 端 机 器 异 常 ， 安 全 团 队 经 过 分 析 ， 发 现 其 仍 旧 是 一 起 网 络 挖 矿 事 件 。 挖 矿 事 件 。 二 、 基 本 情 况 二 、 基 本 情 况 通 过 对 受 害 终 端 进 行 检 查 ， 发 现 有 一 个 进 程 u p d a t e 6 4 . e x e 占 用 C P U 极 高 ， 该 进 程 位 于 c : w i n d o w s d e l l 目 录 下 。 任 务 管 理 器 根 据 C P U 排 序 后 ， 其 占 用 9 9 % C P U ， 权 限 是 S Y S T E M 权 限 。 如 下 图 所 示 ： 用 任 务 管 理 其 杀 掉 u p d a t e 6 4 . e x e 进 程 ， 马 上 重 新 启 动 ， 靠 ， 这 么 暴 力 啊 ？ 直 接 调 用 命 令 w m i c   p r o c e s s   w h e r e   N a m e = ” u p d a t e 6 4 . e x e ”   g e t   P a r e n t P r o c e s s I d 查 看 其 父 进 程 ， 发 现 竟 然 是 c m d . e x e 不 停 的 在 启 动 u p d a t e 6 4 . e x e ， 而 且 c m d . e x e 是 s y s t e m 权 限 运 行 的 ， 如 下 图 所 示 ： 杀 掉 该 c m d . e x e ， 发 现 其 也 是 不 停 的 重 新 启 动 ， 晕 ， 太 暴 力 了 。 继 续 查 看 其 父 进 程 发 现 c m d . e x e 是 由 s v c h o s t . e x e 进 程 启 动 的 ， 其 位 置 也 在 c : w i n d o w s d e l l 目 录 下 ， 权 限 也 是 s y s t e m 权 限 ， 进 程 描 述 为 “ t h e N o n - S u c k i n g   S e r v i c e   M a n a g e r ” 。 如 下 图 所 示 ： w m i c   p r o c e s s   w h e r e   N a m e = " c m d . e x e "   g e t   P a r e n t P r o c e s s I d
采 用 s v c h o s t . e x e   - > c m d . e x e - > u p d a t e 6 4 . e x e 的 顺 序 杀 掉 进 程 ， u p d a t e 6 4 . e x e 进 程 不 会 重 新 再 次 启 动 ， 说 明 c : w i n d o w s d e l l s v c h o s t . e x e 就 是 用 于 负 责 启 动 并 且 保 护 u p d a t e 6 4 . e x e 进 程 的 。 1 、 运 行 c m d . e x e ， 进 入 c : w i n d o w s d e l l 目 录 ， 命 令 d i r   / a   查 看 后 ， 发 现 该 目 录 下 有 四 个 文 件 ， 分 别 是 r u n . b a t 、 r u n 6 4 . b a t 、 s v c h o s t . e x e 和 U p d a t e 6 4 . e x e 。 2 、 获 取 文 件 H A S H 利 用 w i n d o w 自 带 命 令 行 工 具 c e r t u t i l . e x e ， 获 取 文 件 S H A 2 5 6   H A S H 。 c e r t u t i l . e x e 用 法 ： c e r t u t i l . e x e   - h a s h f i l e   目 标 文 件 名   S H A 2 5 6 S H A 2 5 6   H A S H 列 表 如 下 ： 文 件 名 文 件 名 大 小 大 小 文 件 文 件 H A S H （ （ S H A 2 5 6 ） ） R u n . b a t 2 1 4 f 8 6 f 9 0 4 4 0 a 2 b 3 6 c 0 c 4 7 7 a 6 c e 6 d f 7 3 2 d 2 7 4 b 2 9 6 0 5 3 8 8 c 5 5 b 9 5 2 b c 1 0 2 8 e 4 e 0 a f 9 4 R u n 6 4 . b a t 9 5 d b c 8 4 2 2 a 6 e 7 3 4 5 9 e 7 7 7 b b 1 9 8 9 a a 2 6 c 0 f 4 4 1 6 f e 9 9 e 9 3 e 2 3 4 a 6 b 3 c 0 a e 9 5 3 9 f f 6 0 3 S v c h o s t . e x e 3 5 3 , 7 9 2 2 9 f 0 d b f 2 d 0 7 c 4 b 6 8 c 3 c 9 e e 0 d 1 3 9 d 8 0 b a d 3 e 9 0 5 8 f b f 9 d b d 5 7 4 c b 5 b 0 4 7 c f 7 4 2 e 7 4 U p d a t e 6 4 . e x e 2 , 5 9 4 , 8 1 6 c 1 f e e 6 f 3 3 7 5 b 8 9 1 0 8 1 f a 9 8 1 5 c 6 2 0 a d 8 c 1 a 8 0 e 3 c 6 2 d c c c 7 f 2 4 c 5 a f e e 7 2 c f 3 d d c d 备 注 ： 撰 写 本 文 时 ， 发 现 当 天 （ 5 月 2 3 日 ） F R E E B U F 上 发 布 了 一 篇 文 章 ， “ S U R F S R C   |   一 个 针 对 “ 比 特 票 ” 挖 矿 木 马 样 本 的 分 析 ” ， 连 接 网 址 为 ： 【 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 7 2 5 7 9 . h t m l 】 ， 其 中 分 析 的 样 本 与 我 方 分 析 的 样 本 基 本 类 似 ， 尤 其 是 其 中 S v c h o s t . e x e 为 同 一 个 程 序 ， 因 为 其 H A S H 值 相 同 。 晕 ， 好 吧 。 既 然 已 经 撰 写 了 ， 就 厚 脸 继 续 投 稿 了 ， 毕 竟 技 术 上 可 以 互 相 印 证 。 其 他 有 些 差 异 的 地 方 ， 大 家 可 以 对 照 两 文 ， 互 相 补 充 。 3 、 此 外 ， 习 惯 性 的 运 行 命 令 d i r   / a   / o d 检 查 ， 在 c : w i n d o w s 目 下 发 现 一 个 名 为 U p d a t e . e x e 文 件 。 文 件 名 文 件 名 大 小 大 小 H A S H （ （ S H A 2 5 6 ） ） U p d a t e . e x e 2 , 8 5 4 , 8 2 9 a e b 8 e c c 2 a d 4 2 4 9 2 6 a f 1 5 4 1 7 2 c 6 f 2 d 2 f 8 a 9 8 b 8 8 1 f 5 9 3 8 9 f e 7 5 e 1 a 2 4 0 8 b d c b 3 9 2 7 简 单 分 析 发 现 U p d a t e . e x e 其 实 是 w i n r a r 创 建 的 自 解 压 e x e 文 件 。 查 看 其 文 件 属 性 ， 发 现 其 自 解 压 命 令 如 下 图 所 示 。
U p d a t e . e x e 运 行 后 会 把 文 件 解 压 缩 到 c : w i n d o w s d e l l 目 录 下 （ 覆 盖 模 式 ） ， 同 时 运 行 c : w i n d o w s d e l l r u n . b a t 批 处 理 文 件 （ 静 默 后 台 运 行 ） 。 能 解 压 到 c : w i n d o w s 目 录 下 ， 说 明 入 侵 者 具 备 了 超 级 权 限 。 判 断 ： 入 侵 者 通 过 某 种 入 侵 手 段 （ 未 知 ， 比 如 漏 洞 攻 击 、 邮 件 攻 击 、 欺 骗 手 段 比 如 直 接 发 给 目 标 一 个 u p d a t e . e x e ， 说 是 啥 啥 啥 的 压 缩 包 文 件 ， 让 其 双 击 执 行 解 压 等 ） 获 取 系 统 权 限 ， 并 执 行 u p d a t e . e x e 解 压 缩 到 c : w i n d o w s d e l l 目 录 。 4 、 进 程 与 网 络 连 接 运 行 t a s k l i s t 命 令 ， u p d a t e 6 4 . e x e 进 程 号 为 3 6 4 ， 如 下 图 。 运 行 n e n t s t a t – n o a   命 令 查 看 ， 3 6 4 号 进 程 的 网 络 链 接 如 下 图 。 三 、 样 本 分 析 三 、 样 本 分 析 （ 一 ） （ 一 ） r u n . b a t 1 、 文 件 内 容 、 文 件 内 容
2 、 批 处 理 命 令 解 析 、 批 处 理 命 令 解 析 a )           安 装 安 装 W i n d o w s 3 2 _ U p d a t e 服 务 。 利 用 利 用 C : W i n d o w s d e l l * s v c h o s t . e x e * * 进 程 安 装 一 个 w i n d o w s 系 统 服 务 ， 名 为 ” *   W i n d o w s 3 2 _ U p d a t e ” ， 其 对 应 的 可 执 行 路 径 为 ：   C : W i n d o w s d e l l r u n 6 4 . b a t 。 b )           启 动 W i n d o w s 3 2 _ U p d a t e 服 务 c )           调 用 系 统 自 带 ” W i n d o w s   事 件 命 令 行 工 具 w e v t u t i l . e x e 清 理 日 志 信 息 清 除 w i n d o w s   p o w e r s h e l l 启 动 运 行 日 志 清 除 w i n d o w s 日 志 之 安 全 日 志 清 除 w i n d o w s 日 志 之 系 统 日 志 安 全 日 志 和 系 统 日 志 比 较 常 见 ， w i n d o w s   p o w e r s h e l l 日 志 记 录 的 是 系 统 w i n d o w s   p o w e r s h e l l 脚 本 运 行 的 痕 迹 ， 其 在 事 件 查 看 器 中 的 位 置 如 下 图 所 示 ： 3 、 、 W e v t u t i l . e x e 简 介 简 介 W e v t u t i l . e x e 是 系 统 自 带 的 系 统 日 志 命 令 行 管 理 工 具 ， 位 于 c : w i n d o w s s y s t e m 3 2 目 录 下 ， 其 命 令 行 参 数 如 下 所 示 ： |   w e v t u t i l   C O M M A N D   [ A R G U M E N T   [ A R G U M E N T ]   … ]   [ / O P T I O N : V A L U E   [ / O P T I O N : V A L U E ]   … ] 命 令 命 令 : e l   |   e n u m - l o g s                     列 出 日 志 名 称 。 g l   |   g e t - l o g                           获 取 日 志 配 置 信 息 。 s l   |   s e t - l o g                             修 改 日 志 配 置 。 e p   |   e n u m - p u b l i s h e r s           列 出 事 件 发 布 者 。 g p   |   g e t - p u b l i s h e r                 获 取 发 布 者 配 置 信 息 。 i m   |   i n s t a l l - m a n i f e s t               从 清 单 中 安 装 事 件 发 布 者 和 日 志 。 u m   |   u n i n s t a l l - m a n i f e s t         从 清 单 中 卸 载 事 件 发 布 者 和 日 志 。 q e   |   q u e r y - e v e n t s                 从 日 志 或 日 志 文 件 中 查 询 事 件 。 g l i   |   g e t - l o g - i n f o                   获 取 日 志 状 态 信 息 。 e p l   |   e x p o r t - l o g                     导 出 日 志 。 a l   |   a r c h i v e - l o g                       存 档 导 出 的 日 志 。 c l   |   c l e a r - l o g                           清 除 日 志 。 常 用 选 项 常 用 选 项 :
/ { r   |   r e m o t e } : V A L U E   如 果 指 定 ， 则 在 远 程 计 算 机 上 运 行 该 命 令 。 V A L U E   是 远 程 计 算 机 名 称 。 / i m   和   / u m   选 项 不 支 持 远 程 操 作 。 / { u   |   u s e r n a m e } : V A L U E   指 定 一 个 不 同 的 用 户 以 登 录 到 远 程 计 算 机 。   V A L U E   是   d o m a i n u s e r   或   u s e r   形 式 的 用 户 名 。 只 有 在 指 定   / r   选 项 时 才 适 用 。 / { p   |   p a s s w o r d } : V A L U E   指 定 的 用 户 密 码 。 如 果 未 指 定 ，   或 者   V A L U E   为   “ * ” ， 则 会 提 示 用 户 输 入 密 码 。   只 有 在 指 定 / u   选 项 时 才 适 用 。 / { a   |   a u t h e n t i c a t i o n } : [ D e f a u l t | N e g o t i a t e | K e r b e r o s | N T L M ]   用 于 连 接 到 远 程 计 算 机 的 身 份 验 证 类 型 。 默 认 值 为 N e g o t i a t e 。 / { u n i   |   u n i c o d e } : [ t r u e | f a l s e ]   使 用   U n i c o d e   显 示 输 出 。 如 果 为   t r u e ， 则 使 用   U n i c o d e   显 示 输 出 。   | |   — -   | 4 、 疑 问 、 疑 问 a )           清 除 系 统 日 志 的 动 机 大 家 都 很 清 楚 ， 无 外 乎 隐 藏 攻 击 者 痕 迹 。 为 什 么 要 清 除 w i n d o w s   p o w e r s h e l l 日 志 呢 ？ 除 非 在 整 个 入 侵 或 者 渗 透 过 程 中 ， 攻 击 者 利 用 p o w e r s h e l l 执 行 了 某 些 指 令 ？ 可 是 如 何 查 看 其 执 行 的 指 令 呢 ？ 是 否 预 示 。 。 。 ？ 毕 竟 现 在 还 不 清 楚 入 侵 手 段 。 b )           怎 么 能 够 把 一 个 . b a t 文 件 注 册 为 服 务 进 程 呢 ？ c )           安 装 系 统 服 务 是 必 须 具 备 超 级 用 户 权 限 的 ， 入 侵 者 是 通 过 何 种 手 段 进 入 的 ， 又 是 如 何 躲 避 U A C 的 ？ 在 实 验 机 器 上 手 动 执 行 该 r u n . b a t 批 处 理 ， 其 运 行 界 面 如 下 ： （ 二 ） （ 二 ） R u n 6 4 . b a t 1 、 文 件 内 容 、 文 件 内 容 2 、 命 令 解 析 、 命 令 解 析 从 r u n 6 4 . b a t 内 容 我 们 可 以 估 计 U p d a t e 6 4 . e x e 就 是 一 个 挖 矿 程 序 ， 其 挖 掘 的 是 X M R 虚 拟 货 币 ， 矿 池 是 x m r . p o o l . m i n e r g a t e . c o m : 4 5 5 6 0 ， 挖 矿 帐 号 是 ： c o o l d a y r i g h t @ o u t l o o k . c o m 。
3 、 、 M i n e r G a t e 简 介 简 介 M i n e r G a t e 是 国 外 一 个 知 名 的 挖 矿 网 站 ， 支 持 很 多 种 虚 拟 或 货 币 的 挖 矿 、 转 账 交 易 等 ， 其 网 站 主 页 为 ： h t t p s : / / m i n e r g a t e . c o m / 。 根 据 网 站 主 页 显 示 ， 目 前 支 持 B T C 、 X M R 、 以 太 坊 等 1 6 种 主 流 的 虚 拟 货 币 ， 具 体 支 持 的 货 币 如 下 图 所 示 ： 在 网 站 上 可 以 直 观 查 看 挖 矿 收 益 ， 而 且 支 持 的 系 统 很 多 ， 目 前 已 经 支 持 安 卓 手 机 ， 适 合 各 种 人 群 。 一 句 话 总 结 ， M i n e r g a t e 就 是 一 款 或 许 是 最 简 单 的 入 门 的 挖 矿 工 具 ！ 补 充 ： 补 充 ： 第 一 、 在 M i n e r g a t e 网 站 注 册 时 必 须 利 用 真 实 有 效 的 邮 箱 地 址 进 行 注 册 确 认 ， 因 此 ， c o o l d a y r i g h t @ o u t l o o k . c o m 邮 箱 是 攻 击 者 的 真 实 有 效 E M A I L 。 第 二 、 根 据 第 二 、 根 据 m i n e r g a t e 网 站 提 示 ， 其 用 于 网 站 提 示 ， 其 用 于 x m r 挖 矿 的 端 口 已 经 修 改 为 挖 矿 的 端 口 已 经 修 改 为 4 5 7 0 0 ， 而 本 样 本 依 然 连 接 的 是 ， 而 本 样 本 依 然 连 接 的 是 4 5 5 6 0 端 口 ， 端 口 ， 或 许 攻 击 者 还 会 采 取 下 一 步 动 作 ？ 或 许 攻 击 者 还 会 采 取 下 一 步 动 作 ？ （ 三 ） （ 三 ） s v c h o s t . e x e 查 看 文 件 属 性 ， 如 下 图 ： 查 看 文 件 属 性 ， 如 下 图 ： 打 开 b a i d u ， 搜 索 n s s m . e x e ， 结 果 如 下 。
我 们 发 现 ， s v c h o s t . e x e 其 实 就 是 服 务 管 理 软 件 n s s m . e x e ， 其 官 网 地 址 为 ： h t t p : / / n s s m . c c / g i t h u b 上 N S S M （ h t t p s : / / g i t h u b . c o m / k i r i l l k o v a l e n k o / n s s m ） 。 根 据 网 络 查 询 ， N S S M 是 一 个 服 务 封 装 程 序 ， 它 可 以 将 普 通 e x e 程 序 封 装 成 服 务 ， 使 之 像 w i n d o w s 服 务 一 样 运 行 。 同 类 型 的 工 具 还 有 微 软 自 己 的 s r v a n y ， 不 过 n s s m 更 加 简 单 易 用 ， 并 且 功 能 强 大 。 它 的 特 点 如 下 ： l     支 持 普 通 e x e 程 序 （ 控 制 台 程 序 或 者 带 界 面 的 W i n d o w s 程 序 都 可 以 ） l     安 装 简 单 ， 修 改 方 便 l     可 以 重 定 向 输 出 （ 并 且 支 持 R o t a t i o n ） l     可 以 自 动 守 护 封 装 了 的 服 务 ， 程 序 挂 掉 了 后 可 以 自 动 重 启 l     可 以 自 定 义 环 境 变 量 至 此 ， 上 面 的 疑 问 （ . b a t 文 件 如 何 能 注 册 为 服 务 进 程 ） 终 于 得 到 了 解 决 。 N S S M 很 强 大 ， 真 的 很 强 大 ！ ！ ！ ！ 怪 不 得 ， 上 面 杀 了 u p d a t e 6 4 . e x e ， 过 一 会 该 进 程 就 重 新 启 动 。 （ 四 ） （ 四 ） U p d a t e 6 4 . e x e 从 r u n 6 4 . b a t 我 们 可 知 ， 其 实 U p d a t e 6 4 . e x e 就 是 一 个 挖 矿 软 件 。 文 件 属 性 如 下 图 所 示 ， 文 件 修 改 时 间 为 2 0 1 6 年 9 月 2 日 。
根 据 经 验 ， 很 多 挖 矿 软 件 都 自 带 命 令 行 帮 助 文 件 ， 于 是 我 们 直 接 在 命 令 行 下 运 行 该 程 序 ， 结 果 却 如 下 所 示 ： 说 明 该 程 序 应 该 是 经 过 重 新 修 改 编 译 了 。 直 接 加 上 参 数 运 行 （ 调 用 r u n 6 4 . b a t ） ， 发 现 其 竟 然 是 有 控 制 台 显 示 的 （ 利 用 s y s t e m 权 限 调 用 也 是 有 原 因 ， 至 少 不 会 弹 出 黑 屏 框 ） ， 其 显 示 的 界 面 如 下 图 所 示 ： 根 据 网 络 查 询 ， 发 现 U p d a t e 6 4 就 是 C l a y m o r e - X M R - C P U - M i n e r ， 版 本 为 3 . 5 版 本 ， 一 款 利 用 开 源 的 利 用 c p u 挖 掘 x m r 币 的 软 件 ， 其 g i t h u b 地 址 为 ： h t t p s : / / g i t h u b . c o m / n a n o p o o l / C l a y m o r e - X M R - C P U - M i n e r / r e l e a s e s 。 目 前 已 经 更 新 到 4 . 0 版 本 。 C l a y m o r e 支 持 多 种 虚 拟 货 币 挖 矿 ：
由 于 m i n e r g a t e 网 站 没 有 提 供 直 接 挖 矿 收 益 查 询 功 能 ， 注 册 用 户 只 能 查 看 其 自 身 收 益 情 况 ， 因 此 无 法 得 知 攻 击 者 c o o l d a y r i g h t @ o u t l o o k . c o m 收 益 情 况 。 四 、 总 结 与 疑 问 四 、 总 结 与 疑 问 1 、 卸 载 服 务 。 2 、 删 除 文 件 实 体 。 3 、 入 侵 手 法 未 知 ？ 也 就 是 压 缩 档 文 件 u p d a t e . e x e 是 如 何 进 入 到 用 户 系 统 的 ， 目 前 不 知 道 ， 还 有 整 个 分 析 过 程 没 有 发 现 “ p o w e r s h e l l ” 命 令 运 行 痕 迹 ， 结 合 r u n . b a t 里 面 清 除 ” p o w e r s h e l l ” 日 志 ， 是 否 有 可 能 是 利 用 某 些 漏 洞 攻 击 手 法 （ 比 如 d o c 文 档 攻 击 ， 里 面 调 用 p o w e r s h e l l 命 令 下 载 文 件 执 行 ？ 可 是 不 对 ， 文 档 类 攻 击 无 法 获 取 s y s t e m 权 限 ？ ） 4 、 难 道 真 的 是 直 接 发 送 给 用 户 u p d a t e . e x e 让 其 运 行 ， 可 是 为 什 么 会 在 c : w i n d o w s 目 录 下 呢 ？ 5 、 如 果 是 自 动 化 入 侵 手 段 ， 应 该 是 利 用 漏 洞 攻 击 手 法 ， 比 如 前 期 的 j b o s s 、 w e b s p h e r e 等 软 件 漏 洞 ， 在 w i n d o w 系 统 下 可 以 直 接 获 取 s y s t e m 权 限 。 可 是 有 些 终 端 主 机 都 是 简 单 的 客 户 端 ， 没 有 对 外 提 供 服 务 ？ 有 可 能 是 先 控 制 的 服 务 器 ， 然 后 进 行 内 网 渗 透 ？ 岂 不 是 全 网 沦 陷 了 ？ 汗 。 。 。 6 、 带 着 疑 问 。 。 。 继 续 前 行 吧 ， 网 络 安 全 永 远 在 路 上 。 *   本 文 作 者 ： C G F 9 9 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理