搜索

[12884] 2018-06-29_WannaMine再升级，摇身一变成为军火商？

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2018-06-29_WannaMine再升级，摇身一变成为军火商？ W a n n a M i n e 再 升 级 ， 摇 身 一 变 成 为 军 火 商 ？ 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 8 - 0 6 - 2 9 W a n n a M i n e 是 个 是 个 “ 无 文 件 无 文 件 ” 僵 尸 网 络 ， 在 入 侵 过 程 中 无 任 何 文 件 落 地 ， 仅 仅 依 靠 僵 尸 网 络 ， 在 入 侵 过 程 中 无 任 何 文 件 落 地 ， 仅 仅 依 靠 W M I 类 属 性 存 储 类 属 性 存 储 S h e l l C o d e ， 并 ， 并 通 过 通 过 “ 永 恒 之 蓝 永 恒 之 蓝 ” 漏 洞 攻 击 武 器 以 及 漏 洞 攻 击 武 器 以 及 “ M i m i k a t z + W M I E x e c ” 攻 击 组 件 进 行 横 向 渗 透 。 相 比 较 其 他 挖 矿 僵 尸 网 攻 击 组 件 进 行 横 向 渗 透 。 相 比 较 其 他 挖 矿 僵 尸 网 络 ， 络 ， W a n n a M i n e 使 用 更 为 高 级 的 攻 击 手 段 ， 这 也 是 使 用 更 为 高 级 的 攻 击 手 段 ， 这 也 是 W a n n a M i n e 能 够 存 活 至 今 的 原 因 之 一 。 能 够 存 活 至 今 的 原 因 之 一 。 W a n n a M i n e 最 早 出 最 早 出 现 在 公 众 视 野 是 现 在 公 众 视 野 是 2 0 1 7 年 底 ， 在 对 年 底 ， 在 对 W a n n a M i n e 的 持 续 跟 踪 中 的 持 续 跟 踪 中 3 6 0 分 析 人 员 发 现 ， 分 析 人 员 发 现 ， W a n n a M i n e 可 能 已 经 开 始 为 其 他 可 能 已 经 开 始 为 其 他 黑 客 组 织 提 供 武 器 。 黑 客 组 织 提 供 武 器 。 图 1   W a n n a M i n e 攻 击 简 图 自 W a n n a M i n e 出 现 到 2 0 1 8 年 3 月 的 这 段 时 间 中 ， W a n n a M i n e 较 为 沉 寂 ， 仅 仅 更 换 了 几 次 载 荷 托 管 地 址 。 2 0 1 8 年 3 月 起 ， W a n n a M i n e 开 始 攻 击 搭 建 于 W i n d o w s 操 作 系 统 上 的 W e b 服 务 端 ， 包 括 W e b l o g i c 、 P H P M y A d m i n 、 D r u p a l 。 图 2 展 示 了 W a n n a M i n e 在 2 0 1 8 年 2 月 到 4 月 载 荷 托 管 地 址 以 及 攻 击 目 标 的 变 化 。 图 2   W a n n a M i n e 在 2 0 1 8 年 2 月 至 4 月 载 荷 托 管 地 址 与 攻 击 目 标 的 变 化 由 于 3 月 份 的 这 次 更 新 使 W a n n a M i n e 增 加 了 攻 击 目 标 ， 其 控 制 的 僵 尸 机 数 量 也 随 之 大 幅 度 增 加 。 僵 尸 网 络 规 模 的 扩 大 使 僵 尸 网 络 控 制 者 急 于 将 利 益 最 大 化 ， 果 不 其 然 ， W a n n a M i n e 在 6 月 份 的 更 新 之 后 出 现 了 为 其 他 黑 客 组 织 工 作 的 迹 象 ， 这 可 以 从 一 个 表 格 体 现 出 来 。 表 1 展 示 了 W a n n a M i n e 自 2 0 1 8 年 2 月 以 来 的 载 荷 托 管 i p 地 址 以 及 当 时 解 析 到 该 i p 地 址 的 域 名 （ 表 格 按 时 间 先 后 从 上 往 下 排 列 ） 。 表 1 载 荷 托 管 载 荷 托 管 i p 地 址 地 址 使 用 时 解 析 到 该 使 用 时 解 析 到 该 i p 地 址 的 域 名 地 址 的 域 名 1 9 5 . 2 2 . 1 2 7 . 1 5 7 n o d e 3 . j h s h x b v . c o m 、 、 n o d e . j h s h x b v . c o m 、 、   n o d e 4 . j h s h x b v . c o m 、 、 n o d e 2 . j h s h x b v . c o m 1 0 7 . 1 7 9 . 6 7 . 2 4 3 s t a f f t e s t . s p d n s . e u * * 、 p r o f e t e s t r u e c . n e t * * 4 5 . 6 3 . 5 5 . 1 5 未 知 未 知 9 4 . 1 0 2 . 5 2 . 3 6 n u k i - d x . c o m 1 2 3 . 5 9 . 6 8 . 1 7 2 d d d . p a r k m a p . o r g * * 、 y p . p a r k m a p . o r g * * 9 3 . 1 7 4 . 9 3 . 7 3 d e m a x i y a . i n f o * * 、 f a s h i o n b o o k m a r k . c o m * * 1 2 1 . 1 7 . 2 8 . 1 5 未 知 未 知
1 9 5 . 2 2 . 1 2 7 . 9 3 w w w . w i n d o w s d e f e n d e r h o s t . c l u b 1 9 8 . 5 4 . 1 1 7 . 2 4 4 u p d a t e . w i n d o w s d e f e n d e r h o s t . c l u b 1 0 7 . 1 4 8 . 1 9 5 . 7 1 d 4 u k . 7 h 4 u k . c o m 1 8 5 . 1 2 8 . 4 0 . 1 0 2 d 4 u k . 7 h 4 u k . c o m 、 、 u p d a t e . 7 h 4 u k . c o m 、 、   i n f o . 7 h 4 u k . c o m 1 8 5 . 1 2 8 . 4 3 . 6 2 d 4 u k . 7 h 4 u k . c o m 、 、 u p d a t e . 7 h 4 u k . c o m 、 、   i n f o . 7 h 4 u k . c o m 1 9 2 . 7 4 . 2 4 5 . 9 7 d 4 u k . 7 h 4 u k . c o m 8 7 . 1 2 1 . 9 8 . 2 1 5 未 知 未 知 1 7 2 . 2 4 7 . 1 1 6 . 8 未 知 未 知 载 荷 托 管 载 荷 托 管 i p 地 址 地 址 使 用 时 解 析 到 该 使 用 时 解 析 到 该 i p 地 址 的 域 名 地 址 的 域 名 从 表 格 中 不 难 看 出 ， 早 期 W a n n a M i n e 所 使 用 的 载 荷 托 管 i p 地 址 经 常 改 变 ， 并 且 通 过 域 名 反 查 得 到 的 域 名 都 是 不 同 的 ， 这 表 明 W a n n a M i n e 可 能 使 用 僵 尸 网 络 中 的 某 一 台 僵 尸 机 用 于 托 管 载 荷 ， 每 次 进 行 更 新 后 ， W a n n a M i n e 就 更 换 一 台 托 管 载 荷 的 僵 尸 机 。 自 1 0 7 . 1 4 8 . 1 9 5 . 7 1 这 个 i p 地 址 之 后 ， W a n n a M i n e 使 用 的 连 续 4 个 载 荷 托 管 地 址 都 是 域 名 d 4 u k . 7 h 4 u k . c o m 所 解 析 到 的 地 址 ， 这 种 情 况 在 之 前 是 不 存 在 的 。 而 这 个 时 间 正 是 6 月 份 W a n n a M i n e 进 行 更 新 的 时 间 节 点 ， 这 在 3 6 0 安 全 卫 士 每 周 安 全 形 势 总 结 （   h t t p : / / w w w . 3 6 0 . c n / n e w s l i s t / z x z x / b z a q x s z j . h t m l ） 中 提 到 过 。 在 这 次 更 新 中 ， W a n n a M i n e 利 用 W e b l o g i c 反 序 列 化 漏 洞 攻 击 服 务 器 后 植 入 挖 矿 木 马 和 D D o s 木 马 。 值 得 一 提 的 是 ， 这 次 W a n n a M i n e 还 使 用 了 刚 刚 面 世 不 久 的 W m i c 攻 击 来 b y p a s s   U A C 和 躲 避 杀 毒 软 件 的 查 杀 。 图 3   W a n n a M i n e   6 月 份 发 动 的 攻 击 流 程 在 W a n n a M i n e 的 这 次 更 新 中 存 在 了 多 个 疑 点 ， 这 些 疑 点 暗 示 此 时 的 W a n n a M i n e 控 制 者 可 能 与 之 前 的 明 显 不 同 ： 1 . W a n n a M i n e 在 3 月 份 到 4 月 份 已 经 发 起 大 规 模 针 对 W e b l o g i c 服 务 端 的 攻 击 ， 僵 尸 网 络 已 经 控 制 了 许 多 W e b l o g i c
服 务 端 ， 为 何 在 6 月 份 的 更 新 之 后 还 要 对 W e b l o g i c 服 务 端 发 起 攻 击 。 2 . 为 何 自 6 月 份 以 来 W a n n a M i n e 的 载 荷 托 管 域 名 都 是 d 4 u k . 7 h 4 u k . c o m 。 通 过 对 域 名 d 4 u k . 7 h 4 u k . c o m 的 跟 踪 可 以 发 现 ， 该 域 名 在 2 0 1 8 年 4 月 中 旬 开 始 被 一 个 黑 客 组 织 使 用 ， 这 要 远 早 于 W a n n a M i n e 对 该 域 名 的 使 用 ， 而 该 黑 客 组 织 在 攻 击 手 法 以 及 目 的 上 也 与 W a n n a M i n e 大 相 径 庭 。 该 黑 客 组 织 通 过 W e b l o g i c 反 序 列 化 漏 洞 C V E - 2 0 1 8 - 2 6 2 8 入 侵 服 务 器 ， 往 服 务 器 中 植 入 D D o s 木 马 。 D D o s 木 马 的 载 荷 托 管 地 址 为 h x x p : / / d 4 u k . 7 h 4 u k . c o m / w _ d o w n l o a d . e x e ， 这 与 W a n n a M i n e 释 放 的 D D o s 木 马 的 托 管 地 址 吻 合 。 图 4   该 黑 客 组 织 使 用 的 攻 击 代 码 虽 然 载 荷 托 管 地 址 与 之 后 W a n n a M i n e 使 用 的 载 荷 托 管 地 址 相 同 ， 但 是 4 月 中 旬 的 攻 击 中 所 有 攻 击 文 件 都 是 落 地 的 并 且 没 有 W a n n a M i n e 代 码 的 痕 迹 ， 其 借 助 s c t 文 件 实 现 持 续 驻 留 的 方 式 也 和 W a n n a M i n e 借 助 W M I 实 现 持 续 驻 留 的 方 式 有 所 不 同 。 可 以 断 定 ， 这 来 自 于 与 W a n n a M i n e 不 同 的 另 一 个 黑 客 组 织 。 另 外 ， 从 W a n n a M i n e   6 月 份 更 新 后 的 代 码 特 征 也 不 难 发 现 ， 其 代 码 进 行 了 略 微 修 改 ， 加 入 了 R u n D D O S 、 K i l l B o t 等 多 个 函 数 ， 这 些 函 数 被 插 入 了 之 前 多 个 版 本 中 都 未 被 修 改 过 的 f u n 模 块 （ f u n 模 块 用 于 进 行 横 向 渗 透 ） ， 并 且 与 f u n 模 块 的 原 始 功 能 非 常 不 搭 ， 此 外   R u n D D O S 中 将 D D o s 木 马 直 接 释 放 到 磁 盘 中 ， 这 也 与 W a n n a M i n e 风 格 不 符 。 可 以 推 断 ， 这 次 代 码 的 改 动 可 能 是 为 其 他 黑 客 组 织 提 供 一 个 定 制 化 的 攻 击 组 件 。 图 5   R u n D D o s 函 数 内 容
通 过 上 述 分 析 ， 可 以 总 结 出 W a n n a M i n e 6 月 份 更 新 之 后 的 两 个 特 点 ： 1 . 使 用 一 个 其 他 黑 客 组 织 1 个 多 月 前 使 用 过 的 载 荷 ， 并 且 此 次 更 新 使 用 的 载 荷 托 管 地 址 和 载 荷 文 件 都 与 该 黑 客 组 织 有 关 ； 2 . 更 新 后 加 入 的 代 码 位 置 、 代 码 内 容 与 之 前 的 风 格 不 符 ， 有 临 时 定 制 化 的 可 能 。 通 过 这 两 个 特 点 可 以 推 断 ， W a n n a M i n e 已 经 开 始 为 其 他 黑 客 组 织 提 供 武 器 已 经 开 始 为 其 他 黑 客 组 织 提 供 武 器 。 结 语 结 语 让 控 制 的 僵 尸 网 络 实 现 更 多 的 利 益 产 出 是 每 个 黑 客 组 织 期 望 的 结 果 ， W a n n a M i n e 的 目 的 也 是 如 此 。 高 级 僵 尸 网 络 商 业 化 对 于 防 御 者 而 言 是 一 种 挑 战 ， 因 为 防 御 者 将 会 遇 到 越 来 越 多 使 用 其 高 超 技 术 的 黑 客 组 织 。 W a n n a M i n e 的 高 超 之 处 ， 在 于 其 隐 蔽 而 又 有 效 的 横 向 渗 透 技 术 ， 这 将 是 防 御 者 在 对 抗 W a n n a M i n e 乃 至 使 用 W a n n a M i n e 的 黑 客 组 织 需 要 重 视 的 地 方 。 * 本 文 作 者 ： 本 文 作 者 ： 3 6 0 安 全 卫 士 ， 转 载 请 注 明 来 自 安 全 卫 士 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理