搜索

[15624] 2020-07-19_“黑球”攻击仍在行动：从检测杀软到安装挖矿

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2020-07-19_“黑球”攻击仍在行动：从检测杀软到安装挖矿 “ 黑 球 ” 攻 击 仍 在 行 动 ： 从 检 测 杀 软 到 安 装 挖 矿 原 创   M i c h a e l _ H a c k e r   F r e e B u f   2 0 2 0 - 0 7 - 1 9 事 件 概 述 事 件 概 述 开 源 情 报 曾 在 上 月 初 发 布 了 永 恒 之 蓝 下 载 器 挖 矿 木 马 的 更 新 攻 击 事 件 — “ 黑 球 ” 行 动 ， 其 中 就 有 提 到 它 利 用 带 有 O f f i c e 漏 洞 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 的 d o c 文 档 作 为 附 件 的 垃 圾 邮 件 进 行 攻 击 ， 然 后 通 过 执 行 P o w e r S h e l l 命 令 下 载 和 安 装 挖 矿 相 关 的 恶 意 计 划 任 务 ， 相 关 的 垃 圾 邮 件 具 体 信 息 如 下 ： 近 期 ， 马 莲 发 现 有 很 多 用 户 收 到 相 关 的 钓 鱼 垃 圾 邮 件 ， 并 且 恶 意 的 邮 件 附 件 样 本 检 测 率 很 低 ， 如 果 有 用 户 不 谨 慎 点 击 邮 件 附 件 ， 则 系 统 会 被 安 装 挖 矿 程 序 ， 造 成 系 统 卡 顿 等 异 常 现 象 。 钓 鱼 攻 击 的 垃 圾 邮 件 样 例 如 下 （ 邮 件 主 题 是 告 别 信 6 1 8 ） ， 建 议 广 大 计 算 机 用 户 在 查 看 邮 件 时 ， 需 要 留 意 其 安 全 性 。
事 件 分 析 事 件 分 析 我 们 都 知 道 ， “ 黑 球 ” 行 动 的 钓 鱼 邮 件 附 件 是 利 用 O f f i c e 漏 洞 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 的 d o c 文 档 。 早 在 2 0 1 8 年 ， 海 莲 花 组 织 也 曾 使 用 过 该 漏 洞 的 样 本 进 行 攻 击 。 附 件 r e a d m e . d o c 是 一 个 R T F 文 档 ， 其 使 用 漏 洞 触 发 执 行 J S 脚 本 ， 脚 本 进 一 步 通 过 P o w e r S h e l l 命 令 从 远 端 服 务 器 下 载 恶 意 的 P S 脚 本 在 内 存 中 执 行 ， 达 到 “ 无 文 件 ” 的 效 果 。 C V E - 2 0 1 7 - 8 5 7 0 R T F 中 内 嵌 了 一 个 名 Q B N L a W 1 s 7 v q 5 b k i . s c t 为 p a c k a g e 对 象 。 如 下 图 所 示 ： 还 有 一 个 包 含 了 C V E - 2 0 1 7 - 8 5 7 0 漏 洞 的 O L E 2 L i n k 对 象 ， 具 体 信 息 如 下 ：
漏 洞 触 发 后 会 执 行 Q B N L a W 1 s 7 v q 5 b k i . s c t 文 件 ， 该 脚 本 的 作 用 是 通 过 C M D 命 令 执 行 恶 意 的 P o w e r S h e l l 命 令 ， 在 目 标 设 备 中 植 入 挖 矿 程 序 。 我 们 也 可 以 工 具 分 析 此 文 档 ， 同 时 也 可 以 看 到 该 文 档 具 体 包 含 的 对 象 信 息 。 恶 意 的 恶 意 的 P S 脚 本 分 析 脚 本 分 析 通 过 漏 洞 触 发 的 J S 脚 本 我 们 知 道 它 下 载 了 2 个 P S 脚 本 ， 分 别 是 7 p . p h p 和 m a i l . j s p 。 具 体 调 用 逻 辑 是 通 过 7 p . p h p 中 的 b p u 函 数 执 行 恶 意 的 m a i l . j s p 脚 本 内 容 。
7 p . p h p 分 析 分 析 7 p . p h p 的 内 容 是 一 个 混 淆 的 P S 脚 本 ， 具 体 信 息 如 下 ： 我 们 通 过 几 轮 去 混 淆 后 ， 我 们 可 以 发 现 b p u 函 数 的 具 体 内 容 ： b p u 函 数 的 具 体 作 用 就 是 执 行 它 的 参 数 p a y l o a d 内 容 。
m a i l . j s p 分 析 分 析 此 文 件 也 是 一 个 混 淆 的 P S 脚 本 ， 具 体 内 容 如 下 ： 经 过 4 轮 的 去 混 淆 后 ， 我 们 可 以 看 到 具 体 的 明 显 的 恶 意 内 容 。
p a y l o a d 内 容 分 析 内 容 分 析 我 们 看 到 此 脚 本 有 对 计 划 任 务 b l a c k b a l l 的 判 断 ， 看 是 否 目 标 设 备 已 经 中 了 此 挖 矿 病 毒 。 称 为 “ 黑 球 ” 行 动 的 来 源 也 是 如 此 。 首 先 会 判 断 系 统 中 是 否 有 安 装 杀 软 产 品 ， 如 果 有 则 自 动 卸 载 他 们 。 杀 软 产 品 包 括 E S E T 、 卡 巴 斯 基 和 A V A S T 等 。 然 后 检 查 是 否 存 在 “ 黑 球 ” 计 划 任 务 ， 如 果 存 在 ， 则 不 进 行 恶 意 行 为 ， 说 明 此 系 统 已 经 感 染 过 该 挖 矿 病 毒 ， 反 之 则 进 行 后 续 的 注 册 表 、 服 务 和 文 件 的 挖 矿 程 序 相 关 的 恶 意 操 作 （ 详 细 可 参 考 腾 讯 发 布 的 相 关 挖 矿 程 序 分 析 ） 。
C 2 地 址 没 有 变 化 ， 具 体 如 下 ： 删 除 计 划 任 务 和 对 系 统 防 火 墙 等 相 关 的 设 置 。 参 考 信 息 参 考 信 息 永 恒 之 蓝 木 马 下 载 器 发 起   “ 黑 球 ” 行 动 ， 新 增 S M B G h o s t 漏 洞 检 测 能 力 h t t p s : / / m p . w e i x i n . q q . c o m / s / Q E E 9 5 H T K z u T 4 - N y k f v H f G Q I O C 信 息 信 息 U R L h X X p : / / t . a m y n x . c o m : 8 0 / m a i l . j s p ? d o c _ 0 . 7 ? X X X h X X p : / / t . a m y n x . c o m : 8 0 / 7 p . p h p ? 0 . 7 * m a i l _ d o c X X X X X X X t . z z 3 r 0 . c o m t . z e r 9 g . c o m t . a m y n x . c o m S H A - 1 2 3 7 B B 7 D C 2 1 C C 2 7 D 2 F E C 7 0 0 2 7 0 7 8 E 6 E C 2 F A 3 3 F 6 1 D
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理