搜索

[26685] 2021-01-08_无文件门罗币挖矿详细分析报告

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-01-08_无文件门罗币挖矿详细分析报告 无 文 件 门 罗 币 挖 矿 详 细 分 析 报 告 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 1 - 0 8 收 录 于 话 题   # 病 毒 分 析   渗 透 测 试   , 1 个 无 文 件 门 罗 币 挖 矿 详 细 分 析 报 告 1 概 述 概 述 该 样 本 为 无 文 件 门 罗 币 挖 矿 ， 传 播 行 为 通 过 m s 1 7 0 1 0 和 h a s h 传 递 进 行 传 播 ， 相 关 脚 本 保 存 在 W M I   对 象 中 ， 挖 矿 程 序 通 过 开 源 的 P o w e r S p l o i t 中 I n v o k e - M e m o r y L o a d L i b r a r y 进 行 调 用 ， 相 关 操 作 比 较 隐 蔽 ， 在 分 析 时 部 分 相 关 的 服 务 器 依 然 存 活 ， 若 有 错 误 的 地 方 望 大 伙 指 出 ， 谢 谢 2 样 样 本 本 信 息 信 息 样 本 名       1 . p s 1 样 本 大 小   4 2 3 9 4 1 2   b y t e s M D 5         C D C 3 4 D D F 7 8 A 1 6 D 4 C F 8 A 3 B 8 E 7 C C 3 6 1 4 0 6 S H A 1         0 1 1 1 1 C 0 F C C 8 C C 7 5 F F 0 E F 8 4 C F 9 C 7 C 9 6 2 8 F B 4 E A B C D 3 实 实 验 验 环 境 环 境 控 制 端 ： i p :   1 9 2 . 7 4 . 2 4 5 . 9 7 受 控 端 端 ： w i n d o w s   7   i p : 1 9 2 . 1 6 8 . 2 0 2 . 1 3 9 4 简 简 要 要 运 行 运 行
5 具 具 体 体 分 析 分 析 5 . 1 简 单 去 混 淆 简 单 去 混 淆 打 开 样 本 ， 样 本 经 过 混 淆 ， 开 头 有 六 个 变 量 ， 先 不 管 这 六 个 变 量 ： 看 后 面 的 字 串 ， 混 淆 思 路 比 较 简 单 ， 首 先 去 除 掉 s t r i n g 中 , w ! ~ < m h l 字 符 ， 然 后 逐 个 对 字 符 t o I n t 1 6 ， 接 着 用 . ( $ V e R b O S E p R E f e R e N c E . t O S T r I n G ( ) [ 1 , 3 ] + ' X ' - j O I N ' ' ) 生 成 的 i e x 调 用 ； 我 们 去 掉 i e x ， 执 行 后 即 获 得 原 本 字 符 串 ： 5 . 2 分 析 解 混 淆 后 的 脚 本 ： 分 析 解 混 淆 后 的 脚 本 ： 先 p i n g 两 个 域 名 u p d a t e . 7 h 4 u k . c o m 、 i n f o . 7 h 4 u k . c o m 和 两 个 地 址 1 8 5 . 1 2 8 . 4 3 . 6 2 ,   1 9 2 . 7 4 . 2 4 5 . 9 7 ， 判 断 是 否 能 通 信 两 个 域 名 D N S 均 失 败 ：
I p 地 址 1 8 5 . 1 2 8 . 4 3 . 6 2 失 效 ： I p 地 址 1 9 2 . 7 4 . 2 4 5 . 9 7 有 回 复 ： 再 判 断 系 统 位 数 是 否 3 2 位 ， 否 则 下 载 6 4 位 的 p s 1 脚 本 ： 注 册 名 为 r o o t d e f a u l t : S y s t e m _ A n t i _ V i r u s _ C o r e 类 ， 并 把 上 面 六 个 变 量 的 数 据 保 存 到 该 类 的 属 性 中 ， 其 中 版 本 v e r = 1 . 8 ： r o o t d e f a u l t : S y s t e m _ A n t i _ V i r u s _ C o r e 类 : 新 增 的 六 个 属 性 ：
如 果 保 存 属 性 失 败 如 果 保 存 属 性 失 败 ， 则 执 行 以 下 操 作 ： 设 置 标 志 位 ， 运 行 c o h e r n e c e . e x e $ f u n s 解 码 后 为 p o w e r s h e l l 脚 本 ， 其 中 内 容 文 章 后 面 有 介 绍 。 其 中 R u n n D D O S   函 数 在 $ f u n s 解 密 后 的 变 量 中 ， 大 意 是 如 果 $ e n v : t e m p 路 径 下 没 有 c o h e r n e c e . e x e 则 请 求 h t t p : / / $ n i c / l o g o s . p n g 、 h t t p : / / $ n i c / c o h e r n e c e . t x t ， 分 别 下 载 j a v a - l o g - 9 5 2 7 . l o g 和 c o h e r n e c e . e x e ， 并 执 行 c o h e r n e c e . e x e ：
D o w n l o a d _ F i l e 函 数 具 体 实 现 如 下 ： 保 存 属 性 成 功 后 ， 保 存 属 性 成 功 后 ， 通 过 s c a n 函 数 进 行 漏 洞 扫 描 ， 有 m s 1 7 0 1 0 漏 洞 的 I P 保 存 在 $ 1 7 属 性 ， 用 e b 7 / e b 8 函 数 内 网 传 播 $ s c 变 量 解 码 出 s h e l l c o d e ： 5 . 3 安 装 安 装 W M I 事 件 事 件 安 装 W M I 事 件 消 费 者 ， 事 件 过 滤 名 为 W i n d o w s   E v e n t   F i l t e r ， 事 件 消 费 者 名 ， W i n d o w s   E v e n t s   C o n s u m e r ：
事 件 过 滤 参 数 如 下 ： 事 件 消 费 者 参 数 如 下 ： 创 建 W M I 属 性 ， 当 捕 获 到 指 定 事 件 发 生 ， 则 执 行 恶 意 代 码 E n c o d e d S c r i p t ： _ _ E v e n t F i l t e r 实 例 ： C o m m a n d L i n e E v e n t C o n s u m e r 实 例 ：
5 . 4   其 他 设 置 其 他 设 置 查 询 其 他 团 伙 后 门 ， 并 删 除 ： 增 加 一 条 名 为 n e t b c 的 安 全 策 略 ， 组 织 主 机 1 3 9 / 4 4 5 端 口 通 信 ： 增 加 名 为 W i n d o w s L o g T a s k s 、 S y s t e m   L o g   S e c u r i t y   C h e c k 任 务 计 划 ，
设 置 从 不 休 眠 睡 眠 和 电 源 使 用 方 案 ： 查 找 进 程 名 包 含 p o w e r s h e l l 或 s c h t a s k s ， 该 进 程 包 含 使 用 端 口 为 8 0 或 1 4 4 4 4 的 t c p 网 络 连 接 ， 认 为 挖 矿 程 序 已 经 在 执 行 中 ， 则 停 止 该 进 程 ： 当 没 有 触 法 到 上 面 的 c a t c h 分 支 则 直 接 执 行 恶 意 代 码 脚 本 $ s c r i p t ， 否 则 解 码 并 释 放 m s v c p 1 2 0 . d l l 、 m s v c r 1 2 0 . d l l ， 再 反 射 调 用 m o n 挖 矿 程 序 ： 5 . 5   所 执 行 的 所 执 行 的 恶 意 代 码 恶 意 代 码 E n c o d e d S c r i p t 分 析 ： 分 析 ： 先 判 断 服 务 器 是 否 在 线 和 延 时 时 间 ： 访 问 ' u p d a t e . 7 h 4 u k . c o m / v e r . t x t 判 断 本 地 版 本 与 服 务 端 版 本 是 否 一 致 :
跟 接 着 是 一 系 列 准 备 操 作 ， 获 取 开 机 时 间 ， 解 密 并 执 行 $ f u n s 内 容 ， 判 断 $ d i r p a t h 路 径 下 是 否 有 m s v c r 1 2 0 . d l l 、 m s v c p 1 2 0 . d l l ： 查 找 进 程 名 包 含 p o w e r s h e l l ， 该 进 程 包 含 使 用 端 口 为 8 0 或 1 4 4 4 4 的 t c p 网 络 连 接 ， 认 为 挖 矿 程 序 已 经 在 执 行 中 ， 不 再 继 续 执 行 之 后 的 代 码 ： 运 行 D D O S 并 结 束 包 含 字 符 “ S y s t e m _ A n t i _ V i r u s _ C o r e “ 的 进 程 ： K i l l B o t 函 数 如 下 ：
检 查 每 个 进 程 是 否 存 在 3 3 3 3 、 5 5 5 5 、 7 7 7 7 端 口 t c p 链 接 ， 有 则 结 束 该 进 程 : 获 取 W M I 中 的 属 性 $ m o n 、 $ f u n s ， 其 中 $ m o n 解 码 后 为 门 罗 币 的 挖 矿 程 序 ： 矿 池 和 钱 包 如 下 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理