搜索

[3846] 2017-05-19_比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的？

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-05-19_比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的？ 比 W a n n a C r y 还 厉 害 的 A d y l k u z z 挖 矿 僵 尸 网 络 是 怎 么 被 发 现 的 ？ 原 创   E 安 全   E 安 全   2 0 1 7 - 0 5 - 1 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 5 月 1 9 日 讯     5 月 1 2 日 ， 攻 击 者 利 用 “ 永 恒 之 蓝 ” （ E t e r n a l B l u e ） 在 全 球 范 围 内 发 起 大 规 模 勒 索 软 件 攻 击 。 “ 影 子 经 纪 人 ” （ S h a d o w B r o k e r s ） 4 月 1 4 日 泄 露 的 N S A 黑 客 工 具 就 包 括 “ 永 恒 之 蓝 ” （ E t e r n a l B l u e ） ， 这 款 工 具 利 用 T C P   4 4 5 端 口 S M B 的 漏 洞 发 现 网 络 中 易 受 攻 击 的 计 算 机 ， 并 横 向 扩 散 攻 击 者 选 择 的 恶 意 有 效 载 荷 。 但 是 ， P r o o f p o i n t 公 司 的 研 究 人 员 还 发 现 另 一 起 规 模 巨 大 的 攻 击 ， 其 利 用 其 利 用 E t e r n a l B l u e 和 后 门 和 后 门 D o u b l e P u l s a r 安 装 加 密 货 币 挖 矿 软 件 安 装 加 密 货 币 挖 矿 软 件 A d y l k u z z 。 初 步 数 据 统 计 表 明 ， 这 起 攻 击 的 规 模 可 能 比 “ W a n n a C r y ” 还 大 ， 影 响 了 全 球 几 十 万 台 P C 和 服 务 器 ， 因 为 这 起 攻 击 关 闭 S M B 网 络 ， 通 过 同 样 的 漏 洞 阻 止 其 他 恶 意 软 件 （ 包 括 W a n n a C r y 蠕 虫 ） 感 染 ， 而 这 起 攻 击 对 上 周 五 报 道 的 W a n n a C r y 感 染 起 到 一 定 限 制 作 用 。 A d y l k u z z 攻 击 的 征 兆 包 括 ： 共 享 W i n d o w s 资 源 访 问 权 丢 失 ， P C 和 服 务 器 的 性 能 受 到 影 响 。 几 个 大 型 组 织 机 构 美 国 时 间 1 5 日 早 上 报 告 出 现 了 网 络 问 题 ， 最 初 他 们 以 为 是 W a n n a C r y 在 作 祟 。 然 而 未 出 现 勒 索 信 息 ， 因 此 研 究 人 员 认 为 这 些 问 题 可 能 与 A d y l k u z z 有 关 。 但 是 ， 值 得 注 意 的 是 ， A d y l k u z z 攻 击 活 动 在 时 间 上 早 于 W a n n a C r y 勒 索 攻 击 ， 至 少 自 5 月 2 日 就 开 始 了 ， 可 能 最 早 始 于 4 月 2 4 日 ， A d y l k u z z 攻 击 仍 在 持 续 ， 虽 然 不 如 W a n n a C r y 那 般 肆 虐 ， 但 规 模 巨 大 ， 具 有 潜 在 破 坏 性 。 A d y l k u z z 是 如 何 被 发 现 的 ？ 在 研 究 W a n n a C r y 勒 索 病 毒 的 过 程 中 ， 研 究 人 员 使 用 一 台 易 遭 受 E t e r n a l B l u e 攻 击 的 实 验 室 电 脑 进 行 测 试 。 虽 然 研 究 人 员 希 望 是 W a n n a C r y ， 但 这 台 实 验 室 电 脑 实 际 上 却 遭 遇 了 A d y l k u z z 感 染 。 研 究 人 员 经 过 多 次 重 复 操 作 ， 结 果 仍 一 致 ： 即 在 2 0 分 钟 内 将 易 受 攻 击 的 设 备 暴 露 在 公 开 网 络 中 ， 结 果 该 设 备 被 加 入 A d y l k u z z 挖 矿 僵 尸 网 络 。
图 1 ： 某 主 机 遭 遇 E t e r n a l B l u e / D o u b l e P u l s a r 攻 击 ， 然 后 从 另 一 台 主 机 下 载 A d y l k u z z 这 起 攻 击 从 几 台 虚 拟 专 用 服 务 器 发 起 ， 这 些 服 务 器 在 T C P   4 4 5 端 口 上 扫 描 互 联 网 寻 找 潜 在 目 标 。 一 旦 成 功 利 用 E t e r n a l B l u e ， 目 标 设 备 便 会 被 D o u b l e P u l s a r 感 染 ， 之 后 ， D o u b l e P u l s a r 后 门 从 另 一 台 主 机 下 载 并 运 行 A d y l k u z z 。 一 旦 运 行 ， A d y l k u z z 将 首 先 停 止 已 经 在 运 行 的 任 何 潜 在 实 例 ， 并 阻 止 S M B 通 信 ， 以 避 免 进 一 步 感 染 。 此 后 ， A d y l k u z z 确 定 受 害 者 的 公 开 I P 地 址 ， 并 下 载 挖 矿 指 令 、 加 密 挖 矿 软 件 和 清 理 工 具 。 似 乎 在 任 何 给 定 时 间 内 ， 有 多 台 A d y l k u z z 命 令 与 控 制 （ C & C ） 服 务 器 托 管 加 密 挖 矿 软 件 二 进 制 和 挖 矿 指 令 。 图 2   显 示 A d y l k u z z 感 染 设 备 后 生 成 的 流 量 ： 图 2 ： 感 染 后 的 流 量 A d y l k u z z 正 在 挖 “ 门 罗 币 ” 而 非 比 特 币 这 起 攻 击 中 ， A d y l k u z z 被 用 来 挖 掘 门 罗 币 （ M o n e r o ， X M R ， E 安 全 注 ： 类 似 比 特 币 的 一 种 数 字 货 币 ） 。 与 比 特 币 相 比 ， 门 罗 币 的 匿 名 功 能 更 强 大 。 自 从 被 A l p h a B a y 暗 网 市 场 采 用 后 ， 门 罗 币 活 动 激 增 。 执 法 当 局 将 A l p h a B a y 暗 网 市 场 称 之 为 “ 贩 卖 毒 品 、 被 盗 信 用 卡 和 假 冒 产 品 的 主 要 地 下 网 站 ” 。 与 其 它 加 密 货 币 一 样 ， 门 罗 币 通 过 挖 矿 过 程 增 加 市 场 资 本 。 挖 矿 过 程 是 计 算 密 集 型 的 ， 但 挖 矿 人 会 得 到 加 密 货 币 奖 励 ， 目 前 的 区 块 奖 励 为 7 . 5 8   门 罗 币 或 约 1 7 2 2 元 （ 2 0 5 美 元 ） 。 图 三 显 示 A d y l k u z z 的 门 罗 币 挖 矿 ， 其 散 布 要 比 比 特 币 更 容 易 ， 比 特 币 目 前 通 常 需 要 专 用 的 高 性 能 设 备 。
图 3 ：   A d y l k u z z 感 染 虚 拟 机 的 部 分 行 为 分 析 ， 包 括 关 闭 S B M 或 启 动 门 罗 币 挖 矿 图 4 中 显 示 了 一 个 相 关 的 门 罗 币 地 址 。 哈 希 率 （ H a s h   R a t e ） 显 示 ， 与 A d y l k u z z 僵 尸 网 络 特 定 实 例 相 关 的 相 对 速 度 是 门 罗 币 挖 矿 ， 而 总 付 款 额 显 示 的 是 向 挖 矿 活 动 特 定 地 址 支 付 的 金 额 。 这 种 情 况 ， 在 该 地 址 相 关 挖 矿 活 动 停 止 前 ， 付 款 金 额 超 过 1 5 万 元 。 图 4 ： A d y l k u z z 挖 矿 收 入 相 关 的 一 个 门 罗 币 地 址 从 一 个 A d y l k u z z 地 址 每 天 的 挖 矿 金 额 可 以 看 出 ， 支 付 活 动 于 4 月 2 4 日 开 始 激 增 ， 也 就 是 攻 击 开 始 的 时 间 。 研 究 人 员 认 为 ， 5 月 1 1 支 付 活 动 突 然 减 少 表 明 ， 攻 击 者 转 移 到 了 新 的 挖 矿 用 户 地 址 （ 图 5 ） 。 定 期 更 换 地 址 表 明 ， 攻 击 者 试 图 避 免 将 太 多 门 罗 币 支 付 到 一 个 地 址 。
图 5 ： 一 个 A d y l k u z z 挖 矿 地 址 的 每 日 支 付 活 动 图 6 中 显 示 了 第 二 个 付 款 地 址 的 统 计 数 据 和 支 付 历 史 。 该 地 址 截 止 当 时 时 间 5 月 1 5 日 支 付 了 超 过 4 . 8 万 元 。 图 6 ： A d y l k u z z 挖 矿 收 入 相 关 的 第 二 个 门 罗 币 地 址 第 三 个 地 址 显 示 了 较 高 的 哈 希 率 ， 支 付 总 额 超 过 9 . 6 万 元 （ 图 7 ） 。
图 7 ： A d y l k u z z 挖 矿 收 入 相 关 的 第 三 个 门 罗 币 地 址 目 前 ， 研 究 人 员 已 经 识 别 了 超 过 2 0 台 主 机 设 置 在 扫 描 和 攻 击 ， 并 有 十 几 个 A d y l k u z z 服 务 器 在 活 跃 。 预 计 ， 还 有 更 多 门 罗 币 挖 矿 付 款 地 址 ， 以 及 与 这 起 活 动 相 关 的 A d y l k u z z   C & C   服 务 器 。 就 像 上 周 五 爆 发 的 W a n n a C r y 勒 索 病 毒 ， 这 起 攻 击 也 使 用 了 泄 露 的 N S A 网 络 武 器 工 具 ， 并 利 用 W i n d o w s 已 打 好 补 丁 的 漏 洞 。 实 际 上 ， A d y l k u z z 攻 击 活 动 发 生 在 W a n n a C r y 勒 索 病 毒 爆 发 数 天 前 。 对 于 运 行 老 旧 版 本 W i n d o w s 或 未 打 S M B 补 丁 的 组 织 机 构 或 个 人 来 说 ， P C 和 服 务 器 仍 易 遭 受 这 类 攻 击 。 此 类 攻 击 包 括 勒 索 软 件 、 加 密 货 币 挖 矿 软 件 或 其 它 任 何 类 型 的 恶 意 软 件 ， 极 具 潜 在 破 坏 力 ， 并 且 遭 遇 攻 击 的 代 价 昂 贵 。 这 两 起 大 型 攻 击 活 动 利 用 的 攻 击 工 具 和 漏 洞 可 能 还 会 被 其 它 人 利 用 ， 因 此 ， 研 究 人 员 建 议 组 织 机 构 和 个 人 尽 快 修 复 电 脑 。 攻 击 指 示 器 攻 击 指 示 器 （ （ I n d i c a t o r s   O f   C o m p r o m i s e ） ）
选 择 丢 弃 的 样 本 选 择 丢 弃 的 样 本
执 行 命 令 执 行 命 令 t a s k k i l l   / f   / i m   h d m a n a g e r . e x e C : W i n d o w s s y s t e m 3 2 w b e m w m i p r v s e . e x e   - s e c u r e d   - E m b e d d i n g t a s k k i l l   / f   / i m   m m c . e x e s c   s t o p   W E L M s c   d e l e t e   W E L M n e t s h   i p s e c   s t a t i c   a d d   p o l i c y   n a m e = n e t b c n e t s h   i p s e c   s t a t i c   a d d   f i l t e r l i s t   n a m e = b l o c k n e t s h   i p s e c   s t a t i c   a d d   f i l t e r a c t i o n   n a m e = b l o c k   a c t i o n = b l o c k n e t s h   i p s e c   s t a t i c   a d d   f i l t e r   f i l t e r l i s t = b l o c k   a n y   s r c m a s k = 3 2   s r c p o r t = 0   d s t a d d r = m e   d s t p o r t = 4 4 5   p r o t o c o l = t c p   d e s c r i p t i o n = 4 4 5 n e t s h   i p s e c   s t a t i c   a d d   r u l e   n a m e = b l o c k   p o l i c y = n e t b c   f i l t e r l i s t = b l o c k   f i l t e r a c t i o n = b l o c k n e t s h   i p s e c   s t a t i c   s e t   p o l i c y   n a m e = n e t b c   a s s i g n = y C : W i n d o w s F o n t s w u a u s e r . e x e   - - s e r v e r C : W i n d o w s F o n t s m s i e x e v . e x e   - a   c r y p t o n i g h t   - o   s t r a t u m + t c p : / / x m r . c r y p t o - p o o l . f r : 4 4 3   - u 4 9 v 1 V 2 s u G M S 8 J y P E U 5 F T t J R T H Q 9 Y m r a W 7 M f 2 b t V C T x Z u E B 8 E j j q Q z 3 i 8 v E C u 7 X C g v U f i W 6 N t S R e w n H F 5 M N A 3 L b Q T B Q V 3 v 9 i   - p   x   - t   1
C : W i n d o w s T E M P s 2 b k . 1 _ . e x e   / s t a b   C : W i n d o w s T E M P s 2 b k . 2 _ . l o g t a s k k i l l   / f   / i m   m s i e x e v . e x e n e t s h   a d v f i r e w a l l   f i r e w a l l   d e l e t e   r u l e   n a m e = " C h r o m e " n e t s h   a d v f i r e w a l l   f i r e w a l l   d e l e t e   r u l e   n a m e = " W i n d r i v e r " n e t s h   a d v f i r e w a l l   f i r e w a l l   a d d   r u l e   n a m e = " C h r o m e "   d i r = i n   p r o g r a m = " C : P r o g r a m   F i l e s G o o g l e C h r o m e A p p l i c a t i o n c h r o m e . t x t "   a c t i o n = a l l o w n e t s h   a d v f i r e w a l l   f i r e w a l l   a d d   r u l e   n a m e = " W i n d r i v e r "   d i r = i n   p r o g r a m = " C : P r o g r a m   F i l e s H a r d w a r e   D r i v e r   M a n a g e m e n t w i n d r i v e r . e x e "   a c t i o n = a l l o w C : W i n d o w s 4 4 5 . b a t C : W i n d o w s s y s t e m 3 2 P I N G . E X E   p i n g   1 2 7 . 0 . 0 . 1 n e t   s t o p   W i n d o w s 3 2 _ U p d a t e a t t r i b   + s   + a   + r   + h   w u a u s e r . e x e C : W i n d o w s s y s t e m 3 2 S e c E d i t . e x e   s e c e d i t   / c o n f i g u r e   / d b   C : W i n d o w s n e t b i o s . s d b C : W i n d o w s s y s t e m 3 2 n e t 1   s t o p   W i n d o w s 3 2 _ U p d a t e S e l e c t   E T   s i g n a t u r e s 2 0 2 4 2 1 7   | |   E T   E X P L O I T   P o s s i b l e   E T E R N A L B L U E   M S 1 7 - 0 1 0   H e a p   S p r a y 2 0 2 4 2 1 8   | |   E T   E X P L O I T   P o s s i b l e   E T E R N A L B L U E   M S 1 7 - 0 1 0   E c h o   R e s p o n s e 2 0 2 4 2 1 6   | |   E T   E X P L O I T   P o s s i b l e   D O U B L E P U L S A R   B e a c o n   R e s p o n s e 2 0 0 0 4 1 9   | |   E T   P O L I C Y   P E   E X E   o r   D L L   W i n d o w s   f i l e   d o w n l o a d 2 8 2 6 1 6 0   | |   E T P R O   T R O J A N   C o i n M i n e r   K n o w n   M a l i c i o u s   S t r a t u m   A u t h l i n e   ( 2 0 1 7 - 0 4 - 2 8   1 ) 2 0 1 7 3 9 8   | |   E T   P O L I C Y   I n t e r n a l   H o s t   R e t r i e v i n g   E x t e r n a l   I P   v i a   i c a n h a z i p . c o m   -   P o s s i b l e   I n f e c t i o n 2 0 2 2 8 8 6   | |   E T   P O L I C Y   C r y p t o   C o i n   M i n e r   L o g i n 1 9 E 安 全 要 闻 简 讯 安 全 要 闻 简 讯 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 5 月 月   0 1 土 耳 其 将 建 立 “ 网 军 ” 应 对 勒 索 病 毒 及 其 他 网 络 威 胁 0 2 U b e r 平 台 现 身 份 认 证 漏 洞 ， 利 用 漏 洞 可 重 置 任 意 账 户 密 码 0 3 澳 门 将 设 网 络 安 全 预 警 中 心 以 统 一 防 范 体 系
0 4 W i n d o w s   7 系 统 最 易 遭 W a n n a c r y 勒 索 病 毒 感 染   中 俄 两 国 受 损 严 重 0 5 美 国 众 议 院 通 过 《 政 府 技 术 现 代 化 法 案 》 0 6 比 W a n n a C r y 还 厉 害 的 A d y l k u z z 挖 矿 僵 尸 网 络 是 怎 么 被 发 现 的 ？ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理