内容简介：腾讯御见威胁情报中心监测到“贪吃蛇”挖矿木马团伙针对MS SQL服务器进行暴破攻击，攻击成功后利用多个提权工具进行提权，随后植入门罗币挖矿木马、大灰狼远程控制木马、以及键盘记录程序。本次传播的“大灰狼”远控采用更隐秘的DNS隧道通信技术，可绕过大部分软件防火墙，多次利用大厂商白文件进行攻击。【转】1）下载多个恶意文件或者白加黑文件，如mscorsvws.exe，aspnet_wp.exe等2）链接aaaa.usa-138.com，与C2进行交互
0x1 概述
腾讯御见威胁情报中心监测到“贪吃蛇”挖矿木马团伙针对MS SQL服务器进行暴破攻击，攻击成功后利用多个提权 工具 进行提权，随后植入门罗币挖矿木马、大灰狼远程控制木马、以及键盘记录程序。本次传播的“大灰狼”远控采用更隐秘的DNS隧道通信技术，可绕过大部分软件防火墙，多次利用大厂商白文件进行攻击。【转】
0x2 IoC
0x2.1 C2
-
aaaa.usa-138.com
-
http://sql.4i7i.com/32.exe
-
http://4i7i.com/11.exe
-
o.ry52cc.cn,aaaa.usa-138.com
-
o.ry52cc.cn
-
vtqq.f3322.net
-
www.memejerry.top
-
syw520.3322.org
-
http://sql.4i7i.com/64.exe
0x2.2 SHA256
-
5681ae28f984efd6bf1f2ed324cf9a9a14834a8738d58a295aee1bd5fb0d40bf
-
86c2b941b1f9ad3b461ca4902f7920b68180bc0f8cf9e7ed53e34a8971e3f95a
-
bdc2aeb40e7d81c48474392ba5ea4bfa32ef430a78cb86ef2e619ee21b27da22
-
678a4b2c0377bb500b34c6b80f54ef26583adc31a9ad7b899e1579143e3f6624
-
abd4afd71b3c2bd3f741bbe3cec52c4fa63ac78d353101d2e7dc4de2725d1ca1
-
7538b643ed550032aad2c11e650c51d7c261cf8c714c34bd636164a7518184c0
-
678a4b2c0377bb500b34c6b80f54ef26583adc31a9ad7b899e1579143e3f6624
-
e8c726d1301ac3cdbf2532f5d54e93fc7620cab76381b35ac5f6c5990b19efa1
-
d56fc3208cace3c87a7ce2b3520519ee8003c4324bb8da6aaf3c8c629a5eef6d
-
abd4afd71b3c2bd3f741bbe3cec52c4fa63ac78d353101d2e7dc4de2725d1ca1
-
6e81d7c71b3e8d731e11ad75d3dac02a4210c9f90fac618af5c00cbce3718658
-
5681ae28f984efd6bf1f2ed324cf9a9a14834a8738d58a295aee1bd5fb0d40bf
0x3 感染现象
1）下载多个恶意文件或者白加黑文件，如mscorsvws.exe，aspnet_wp.exe等
2）链接aaaa.usa-138.com，与C2进行交互
3）链接http://sql.4i7i.com/和http://4i7i.com/释放后门程序和挖矿程序
4）创建服务用于常驻
5）执行挖矿操作
0x4 样本分析
0x4.1：主体样本
1）得到的原始样本SHA值为 bdc2aeb40e7d81c48474392ba5ea4bfa32ef430a78cb86ef2e619ee21b27da22， 加了UPX的壳，脱去外壳得到样本。
2）判断是否是管理员用户，如果是管理员用户会执行如3-11的操作。
3）创建一个名为 clr_optimization的服务，映像路径如下：%windowsdir%\ Framework\mscorsvws.exe。
4）判断是否存在 C:\WINDOWS\Microsoft.NET\Framework\mscorsvws.exe ，如果存在，则执行，否则创建文件 mscorsvws.exe ，并这是只读，隐藏，系统属性。
5）创建 C:\WINDOWS\Microsoft.NET\Framework\aspnet_wp.exe ，并设置只读，系统，隐藏属性，并执行。此样本是一个白加黑的样本。
6）创建 C:\WINDOWS\Microsoft.NET\Framework\ETComm.dll，这是aspnet_wp.exe 的必备组件。
7）创建 C:\WINDOWS\MpMgSvc.dll 文件。
8）给如下进程进行提权，主要提升如下权限： SeRestorePrivilege，SeBackupPrivilege，SeSecurityPrivilege，SeTakeOwnershipPrivilege，其中需要提权的进程主要有：
C:\Windows\system32\sethc.exe，
C:\Windows\system32\osk.exe
C:\Windows\system32\Magnify.exe,
C:\Windows\system32\Narrator.exe
C:\Windows\system32\Utilman.exe
9）利用calc工具拒绝 system对C:\Windows\Fonts*.exe 进行访问。
10）创建从 http://4i7i.com/11.exe 处，创建 11.exe，并执行11.exe。
如果不是管理员用户，则使用傀儡进程技术。
12）判断程序是在32位系统中还是64位系统，由此解密不同的恶意文件。
13） 在当前目录下创建 TrustedInsteller.exe，TrustedInsteller.exe 是一个挖矿程序，然后执行挖矿。
矿池 为：pool.usa-138.com:80；
钱包地址为： 4B7yFmYw2qvEtWZDDnZVeY16HHpwTtuYBg6EMn5xdDbM3ggSEnQFDWDHH6cqdEYaPx4iQvAwLNu8NLc21QxDU84GGxZEY7S。
14）通过dump侵入 svchost.exe 执行傀儡进程操作的文件。首先程序会 Kill rundll32.exe 这个进程，这步的目的是后续的样本会使用 rundll32.exe 加载dll文件。
15）检测路径是否处于 %windows% 下，接着设置服务函数 ServiceProc 分析服务函数，我们知道其执行了以下2个重要操作。
1. 提升进程权限，创建伪句柄。
2. 并且与CC服务器交互3.获取设备相关信息(主要包括处理器信息，系统物理和虚拟内存使用情况，设备驱动器信息和驱动程序信息)
16）开始服务 aspnet_staters。
17）并设置程序自启动。
18）设置注册表数据，主要是设置 aspnet_staters 服务的相关信息，以便其他样本读取，并判断是否被感染。
19）检索大多数国内安全厂商进程。
0x4.2 11.exe分析
1）创建文件 C:\WINDOWS\Help\Helpsvc.exe. 创建名为 WinHelpSvcs 的服务，二进制文件为 Helpsvc.exe， 实现永久化
2）将 HelpSvc.exe 设置系统隐藏属性。
3）创建 C:\WINDOWS\Help\Winlogon.exe 同样设置隐藏系统属性，并执行。
4）创建 C:\WINDOWS\Help\active_desktop_render.dl l文件。
5）删除服务。
6）配置 IPSEC 安全策略(DNS桥隧通信)。
7）利用cacls禁止system用户对如下文件访问
-
C:\ProgramData\Storm\update\%YOUSHIZHUAY%*.cc3
-
C:\ProgramData\DRM\%SESSIONNAME%*.cc3
-
C:\ProgramData\Storm\update\%SESSIONNAME%*.cc3
8）关闭 LanmanServer和Schedule 服务。
9）自删除。
0x4.3：Winlogon.exe 分析
1）首先这是一个白加黑的样本，利用kugou需要加载 active_desktop_render.dll调用SetDesktopMonitorHook 的原理，改写 active_desktop_render.dll 文件，实现白加黑的技术。主要分析在于对 active_desktop_render_new.dll 的分析。
2） HOOK svchost 进程，为了是为了调用 TrustedInstaller.exe_ 进行挖矿。
3）这三个删除创建操作是为了恢复原来存在的a ctive_desktop_render.dl l文件。
4）检索 HelpSvc.exe， 并终止进程。
5）键盘记录。
6）传输音频数据。
7）截屏。
0x4.4： active_desktop_render_new.dll 分析
1) 首先这是利用白加黑实现的一次攻击，通过酷狗音乐调用 SetDesktopMonitorHook 进行团伙的黑操作。
2）样本会侵入 svchost 这一个系统关键宿主进程，这样为了迷惑用户，以至于难以察觉。从编码方式上来看，是同一个作案团伙，同样使用 jmp-API, 或者 jmp-Fun 这类操作，没有直接调用函数或者API，有效阻碍分析人员分析。
3）由于样本是白加黑，为了避免由于黑文件存在影响正常的功能，所以样本会释放以前正常的dll文件，并替换。
4）最后程序会终止 HelpSvc.exe 进程。
0x4.5 MpMgSvc.dll 分析
1）从样本维度看，这是一个dll文件，暂时没有找到调用他的PE文件，所以一下只能从功能上分析。由此可知，这是一个连接C2,并根据不同的指令执行对应的操作，包括检索服务信息，设置服务，获取会话，用户信息，关闭指定进程，断开注销会话等操作。
2）创建服务和设置服务的启动状态，借此实现常驻内存。
3）获取用户信息，检索会话信息，根据不同指令，执行不同操作。
4）通过管道通信，传输用户信息。
5）判断进程列表中是否存在指定的进程。
6）检索windows窗口信息。
7) 获取机器相关信息。
0x4.6：aspnet_wp.exe
1) 盛大的白加黑文件，黑文件是 ETComm.dll，其中ETComm.dll 。而且运行之后会跑非，怀疑存在反调试，OD设置中断在系统断点，加载后，中断。然后A lt+E，找到ETComm.dll 脱壳。最好不要使用直接对dll脱壳，这样修复有点问题。
2）创建 clr_optimization_v3.0.50727_32 服务。
3）入侵s vchost.exe 进程。
4）释放隐藏文件 ETComm.dll 到当前目录，这其实是正常的 ETComm.dll， 当操作执行完毕后，删除黑文件 ETComm.dl l。
5）终止 mscprsvws.exe， 爆破sql。
6）通过 dump入侵svchost.exe 的PE，主要功能是启动 aspnet_wp.exe 对应的服务。并设置自启动。
7）在特定情况下也会解析如下域名
o.ry52cc.cn
aaaa.usa-138.com
o.ry52cc.cn
vtqq.f3322.net
syw520.3322.org
www.memejerry.top
- End -
看雪ID： findreamwang
https://bbs.pediy.com/user-739734.htm
本文由看雪论坛 hackerbirder 原创
转载请注明来自看雪社区
热门图书推荐
戳 立即购买！
:warning: 注意
2019 看雪安全开发者峰会门票正在热售中！
长按识别下方 二维码 ， 即可享受 2.5折 优惠！
公众号ID：ikanxue
官方微博：看雪安全
商务合作：wsc@kanxue.com
↙ 点击下方“阅读原文”，查看更多干货
以上所述就是小编给大家介绍的《贪吃蛇挖矿木马团伙分析报告》，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对 码农网 的支持！
本站部分资源来源于网络，本站转载出于传递更多信息之目的，版权归原作者或者来源机构所有，如转载稿涉及版权问题，请联系我们。
Ordering Disorder
Khoi Vinh / New Riders Press / 2010-12-03 / USD 29.99
The grid has long been an invaluable tool for creating order out of chaos for designers of all kinds—from city planners to architects to typesetters and graphic artists. In recent years, web designers......一起来看看 《Ordering Disorder》 这本书的介绍吧!
