WannaMiner挖矿木马不光擅长黑吃黑,最新变种还会过河拆桥

一、概述

近日,腾讯御见要挟情报中间发清楚明了WannaMiner的新变种,该挖矿木马在挖取XMR同时还会下载远控木马,和以往的版本类似,这个WannaMiner挖矿木马的最新变种会查杀其他挖矿木马,包管自己独享系统资本。同时,该变种在自身入侵成功后会关闭高危端口,避免其他挖矿木马入侵,其目的同样是包管独享挖矿资本。

此外,颠末阐发发明,该变种除了跟友商宣布的MsraMiner家族在破绽使用和恶意根基举措措施上高度同等,跟友商今年六月爆出的另一个家族HSMiner千篇一律。是以我们判断,WannaMiner、MsraMiner、HSMiner实际为同一家族的不合命名,背后为同一黑产团伙。

WannaMiner新变种具有如下特征:

1.假冒微软系统文件,关闭Windows防火墙,添加义务自启动。

2.开释NSA进击对象套件(永恒之蓝),扫描内网445端口横向扩散。

3.开释远程节制木马java.exe(文件名冒充),该远控木马具系一切最高权限,可实现偷取隐私及统统远程治理义务。

4.开释挖矿模块we32.exe,故意思的是,这个挖矿模块除了会停止其他挖矿木马进程,还会在安装好自身之后,会关闭系统的135、137、138、139、445端口,避免这台机械被其他入侵者节制。

5.经由过程同源性阐发,发明该木马与HSMiner挖矿木马高度相似,该木马下载了和HSMiner挖矿木马一样的远程节制模块。

6.经由过程比对以往的要挟情报,发明该木马应用的C2办事器与HSMiner挖矿木马有相关性。

7.同样,经由过程溯源阐发,发明WannaMiner挖矿木马与MsraMiner挖矿木马同样相似度级高,C2办事器也存在复用。

经由过程5,6,7的阐发,御见要挟情报中间判断不合安然团队申报的WannaMiner、MsraMiner与HSMiner背后的节制者为同一团伙。

二、样本分析

WannaMiner木马依然分为三个部分:传播模块、挖矿模块、远控模块。

1、传播模块阐发(32ja.exe)

32ja.exe为自解压SFX文件,履行脚本会解压开释到“%windir%\IME\Microsofts”文件夹下,关闭防火墙,并暗藏文件,设置义务启动。

以办事履行的spoolsv.exe会开释NSA使用组件,并且扫描内网445端口开放的主机写入设置设置设备摆设摆设文件中,并使用永恒之蓝进行进击。并且spoolsv.exe履行步骤会发送回C2办事器d.drawal.dk。

开释的NSA破绽使用组件:

发送履行信息到目标C2:

payload继承下载32ja.exe和we32.exe:

32ja.exe除了会开释破绽使用部分spoolsv.exe外,同时还会开释一个远控java.exe。

2、远控模块阐发(java.exe)

该远控和之前友商的HSMiner申报中的远控同等,不再继承展开。

如远控中遍历的安然软件:

3、挖矿模块阐发(we32.exe)

We32.exe也是SFX自解压文件,解压后脚本履行cls.bat。

Cls.bat会将开释在同一文件夹下的的spoolsv.exe和windows.exe(矿机)启动,spoolsv.exe实际上为NSSM,NSSM是一个办事封装法度榜样,它可以将通俗exe法度榜样封装成办事,使之像windows办事一样运行。脚本会使用spoolsv.exe(NSSM)安装windows.exe,让windows.exe以办事启动。启动后,脚本会继承关闭135,137,138,139,445等端口,避免被其他挖矿木马入侵陵用。

矿机windows.exe为github上源码改动从新编译。因为应用代理矿池https://udns.duckdns.org,无法获取钱包地址。

代理矿池造访:

三、关联阐发

1、代码

从代码来看,该木马跟HSMiner的代码高度相似,而样本的pdb信息也同等。

该木马payload下载代码:

友商申报中的payload下载代码:

pdb信息:

[1] [2]下一页

其次,该木马都下载了和HSMiner一样的远控,且都是使用NSSM来安装办事。

着末,应用御见要挟情报中间查询,该C2下的样本均被打上了HSMiner的标签:

2、和MsraMiner的关系

值得关注的是这次捕获样本WannaMiner变种的破绽使用模块,该模块在破绽进击代码与MsraMiner对NSA组件使用代码高度相似,并且c2办事器复用了MsraMiner的恶意根基举措措施。

左边为MsraMiner传播模块使用代码,右边为spoolsv.exe传播使用代码:

C2:d.drawal.tk,该域名同样呈现在友商的MsraMiner的阐发申报中。

MsraMiner今年三月份同样被友商发明公布,MsraMiner之前曾运行在大年夜型僵尸收集Mining Botnet上,经由过程NSA武器库和自带Web Server进行传播,传播范围达到30000台主机。这次发明的变种在使用代码和根基举措措施上与MsraMiner高度同等。

3、结论

经由过程阐发发明,MsraMiner和WannaMiner实际为统一家族的不合命名,而该家族和另一家族HSMiner背后的黑产团伙极有可能是统一团伙。

四、安然建议

1、手动安装“永恒之蓝”破绽补丁。请造访以下页面:

https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

此中WinXP,Windows Server 2003用户请造访:

https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

2、企业用户建议全网安装御点终端安然治理系统

https://s.tencent.com/product/yd/index.html

御点终端安然治理系统具备终端杀毒统一管控、修复破绽统一管控,以及策略管控等全方位的安然治理功能,可赞助企业治理者周全懂得、治理企业内网安然状况、保护企业安然。

3、小我用户保举应用腾讯电脑管家,拦截此类病毒进击。

IOCs

url:

d.drawal.tk

hxxp://dwn.rundll32.ml:88/32ja.exe

hxxp://dwn.rundll32.ml/we64.exe

hxxp://dwn.rundll32.ml:88/1433.exe

hxxp://dwn.rundll32.ml:88/w.exe

hxxp://dwn.rundll32.ml:88/xe64.exe

hxxp://dwn.rundll32.ml/w.exe

hxxp://dwn.rundll32.ml/dll.exe

hxxp://dwn.rundll32.ml:88/java.exe

hxxp://dwn.rundll32.ml:88/0812.exe

hxxps://udns.duckdns.org

PDB:

E:\有用的\Projects\Dllhijack\Dllhijack\Release\Dllhijack.pdb

MD5:

403ac5415063143617f8e594747518d5

03672abddf9e28c1af41ffbe67c875ae

b765383df88bbb0a08416344f332a159

c6384e0bd8be4083d2709ac5d7b712b9

ea4b4b671439697a57f46293fa66d8e2

70a4c47870a8988927342d31f32472e1

8cdbddc66dd270f01029f21716e547a6

67e7b9d9b39bca0e27087fcf9fe95535

参考链接:

https://mp.weixin.qq.com/s/FEyaQ_AHn2TZPy-5FeMP7A

上一页[1] [2]

赞(0) 打赏
分享到: 更多 (0)
免责申明:本站所有资料均来自于网络,版权归原创者所有!本站不提供任何保证,不保证真实性,并不承担任何法律责任

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

阿里云优惠网 更专业 更优惠

阿里云优惠券阿里云大礼包