感谢腾讯御见威胁情报中心来稿!
原文链接:https://mp.weixin.qq.com/s/oFnOODmShuuE5OUfbZKiEQ
腾讯安全威胁情报中心检测到ThanatosMiner(死神矿工)挖矿木马利用BlueKeep漏洞CVE-2019-0708攻击传播。攻击者将公开的Python版本BlueKeep漏洞利用代码打包生成scan.exe,大范围扫描随机生成的IP地址进行探测和攻击。
漏洞利用成功后执行shellcode下载C#编写的木马svchost.exe,然后利用该木马下载门罗币挖矿木马以及攻击模块进行下一轮攻击。因Payload程序Assembly Name为ThanatosCrypt,将该挖矿木马命名为ThanatosMiner(死神矿工)。
2019年5月15日,微软发布了针对远程桌面服务(Remote Desktop Services )的关键远程执行代码漏洞CVE-2019-0708的安全更新,该漏洞影响某些旧版本的Windows。攻击者一旦成功触发该漏洞,便可以在目标系统上执行任意代码,该漏洞的触发无需任何用户交互操作——意味着,存在漏洞的电脑只需要连网,勿须任何操作即可能遭遇远程黑客攻击而沦陷。BlueKeep漏洞(CVE-2019-0708)是所有安全厂商高度重视的高危漏洞。
该漏洞影响旧版本的Windows系统,包括:
Windows 7、WindowsServer 2008 R2、Windows Server 2008、Windows 2003、Windows XP。Windows 8和Windows10及之后版本不受此漏洞影响。
腾讯安全系列产品已全面支持对ThanatosMiner(死神矿工)挖矿木马的查杀拦截,腾讯安全专家强烈建议用户及时修补BlueKeep漏洞,避免电脑被挖矿木马自动扫描攻击后完全控制。
攻击模块scan.exe通过pyinstaller打包Python代码生成exe,使用pyinstxtractor.py可解压出Python编译后的无后缀文件scan。pyinstaller在打包pyc的时候会去掉pyc的magic和时间戳,而打包的系统库文件中这两项内容会被保留,所以可以查看解压出的系统库中的magic和时间戳并添加到scan的文件头,然后将其命名为scan.pyc,并通过uncompyle6进行反编译,可以还原的Python代码scan.py。
分析发现,Python3版本编译后的二进制文件开头为e3 00 00 00 00 00 00 00,Python2版本通常为63 00 00 00 00 00 00 00。
scan.py获取本机同网段IP地址,以及随机生成的外网IP地址扫描3389端口。
利用公开的BlueKeep漏洞CVE-2019-0708攻击代码进行攻击。
漏洞攻击成功执行shellcode命令,在%Temp%目录下创建DO.vbs,下载执行http[:]//download.loginserv.net/svchost.exe。
Payload木马svchost.exe采样C#编写,代码经过Dotfuscator混淆处理,可使用开源工具De4dot去除部分混淆,程序的Assembly Name为ThanatosCrypt。
运行后会检测以下注册表项和磁盘文件判断是否在虚拟机中运行。
SYSTEM\CurrentControlSet\Enum\SCSI\Disk&Ven_VMware_&Prod_VMware_Virtual_S
SYSTEM\CurrentControlSet\Control\CriticalDeviceDatabase\root#vmwvmcihostdev
SYSTEM\CurrentControlSet\Control\VirtualDeviceDrivers
SOFTWARE\VMWare, Inc.\VMWare Tools
SOFTWARE\Oracle\VirtualBox Guest Additions
C:\windows\Sysnative\Drivers\Vmmouse.sys
C:\windows\Sysnative\Drivers\vmci.sys
C:\windows\Sysnative\Drivers\vmu *** mouse.sys
C:\windows\Sysnative\VBoxControl.exe
通过IsDebuggerPresent() 、IsDebuggerAttached()、CheckRemoteDebuggerPresent()判断进程是否被调试。
若无虚拟机环境、未处于被调试状态则继续执行。
然后svchost.exe继续下载http[:]//download.loginserv.net/scan.exe进行扫描攻击,以及下载http[:]//download.loginserv.net/xmrig.exe挖矿门罗币。
Domain
download.loginserv.net
MD5
URL
http[:]//download.loginserv.net/svchost.exe
http[:]//download.loginserv.net/xmrig.exe
http[:]//download.loginserv.net/scan.exe
http[:]//download.loginserv.net/mine.exe
1.Windows远程桌面服务漏洞预警(CVE-2019-0708)
https://mp.weixin.qq.com/s/aTSC0YR1dxSUHVJ3pnZezA
2.漏洞预警更新:Windows RDS漏洞(CVE-2019-0708)
https://mp.weixin.qq.com/s/OEjI776O3cTjtMrsPdtnpQ
3.Windows远程桌面漏洞风险逼近,腾讯安全提供全面扫描修复方案
https://mp.weixin.qq.com/s/ckVHic2oChjZmVvH_zmsHA
4.Windows远程桌面服务漏洞(CVE-2019-0708)攻击代码现身
https://mp.weixin.qq.com/s/bcANAbzONFyrxqNMssTiLg
5.RDP漏洞(BlueKeep)野外利用预警,腾讯御知免费检测
https://mp.weixin.qq.com/s/G2ZS7rKkYYvEtbxUm0odGA
6.永恒之蓝下载器木马再升级,集成BlueKeep漏洞攻击能力
https://mp.weixin.qq.com/s/_teIut43g6In9YZ7VQ2f7w
一款用于窃取 Facebook 登录凭证的恶意 Android 应用目前在 Google Play 商城上已经被安装超过 10 万次,而且该应用目前仍可下载(发稿时已下架)。这款恶意程序被伪装成“Craftsart Cartoon Photo Tools”卡通化应用,允许用户上传图片并将其转换为卡通...
Hackernews 编译,转载请注明出处: 研究人员披露了 TerraMaster NAS设备的关键安全漏洞的细节,这些设备可以链接到未经身份验证的远程代码执行,且具有最高权限。 埃塞俄比亚网络安全研究公司 Octagon Networks 的 Paulos yibello 在分...
微软披露其已经缓解了一场发生于8月份的2.4Tbps分布式拒绝服务(DDoS)攻击。这次攻击针对欧洲的一个Azure客户,比微软在2020年记录的最高攻击带宽量高出140%。它也超过了之前最大的攻击2.3Tbps的峰值流量,这是在去年针对亚马逊网络服务的攻击。 微软表示,这次攻击持续了10多分钟,...
网络安全研究人员发现了一个通过MSI安装程序分发的新版本的Jupyter infostealer。 2020年11月,Morphisec的研究人员发现,威胁者一直在使用.Net infostealer(记为Jupyter),从受害者那里窃取信息。 恶意软件Jupyter能够从多个应用程序收集数据,包...
上周,微软发现了针对政府雇员和权利组织的数千个账户的复杂型网络钓鱼攻击,并指向了幕后黑手 Nobelium 。此前,该黑客组织曾被认为与俄方情报机构 SVR 和近期的 SolarWinds 攻击有关。为了应对愈演愈烈的此类规模的网络攻击,这家软件巨头现又提出了新的防御建议 —— 鼓励客户积极采用云技...
近日,Babuk Locker 勒索软件团伙在网站上曝光了哥伦比亚大都会警察局的内部服务器文件,威胁如何不支付赎金,就释出警方调查和线人的相关信息。华盛顿特区警察局公共发言人 Sean Hickman 在致外媒 The Record 的一封电子邮件中称,其已知晓内部文件服务器上发生了未经授权的访问。...