感谢腾讯御见威胁情报中心来稿!
原文:https://s.tencent.com/research/report/824.html
腾讯安全御见威胁情报中心检测到“快Go矿工”(KuaiGoMiner)挖矿木马攻击。该木马利用NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”攻击工具针对互联网上的机器进行扫描攻击,并在攻击成功后植入挖矿和远控木马,已控制数万台电脑。
腾讯安全御见威胁情报中心检测到“快Go矿工”(KuaiGoMiner)挖矿木马攻击。该木马利用NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”攻击工具针对互联网上的机器进行扫描攻击,并在攻击成功后植入挖矿和远控木马,已控制数万台电脑。因其使用的C2域名中包含“kuai-Go”,御见威胁情报中心将其命名为“快Go矿工”(KuaiGoMiner)。
“快Go矿工”(KuaiGoMiner)将挖矿程序伪装成系统进程explorer.exe、 *** ss.exe运行,截止目前已挖矿获得门罗币242.7个,折合人民币9万余元。同时,病毒在攻陷机器上植入的gh0st远控木马,具有搜集信息、上传下载文件、键盘记录、执行任意程序等多种功能,中毒电脑会面临机密信息泄露的风险。
据腾讯御见威胁情报中心统计数据,在微软发布“永恒之蓝”相关漏洞补丁过去两年多之后,仍有约30%用户未修复“永恒之蓝”漏洞(MS17-010),这导致利用该漏洞攻击的病毒始终层出不穷。“快Go矿工” (KuaiGoMiner)分布在全国各地,受害最严重地区为广东、江苏、河南、北京。
从“快Go矿工” (KuaiGoMiner)影响的行业来看,主要为IT行业、制造业、科研和技术服务业。
“快Go矿工” (KuaiGoMiner)在攻陷的系统下载攻击模块,释放NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”漏洞攻击工具,释放到C:\Windows\Fonts\cd\目录下。
开始攻击后依次启动脚本go.vbs->rme.bat->cmd.bat,并在cmd.bat中完成机器出口IP查询、随机IP地址生成,然后通过分别针对局域网IP地址和外网随机IP地址进行445/139端口扫描。
最后在load.bat和loab.bat中针对开放445/139端口的机器进行永恒之蓝漏洞攻击。攻击成功后在目标机器执行Payload,将Doublepulsar.dll注入lsass.exe执行,将Eternalblue.dll注入explorer.exe执行。
Doublepulsar.dll或Eternalblue.dll执行后在目标机器下载m.exe或n.exe,保存至C:\safe.exe并启动,开始新一轮的感染和攻击。
“快Go矿工”(KuaiGoMiner)下载释放挖矿模块文件到C:\Windows\Fonts\data\目录下。其中 *** ss.exe为32位矿机程序,explorer.exe为64位矿机程序,Services.exe为Windows服务安装工具NS *** 。
通过user.vbs启动user.bat。并在user.bat中删除计划任务”Flash_Update”、”Update”、”Update_windows”,删除旧服务和计划任务“Microsoft_Update”。之后判断系统版本,利用NS *** (services.exe)分别将 *** ss.exe和explorer.exe安装服务至32位和64位系统上,使用的服务名称为“Microsoft_Update”。
矿机采用开源挖矿程序XMRig编译,挖矿使用矿池地址:xmr-eu1.nanopool.org:14444,
钱包地址:
43uXVJimpGpcoftfAfM9AGAdHwnvuSK14Uy4wVGgJB968L6M3eXn8pgFpgNSLrbpgW8Xo5bBgHxAEMxPug8knokALBrLsV4
查询矿池目前挖矿获得收益为242.7个XMR,折合人民币约91000元。
“快Go矿工”(KuaiGoMiner)释放经gh0st修改而成的远控木马到目录
C:\Users\[User]\AppData\Local\Temp\<random>.dll下。
连接C2地址fwq.kuai-go.com:12353,根据服务器返回的指令完成搜集系统信息、上传下载文件、删除系统记录、查看系统服务、运行和退出程序、远程桌面登陆、键盘记录等远程功能。
1、 快Go矿工(KuaiGoMiner)手动清除 *** :
删除目录
C:\Windows\Fonts\cd\
C:\Windows\Fonts\cd\data\
删除文件
C:\Users\[User]\AppData\Local\Temp\<random>.dll
删除计划任务“Microsoft_Update”
(执行文件路径C:\Windows\Fonts\cd\data\explorer.exe
或C:\Windows\Fonts\cd\data\ *** ss.exe)
2、针对MS010-17 “永恒之蓝”漏洞的防御:
服务器暂时关闭不必要的端口(如135、139、445), *** 可参考:https://guanjia.qq.com/web_clinic/s8/585.html
下载并更新Windows系统补丁,及时修复永恒之蓝系列漏洞:
XP、Windows Server 2003、win8等系统访问:http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
Win7、win8.1、Windows Server 2008、Windows 10,Windows Server 2016等系统访问:https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
3、 建议企业用户部署腾讯御点终端安全管理系统防御病毒木马攻击。
4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。
MD5
339bec2b3e598b98218c16ed1e762b2a
57bd72d6dc95ff57b5321a62b9f7cde2
57003ef2a67c70f8959345f342536aa5
15d2c95fe9fe4134064e9a4f49d63cf1
20010658d789192eb69499bc5c1c9f11
546a5c41ec285686c9c082994ef193f5
830f8e648d2a7da4d512b384e29e9453
8bcf9ba698b20a6fb2fef348b8c55b1d
c17f7c9c9265c4f8007d6def58174144
6dc336b2b1b4e8d5c8c5959c37b2729d
3e6c981f627122df8b428aac35cb586e
222d8a0986b8012d80edbecdc5c48714
532a0904faff2a3a8c79594c9df99320
IP
110.157.232.117
104.233.201.209
Domain
w.zhzy999.net
images.kuai-go.com
update.kuai-go.com
wx.kuai-go.com
sex.kuai-go.com
usa.kuai-go.com
korea.kuai-go.com
der.kuai-go.com
fwq.kuai-go.com
URL
http[:]//w.zhzy999.net/images/m.exe
http[:]//3.zhzy999.net/images/n.exe
http[:]//images.kuai-go.com/images/logo.gif
http[:]//der.kuai-go.com/img/1.rar
http[:]//der.kuai-go.com/img/2.rar
http[:]//110.157.232.117/images/m.exe
http[:]//110.157.232.117/images/n.exe
http[:]//110.157.232.117/img/1.rar
http[:]//110.157.232.117/img/2.rar
http[:]//110.157.232.117/img/3.rar
钱包
43uXVJimpGpcoftfAfM9AGAdHwnvuSK14Uy4wVGgJB968L6M3eXn8pgFpgNSLrbpgW8Xo5bBgHxAEMxPug8knokALBrLsV4
Microsoft Defender for Endpoint 今天出现了非常严重的误报事件,竟然将自家的 Office 应用程序更新 OfficeSvcMgr.exe 检测为勒索软件。今天早些时候,系统管理员在更新 Microsoft Defender for Endpoint 时注意到了恶意程...
据报道,犯罪黑客正在通过一种有效的、狡猾的技术用偷来的执法部门的电子邮件从大型科技公司、ISP、运营商和社交媒体公司窃取用户数据。据网络安全记者Brian Krebs称,更具体地说,攻击者显然正在伪装成执法官员以获取传票特权数据。 一般来说,他们使用被破坏的执法部门电子邮件账户。 这种策略还依赖于...
大多数人都知道,现代电子设备,如智能手机、平板电脑和计算机,存储了我们个人和私人生活的一系列信息,我们不希望陌生人得到这些信息。然而,许多人没有考虑到他们的车辆信息娱乐系统和其他系统内到底储存了多少个人信息。 现在一份报告研究了全球15大汽车制造商,并调查了它们之间的数据共享政策。该研究对每个品牌2...
Hackernews 编译,转载请注明出处: 在苹果 Safari 15的 IndexedDB API 实现中放入的一个软件漏洞可能被恶意网站利用,以追踪用户在网络浏览器中的在线活动,更糟糕的是,它还可能泄露用户的身份。 2021年11月28日,防欺诈保护软件公司 FingerprintJS...
一场严重的勒索软件危机打乱了很多大公司的运作,一些工人则担忧无法在圣诞假期前拿到最后一笔工资。而这一切的魁首就是近期臭名昭著的 Log4Shell 攻击,这让劳务解决方案公司 Kronos 可能要面临持续数周的业务中断。这一安全事件已经影响了纽约市地铁交通局、本田公司、GameStop 等机构的人力...
据外媒报道,许多公司都在使用微软的Power App平台,由于默认安全设置较弱,所以这意味着3800万份记录的敏感数据向公众公开了好几个月。Upguard进行的调查显示,Power App用户中有相当多的人没有保护自己的数据库。 进一步的调查显示,这个问题是由薄弱的默认安全设置造成的,如果用户不采...