SQL 爆破攻击近期多见，中招系统遭遇流氓软件推装
感谢腾讯御见威胁情报中心来稿！
原文：https://s.tencent.com/research/report/858.html
腾讯安全御见威胁情报中心检测到有黑产团伙通过SQL爆破投放多个病毒木马事件，用于投放的木马均伪装为图片格式后缀(jpg,png)，其中包括“紫狐”木马、多个用于系统提权漏洞(CVE-2018-8120, CVE-2015-1701，ms16-032)攻击，及powershell脚本木马。紫狐木马安装后通过流氓推装软件刷量获利。
一、概述
腾讯安全御见威胁情报中心检测到有黑产团伙通过SQL爆破投放多个病毒木马事件，用于投放的木马均伪装为图片格式后缀(jpg,png)，其中包括“紫狐”木马、多个用于系统提权漏洞(CVE-2018-8120, CVE-2015-1701，ms16-032)攻击，及powershell脚本木马。紫狐木马安装后通过流氓推装软件刷量获利。
紫狐木马家族更先出现在2018年，通过下载器进行传播，一直活跃至今，之后还多次通过刷量软件进行传播（详见：御见威胁情报中心在9月份披露的刷量软件“流量宝流量版”通过挂马攻击传播“紫狐”病毒事件），如今紫狐木马又通过SQL爆破入侵植入。
根据腾讯安全御见威胁情报中心监测数据显示，最新的病毒域名es.ldbdhm.xyz在11月初开始活跃至今。
该团伙攻击影响全国大部分省区，受害最严重的为广东、河北、四川等地。腾讯安全御见威胁情报中心近期先后披露了多个团伙在使用SQL爆破攻击企业 *** 。
二、详细分析
御见威胁情报中心近期监测到的攻击行动，是通过sql爆破入侵后会下载执行多个病毒文件，包括紫狐木马MSI安装包，提权漏洞，powershell脚本木马等等，入侵执行流程如下：
入侵阶段
通过sql爆破入侵，爆破成功后会执行多个脚本命令， 部分脚本命令如下：
执行的脚本的功能主要是下载执行，下载执行多个jpg, png,图片格式文件，这些文件用图片格式来伪装，实际上是powershell脚本病毒，MSI紫狐木马安装文件，EXE提权漏洞等，
下载文件及对应功能模块如下：
Windows 权限提升
下载执行多个提权漏洞，包括CVE-2018-8120, CVE-2015-1701，ms16-032等多个提权漏洞进行提权，从而提升当前进程执行权限，以便于将病毒的MSI安装文件成功安装到计算机中及进行更多需要高权限操作的恶意行为。
ms16-032下载地址：
hxxp://es.ldbdhm.xyz/sqlexec/1603232.jpg
ms16-032提权漏洞利用代码：
VE-2018-8120模块下载地址:
hxxp://es.ldbdhm.xyz/sqlexec/1808164.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1808132.jpg
CVE-2018-8120提权代码：
安装紫狐木马
下载的 *** B1.jpg, *** B3.jpg,Sps.jpg等多个图片格式的文件实际上是MSI安装包，下载地址为hxxp://Es.ldbdhm.xyz/sqlexec/xxx.jpg
和历史版本的紫狐木马套路一致，MSI安装包内有三个PE文件：sysupdate.log, winupda32.log,winupda64.log，木马安装后会通过PendingFileRenameOperations实现开机启动。
MSI安装文件：
紫狐木马母体功能特点如下：
三、安全建议
- 及时修复系统高危漏洞，推荐使用腾讯电脑管家或腾讯御点的漏洞修复功能检测并修复漏洞，包括：CVE-2018-8120, CVE-2015-1701，ms16-032等。
- 推荐使用腾讯电脑管家/腾讯御点拦截此类病毒的攻击，如有中招也可使用电脑管家/腾讯御点对“紫狐”病毒进行清理。
- 推荐企业用户使用腾讯御界高级威胁检测系统检测各种可疑攻击行为，包括各种漏洞利用行为的检测。御界高级威胁检测系统，是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。
- 建议企业网管尽快检测SQL服务器是否存在弱密码风险，近期针对SQL服务器的弱口令爆破攻击非常多见，攻击者一旦爆破成功，可能给企业造成信息泄露，同时多种攻击方式可能导致勒索病毒、挖矿木马，甚至流氓软件在内网扩散传播，引发更大的损失。
IOCs:
MD5:
364ac68062168fc334f478a2997c6298
4facb81f57e515a508040270849bcd35
3fe38271b009298b4cb0b01ef57edbf3
de5de649e0821b0dd3dadfa8235416ea
be0384e85412a2668008f76dc3b3ccea
f5df39c5ed4eb90c169216ace51ed833
5bab2f1dd53b3ae08dab8a1a2d7c145c
4658ddc4e03f0003f590666ab73261e3
2c62e2fbef311731ebbc26c785d10f2b
14018f47163809b0166591f87d1bb046
6467874d952a5ffc1edfd7f05b1cc86d
beac6592dbd3a479a64789e43ec20f27
b43442df320d1f89defd772991b6335c
ae3e7304122469f2de3ecbd920a768d1
URL:
hxxp://es.ldbdhm.xyz/ *** B3.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1808164.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1808132.jpg
hxxp://es.ldbdhm.xyz/sqlexec/pe.jpg
hxxp://es.ldbdhm.xyz/sqlexec/sps.jpg
hxxp://es.ldbdhm.xyz/ *** b3p.jpg
hxxp://es.ldbdhm.xyz/ *** B1.jpg
hxxp://es.ldbdhm.xyz/ *** B2.jpg
hxxp://es.ldbdhm.xyz/ *** B2P.jpg
hxxp://es.ldbdhm.xyz/ *** b1p.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1505164.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1603232.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1505132.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1603264.jpg
“SQL 爆破攻击近期多见，中招系统遭遇流氓软件推装” 的相关文章
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
Windows Security 获新功能：可阻止安装恶意驱动程序
Windows 10/11 系统中的 Windows 安全中心现在变得更令人安心了。正如微软操作系统安全和企业副总裁 David Weston 所宣布的那样，内置的免费 Windows 杀毒软件现在提供了一个新的选项，可以防止脆弱的驱动程序。只不过目前还没有在 Windows 11 系统中看到这个选...
卡巴斯基发布“阎罗王”勒索软件的免费解密工具
虽然这家俄罗斯安全公司近几个月来已经失宠，但卡巴斯基宣布它已经成功破解了Yanluowang勒索软件（没错，它真的叫阎罗王，字面上Yanluowang。）这一充满了东方文化气息的恶意软件是去年由赛门铁克公司首次发现的，现在，卡巴斯基已经发现了它使用的加密算法中的一个漏洞。这使得该公司能够开发一个免费...
加密货币使勒索软件的使用变得更加普遍
眼下，勒索软件已经成为互联网上的一种趋势，它的目标包括企业、政府机构、医院和学校。这是一个几十年前就存在的问题，但在过去几年中变得非常普遍。最初，黑客以个人为目标，要求提供几百美元的比特币，但现在他们追求更大的目标，他们可以勒索更大的金额，并且被勒索放在没有电脑和服务器的情况下无法继续正常使用 密...
破坏性网络攻击袭击巴基斯坦国家银行
周五晚上，一场破坏性网络攻击使巴基斯坦国家银行运营陷入瘫痪。该事件影响了该银行的自动取款机、内部网络和移动应用程序。目前，该事件被定为抹除数据的恶意软件攻击，而不是勒索软件攻击。 该事件发生在周五和周六之间的晚上，影响了银行后台系统，并影响了用于连接银行分支机构的服务器、控制银行ATM网络的后台基础...
Chrome 新增 Privacy Guide：帮用户理解和实施安全设置
适用于桌面 PC 和笔记本的 Chrome 稳定版将新增“Privacy Guide”功能，它将帮助该网络浏览器的用户理解和实施隐私、安全和在线安全设置。虽然 Chrome 浏览器一直有大部分的这些设置，但现在 Google 声称隐私和安全控制应该更容易理解。 图片链接：https://static...
评论列表
发表评论
