SQL 爆破攻击近期多见，中招系统遭遇流氓软件推装
感谢腾讯御见威胁情报中心来稿！
原文：https://s.tencent.com/research/report/858.html
腾讯安全御见威胁情报中心检测到有黑产团伙通过SQL爆破投放多个病毒木马事件，用于投放的木马均伪装为图片格式后缀(jpg,png)，其中包括“紫狐”木马、多个用于系统提权漏洞(CVE-2018-8120, CVE-2015-1701，ms16-032)攻击，及powershell脚本木马。紫狐木马安装后通过流氓推装软件刷量获利。
一、概述
腾讯安全御见威胁情报中心检测到有黑产团伙通过SQL爆破投放多个病毒木马事件，用于投放的木马均伪装为图片格式后缀(jpg,png)，其中包括“紫狐”木马、多个用于系统提权漏洞(CVE-2018-8120, CVE-2015-1701，ms16-032)攻击，及powershell脚本木马。紫狐木马安装后通过流氓推装软件刷量获利。
紫狐木马家族更先出现在2018年，通过下载器进行传播，一直活跃至今，之后还多次通过刷量软件进行传播（详见：御见威胁情报中心在9月份披露的刷量软件“流量宝流量版”通过挂马攻击传播“紫狐”病毒事件），如今紫狐木马又通过SQL爆破入侵植入。
根据腾讯安全御见威胁情报中心监测数据显示，最新的病毒域名es.ldbdhm.xyz在11月初开始活跃至今。
该团伙攻击影响全国大部分省区，受害最严重的为广东、河北、四川等地。腾讯安全御见威胁情报中心近期先后披露了多个团伙在使用SQL爆破攻击企业 *** 。
二、详细分析
御见威胁情报中心近期监测到的攻击行动，是通过sql爆破入侵后会下载执行多个病毒文件，包括紫狐木马MSI安装包，提权漏洞，powershell脚本木马等等，入侵执行流程如下：
入侵阶段
通过sql爆破入侵，爆破成功后会执行多个脚本命令， 部分脚本命令如下：
执行的脚本的功能主要是下载执行，下载执行多个jpg, png,图片格式文件，这些文件用图片格式来伪装，实际上是powershell脚本病毒，MSI紫狐木马安装文件，EXE提权漏洞等，
下载文件及对应功能模块如下：
Windows 权限提升
下载执行多个提权漏洞，包括CVE-2018-8120, CVE-2015-1701，ms16-032等多个提权漏洞进行提权，从而提升当前进程执行权限，以便于将病毒的MSI安装文件成功安装到计算机中及进行更多需要高权限操作的恶意行为。
ms16-032下载地址：
hxxp://es.ldbdhm.xyz/sqlexec/1603232.jpg
ms16-032提权漏洞利用代码：
VE-2018-8120模块下载地址:
hxxp://es.ldbdhm.xyz/sqlexec/1808164.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1808132.jpg
CVE-2018-8120提权代码：
安装紫狐木马
下载的 *** B1.jpg, *** B3.jpg,Sps.jpg等多个图片格式的文件实际上是MSI安装包，下载地址为hxxp://Es.ldbdhm.xyz/sqlexec/xxx.jpg
和历史版本的紫狐木马套路一致，MSI安装包内有三个PE文件：sysupdate.log, winupda32.log,winupda64.log，木马安装后会通过PendingFileRenameOperations实现开机启动。
MSI安装文件：
紫狐木马母体功能特点如下：
三、安全建议
- 及时修复系统高危漏洞，推荐使用腾讯电脑管家或腾讯御点的漏洞修复功能检测并修复漏洞，包括：CVE-2018-8120, CVE-2015-1701，ms16-032等。
- 推荐使用腾讯电脑管家/腾讯御点拦截此类病毒的攻击，如有中招也可使用电脑管家/腾讯御点对“紫狐”病毒进行清理。
- 推荐企业用户使用腾讯御界高级威胁检测系统检测各种可疑攻击行为，包括各种漏洞利用行为的检测。御界高级威胁检测系统，是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。
- 建议企业网管尽快检测SQL服务器是否存在弱密码风险，近期针对SQL服务器的弱口令爆破攻击非常多见，攻击者一旦爆破成功，可能给企业造成信息泄露，同时多种攻击方式可能导致勒索病毒、挖矿木马，甚至流氓软件在内网扩散传播，引发更大的损失。
IOCs:
MD5:
364ac68062168fc334f478a2997c6298
4facb81f57e515a508040270849bcd35
3fe38271b009298b4cb0b01ef57edbf3
de5de649e0821b0dd3dadfa8235416ea
be0384e85412a2668008f76dc3b3ccea
f5df39c5ed4eb90c169216ace51ed833
5bab2f1dd53b3ae08dab8a1a2d7c145c
4658ddc4e03f0003f590666ab73261e3
2c62e2fbef311731ebbc26c785d10f2b
14018f47163809b0166591f87d1bb046
6467874d952a5ffc1edfd7f05b1cc86d
beac6592dbd3a479a64789e43ec20f27
b43442df320d1f89defd772991b6335c
ae3e7304122469f2de3ecbd920a768d1
URL:
hxxp://es.ldbdhm.xyz/ *** B3.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1808164.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1808132.jpg
hxxp://es.ldbdhm.xyz/sqlexec/pe.jpg
hxxp://es.ldbdhm.xyz/sqlexec/sps.jpg
hxxp://es.ldbdhm.xyz/ *** b3p.jpg
hxxp://es.ldbdhm.xyz/ *** B1.jpg
hxxp://es.ldbdhm.xyz/ *** B2.jpg
hxxp://es.ldbdhm.xyz/ *** B2P.jpg
hxxp://es.ldbdhm.xyz/ *** b1p.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1505164.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1603232.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1505132.jpg
hxxp://es.ldbdhm.xyz/sqlexec/1603264.jpg
“SQL 爆破攻击近期多见，中招系统遭遇流氓软件推装” 的相关文章
Microsoft Defender 导致 Windows 11 Build 22581 遇到视频播放问题
尽管未能赢得 AV-TEST 的最高防病毒（AV-Comparatives）等级评价，但 Microsoft Defender 仍是市面上最合适的产品之一。尴尬的是，在 Windows 11 Build 22581 编译版本中，许多人发现遇到了媒体播放问题。由 Reddit 网友的讨论可知，问题与系...
Microsoft Defender 出现严重误报：自家 Office 更新被检测为勒索软件
Microsoft Defender for Endpoint 今天出现了非常严重的误报事件，竟然将自家的 Office 应用程序更新 OfficeSvcMgr.exe 检测为勒索软件。今天早些时候，系统管理员在更新 Microsoft Defender for Endpoint 时注意到了恶意程...
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
黑客 Gary Bowser 对盗版指控认罪 同意向任天堂支付 450 万美元
名为Gary Bowser的Team-Xecuter黑客组织成员已经承认了与销售硬件和软件有关的指控，这些硬件和软件允许人们在各种游戏机上玩未经授权或盗版的游戏，包括任天堂的几种游戏机。此前，美国任天堂公司在今年早些时候对该黑客发起了诉讼。 被司法部描述为世界上最臭名昭著的电子游戏盗版集团之一的T...
InsydeH2O UEFI BIOS 被曝存在 23 个安全漏洞 波及大批电脑厂家
专业处理固件威胁的安全研究公司 Binarly，刚刚在周二的一篇博客文章中披露了 InsydeH2O“Hardware-2-Operating System”UEFI BIOS 中存在的问题。作为微软、英特尔、惠普、戴尔、联想、西门子、富士通等多家科技巨头的固件供应商，这意味着它们都易受将近两打安全...
英国国防部第二次电子邮件数据泄露
据BBC报道，本月有55名阿富汗人的资料泄露，据称，他们是Arap方案（阿富汗重新安置和援助政策)候选人。他们的电子邮件地址对所有收件人都是可见的，而这些接收者中至少有一人来自阿富汗国家军队。根据Arap方案，任何协助英国在阿富汗战斗的阿富汗人，都可以申请到英国，以免受到塔利班的迫害。如果本次的泄...
评论列表
发表评论
