黑客爆破攻击Sql Server，已控制数百台企业服务器和网站
感谢腾讯御见威胁情报中心来稿！
原文：腾讯御见威胁情报中心
一、概述
SQL爆破、提权攻击已成攻击者惯用伎俩，但仍有部分企业网管使用弱口令导致服务器被黑客操控。近日，腾讯安全御见威胁情报中心发现一起针对SQL数据库的爆破攻击事件，攻击成功后会根据系统环境下发远控木马、植入Webshell、在目标服务器创建管理员用户。本次攻击的失陷服务器已达数百台之多，主要受害者位于陕西、山西、吉林等地。
该木马的攻击行动具有如下特点二、详细分析
攻击者在HFS上的工具列表
从HFS列表可以看出，该团伙主要通过Mssql&mysql爆破，3389爆破，攻击成功后再利用提权工具进行提权，以mssql爆破工具进行分析
Start.bat启动扫描任务,并根据扫描结果进行爆破
Dhls.exe根据ip.txt中的IP列表扫描主机是否开放sql相关端口，接着使用CSQL.exe尝试爆破，其中user.txt，pass.txt分别是用户名和密码，爆破成功的IP会输出到out.txt中，接着CSQL中会对out.txt中机器进行远程命令执行，sql命令保存在2018.sql
Sql命令结束杀软进程
向系统添加账户 SQLuser, *** $ *** 520
下载并执行team.exe
目前team.exe已经无法下载，无法得知里面具体功能，从攻击者的文件服务器上看，攻击者在爆破成功后会下发TeamView远程控制工具或webshell：hxxp://124.16.146.185:9000/tv.exe，并通过TVGET.exe程序获取到TeamView的用户ID和密码：
如果是web服务器，则会下发Webshell到c:/1.php,c:/1.asp,c:/1.aspx
Webshell经过简单加密混淆，base64及字符压缩
解密后联网下载404.gif
404.gif中是一段被加密shell，通过gzinflate&base64_decode解密后可以得到一个完整的反弹木马。
首先会添加一个账户envl到系统中，方便后续远程登录
反弹链接的C2从cookie中获取反弹链接的C2从cookie中获取
在shell中也包含了用于执行mysql语句的shell
木马可对服务器web页面进行批量挂马
木马功能
目前腾讯安全御见威胁情报中心已监测到有40多家网站，300多个页面被植入该后门。
三、关联分析
追溯攻击中使用的webshell来自webshell8.com，号称免杀主流web护盾。
Webshell的界面
在攻击者发现HFS服务器被盯上后，竟在服务器上放置联系方式。
四、解决方案
腾讯御界检测到服务器遭遇爆破攻击
IOCs
IP
124.218.92.68:9000
124.16.146.185:9000
123.15.33.19:9000
Domain
phpapi.info
tanlini.3322.org
MD5
f1c4842de714e7480e69f41540c3626b
e7c182ece6eceb6f89d6bd9a6d33c53e
5c0249cce6e5c500a54aa34ba2b8c282
c8a689d353b10ca90e88f3f7b4afa25f
78ff58ad4fe3c40e6f6945a2b0c79f36
a7419cf9e40501cfb2762623c5277857
f1f22dc294694ba7a727ea991f88c3a1
URL
hxxp://phpapi.info/404.gif
hxxp://123.15.33.19:9000/team.exe
hxxp://124.16.146.185:9000/CVE2018.exe
hxxp://124.16.146.185:9000/CVE-2018-8120.exe
hxxp://124.16.146.185:9000/freeSSHd.exe
hxxp://124.16.146.185:9000/go.bat
hxxp://124.16.146.185:9000/HAdmin.exe
hxxp://124.16.146.185:9000/K8UA.asxp
hxxp://124.16.146.185:9000/lcx.exe
hxxp://124.16.146.185:9000/mima.ps1
hxxp://124.16.146.185:9000/mimidrv.sys
hxxp://124.16.146.185:9000/mimikatz.exe
hxxp://124.16.146.185:9000/mimikatz_trunk.zip
hxxp://124.16.146.185:9000/mimilib.dll
hxxp://124.16.146.185:9000/nc.exe
hxxp://124.16.146.185:9000/she.aspx
hxxp://124.16.146.185:9000/she.php
hxxp://124.16.146.185:9000/shell.asp
hxxp://124.16.146.185:9000/task.exe
hxxp://124.16.146.185:9000/tcp.exe
hxxp://124.16.146.185:9000/team.exe
hxxp://124.16.146.185:9000/TV_pweg.exe
hxxp://124.16.146.185:9000/TVGET.exe
hxxp://124.16.146.185:9000/TVs.exe
hxxp://124.16.146.185:9000/wce.exe
hxxp://124.16.146.185:9000/Welcome.txt
hxxp://124.16.146.185:9000/x.mof
hxxp://124.16.146.185:9000/xx.jpg
“黑客爆破攻击Sql Server，已控制数百台企业服务器和网站” 的相关文章
黑客滥用 Mitel 设备将 DDoS 攻击放大40亿倍
Hackernews 编译，转载请注明出处： 研究员发现，黑客滥用高影响反射/放大方法，实施长达14小时的持续分布式拒绝服务攻击，放大率达到了破纪录的4294967296倍。 这种攻击载体被称为 TP240PhoneHome (CVE-2022-26143) ，已经被武器化，可以...
TerraMaster 操作系统漏洞可能使 NAS 设备遭到远程黑客攻击
Hackernews 编译，转载请注明出处： 研究人员披露了 TerraMaster NAS设备的关键安全漏洞的细节，这些设备可以链接到未经身份验证的远程代码执行，且具有最高权限。 埃塞俄比亚网络安全研究公司 Octagon Networks 的 Paulos yibello 在分...
西班牙政府证实首相及防长手机被通过“飞马”间谍软件窃听
法新社消息，西班牙政府2日表示，该国首相桑切斯和国防部长罗伯斯的手机在一次“非法的、外部的 ”干预中被通过“飞马”间谍软件窃听。报道还称，西班牙首相府、议会关系与民主记忆大臣费利克斯·博拉尼奥斯·加西亚也证实说，“这不是推测，是非常严重的事实，希望司法部门进行调查。” 法新社报道截图 去年7月，这...
攻击者部署后门，窃取 Exchange 电子邮件
网络安全研究人员将该 APT 组织追踪为 UNC3524，并强调在某些情况下，该组织可以对受害者环境进行超过 18 个月的访问，展示了其 “先进 “的隐匿能力。 在每一个 UNC3524 受害者环境中，攻击者都会针对一个子集的邮箱，集中其注意力在执行团队和从事企业发展、兼并和收购的员工或 IT 安...
微软称其抵挡了有史以来最大的 DDoS 攻击 带宽负载高达 2.4 Tbps
微软披露其已经缓解了一场发生于8月份的2.4Tbps分布式拒绝服务（DDoS）攻击。这次攻击针对欧洲的一个Azure客户，比微软在2020年记录的最高攻击带宽量高出140%。它也超过了之前最大的攻击2.3Tbps的峰值流量，这是在去年针对亚马逊网络服务的攻击。 微软表示，这次攻击持续了10多分钟，...
西数：黑客利用远程漏洞抹除 My Book 用户数据 正研究潜在恢复方案
在遭到一系列远程攻击之后，西部数据（WD）敦促 My Book 用户立即断开互联网连接。在 6 月 24 日发布的官方公告中，WD 表示 My Book Live 和 My Book Live Duo 网络附加存储（NAS）设备可能通过出厂重置被远程擦除，使用户面临失去所有存储数据的风险。 在公告...
评论列表
发表评论
