黑客爆破攻击Sql Server，已控制数百台企业服务器和网站
感谢腾讯御见威胁情报中心来稿！
原文：腾讯御见威胁情报中心
一、概述
SQL爆破、提权攻击已成攻击者惯用伎俩，但仍有部分企业网管使用弱口令导致服务器被黑客操控。近日，腾讯安全御见威胁情报中心发现一起针对SQL数据库的爆破攻击事件，攻击成功后会根据系统环境下发远控木马、植入Webshell、在目标服务器创建管理员用户。本次攻击的失陷服务器已达数百台之多，主要受害者位于陕西、山西、吉林等地。
该木马的攻击行动具有如下特点二、详细分析
攻击者在HFS上的工具列表
从HFS列表可以看出，该团伙主要通过Mssql&mysql爆破，3389爆破，攻击成功后再利用提权工具进行提权，以mssql爆破工具进行分析
Start.bat启动扫描任务,并根据扫描结果进行爆破
Dhls.exe根据ip.txt中的IP列表扫描主机是否开放sql相关端口，接着使用CSQL.exe尝试爆破，其中user.txt，pass.txt分别是用户名和密码，爆破成功的IP会输出到out.txt中，接着CSQL中会对out.txt中机器进行远程命令执行，sql命令保存在2018.sql
Sql命令结束杀软进程
向系统添加账户 SQLuser, *** $ *** 520
下载并执行team.exe
目前team.exe已经无法下载，无法得知里面具体功能，从攻击者的文件服务器上看，攻击者在爆破成功后会下发TeamView远程控制工具或webshell：hxxp://124.16.146.185:9000/tv.exe，并通过TVGET.exe程序获取到TeamView的用户ID和密码：
如果是web服务器，则会下发Webshell到c:/1.php,c:/1.asp,c:/1.aspx
Webshell经过简单加密混淆，base64及字符压缩
解密后联网下载404.gif
404.gif中是一段被加密shell，通过gzinflate&base64_decode解密后可以得到一个完整的反弹木马。
首先会添加一个账户envl到系统中，方便后续远程登录
反弹链接的C2从cookie中获取反弹链接的C2从cookie中获取
在shell中也包含了用于执行mysql语句的shell
木马可对服务器web页面进行批量挂马
木马功能
目前腾讯安全御见威胁情报中心已监测到有40多家网站，300多个页面被植入该后门。
三、关联分析
追溯攻击中使用的webshell来自webshell8.com，号称免杀主流web护盾。
Webshell的界面
在攻击者发现HFS服务器被盯上后，竟在服务器上放置联系方式。
四、解决方案
腾讯御界检测到服务器遭遇爆破攻击
IOCs
IP
124.218.92.68:9000
124.16.146.185:9000
123.15.33.19:9000
Domain
phpapi.info
tanlini.3322.org
MD5
f1c4842de714e7480e69f41540c3626b
e7c182ece6eceb6f89d6bd9a6d33c53e
5c0249cce6e5c500a54aa34ba2b8c282
c8a689d353b10ca90e88f3f7b4afa25f
78ff58ad4fe3c40e6f6945a2b0c79f36
a7419cf9e40501cfb2762623c5277857
f1f22dc294694ba7a727ea991f88c3a1
URL
hxxp://phpapi.info/404.gif
hxxp://123.15.33.19:9000/team.exe
hxxp://124.16.146.185:9000/CVE2018.exe
hxxp://124.16.146.185:9000/CVE-2018-8120.exe
hxxp://124.16.146.185:9000/freeSSHd.exe
hxxp://124.16.146.185:9000/go.bat
hxxp://124.16.146.185:9000/HAdmin.exe
hxxp://124.16.146.185:9000/K8UA.asxp
hxxp://124.16.146.185:9000/lcx.exe
hxxp://124.16.146.185:9000/mima.ps1
hxxp://124.16.146.185:9000/mimidrv.sys
hxxp://124.16.146.185:9000/mimikatz.exe
hxxp://124.16.146.185:9000/mimikatz_trunk.zip
hxxp://124.16.146.185:9000/mimilib.dll
hxxp://124.16.146.185:9000/nc.exe
hxxp://124.16.146.185:9000/she.aspx
hxxp://124.16.146.185:9000/she.php
hxxp://124.16.146.185:9000/shell.asp
hxxp://124.16.146.185:9000/task.exe
hxxp://124.16.146.185:9000/tcp.exe
hxxp://124.16.146.185:9000/team.exe
hxxp://124.16.146.185:9000/TV_pweg.exe
hxxp://124.16.146.185:9000/TVGET.exe
hxxp://124.16.146.185:9000/TVs.exe
hxxp://124.16.146.185:9000/wce.exe
hxxp://124.16.146.185:9000/Welcome.txt
hxxp://124.16.146.185:9000/x.mof
hxxp://124.16.146.185:9000/xx.jpg
“黑客爆破攻击Sql Server，已控制数百台企业服务器和网站” 的相关文章
两个Mozilla Firefox 零日漏洞曝光
Hackernews 编译，转载请注明出处： Mozilla 在其 Firefox 浏览器中加入了带外数据软件升级，包含了两个高影响力的安全漏洞。 Mozilla 称，这两个漏洞正在被大肆利用。 标记为 cve-2022-26485和 cve-2022-26486的零日漏洞被描述为影响 XSLT ...
更多恶意软件在利用合法的 TestFlight 和 WebClips 途径来侵入 iOS 设备
尽管苹果一直在警告侧载应用程序的危险性，并坚持对上架 App Store 的应用展开严格的审查。但由于 TestFlight 和 WebClips 这两项功能的存在，越来越多的恶意软件开发者正在积极利用这两大“官方漏洞”。比如欺诈者可忽悠 iPhone / iPad 用户侧带有恶意软件的应用程序，进...
NCSC 向四千多家网店发警告：警惕 Magecart 攻击 会窃取客户支付数据
英国国家网络安全中心（NCSC）近日向 4000 多家网店的店主发出警告，他们的网站受到了 Magecart 的攻击影响，会窃取客户的支付信息。Magecart 攻击也称网络盗取、数字盗取或电子盗取，攻击者将被称为信用卡盗取器的脚本注入被攻击的网店，以收获和窃取顾客在结账页面提交的支付和/或个人信息...
Log4j 漏洞可能需要数月甚至数年时间才能妥善解决
网络安全专家认为 CVE-2021-44228 的普遍性以及容易被利用，这个 Log4j 中的远程代码执行漏洞可能需要数月甚至数年时间才能得到妥善解决。McAfee Enterprise 和 FireEye 的高级威胁研究主管 Steve Povolny 表示，Log4Shell 的破坏力完全和 S...
有用户怀疑 LastPass 的主密码数据库可能已被泄露
有使用LastPass的用户报告说，有多人试图使用正确的主密码从不同地点登录，表明该公司可能存在数据泄露。Hacker News论坛的多名用户报告称他们的LastPass的主密码似乎被泄露了。 目前还不知道这些密码是如何泄露的，但在用户中已经出现了一种类似的情形。 大多数报告似乎来自拥有过时的Las...
安卓 APT 间谍软件 GnatSpy 分析
一个名为C-23(也被称为 GnatSpy，FrozenCell，或 VAMP)的APT组织在他们的恶意应用程序中加入了新的特性，这些特性使得它们对用户的行为更具适应力，用户可能会试图手动删除它们，安全和网络托管公司可能会试图阻止访问或关闭其C2服务器域名，但这些恶意应用程序也能应对。 这款间谍软件...
评论列表
发表评论
