黑客爆破攻击Sql Server，已控制数百台企业服务器和网站
感谢腾讯御见威胁情报中心来稿！
原文：腾讯御见威胁情报中心
一、概述
SQL爆破、提权攻击已成攻击者惯用伎俩，但仍有部分企业网管使用弱口令导致服务器被黑客操控。近日，腾讯安全御见威胁情报中心发现一起针对SQL数据库的爆破攻击事件，攻击成功后会根据系统环境下发远控木马、植入Webshell、在目标服务器创建管理员用户。本次攻击的失陷服务器已达数百台之多，主要受害者位于陕西、山西、吉林等地。
该木马的攻击行动具有如下特点二、详细分析
攻击者在HFS上的工具列表
从HFS列表可以看出，该团伙主要通过Mssql&mysql爆破，3389爆破，攻击成功后再利用提权工具进行提权，以mssql爆破工具进行分析
Start.bat启动扫描任务,并根据扫描结果进行爆破
Dhls.exe根据ip.txt中的IP列表扫描主机是否开放sql相关端口，接着使用CSQL.exe尝试爆破，其中user.txt，pass.txt分别是用户名和密码，爆破成功的IP会输出到out.txt中，接着CSQL中会对out.txt中机器进行远程命令执行，sql命令保存在2018.sql
Sql命令结束杀软进程
向系统添加账户 SQLuser, *** $ *** 520
下载并执行team.exe
目前team.exe已经无法下载，无法得知里面具体功能，从攻击者的文件服务器上看，攻击者在爆破成功后会下发TeamView远程控制工具或webshell：hxxp://124.16.146.185:9000/tv.exe，并通过TVGET.exe程序获取到TeamView的用户ID和密码：
如果是web服务器，则会下发Webshell到c:/1.php,c:/1.asp,c:/1.aspx
Webshell经过简单加密混淆，base64及字符压缩
解密后联网下载404.gif
404.gif中是一段被加密shell，通过gzinflate&base64_decode解密后可以得到一个完整的反弹木马。
首先会添加一个账户envl到系统中，方便后续远程登录
反弹链接的C2从cookie中获取反弹链接的C2从cookie中获取
在shell中也包含了用于执行mysql语句的shell
木马可对服务器web页面进行批量挂马
木马功能
目前腾讯安全御见威胁情报中心已监测到有40多家网站，300多个页面被植入该后门。
三、关联分析
追溯攻击中使用的webshell来自webshell8.com，号称免杀主流web护盾。
Webshell的界面
在攻击者发现HFS服务器被盯上后，竟在服务器上放置联系方式。
四、解决方案
腾讯御界检测到服务器遭遇爆破攻击
IOCs
IP
124.218.92.68:9000
124.16.146.185:9000
123.15.33.19:9000
Domain
phpapi.info
tanlini.3322.org
MD5
f1c4842de714e7480e69f41540c3626b
e7c182ece6eceb6f89d6bd9a6d33c53e
5c0249cce6e5c500a54aa34ba2b8c282
c8a689d353b10ca90e88f3f7b4afa25f
78ff58ad4fe3c40e6f6945a2b0c79f36
a7419cf9e40501cfb2762623c5277857
f1f22dc294694ba7a727ea991f88c3a1
URL
hxxp://phpapi.info/404.gif
hxxp://123.15.33.19:9000/team.exe
hxxp://124.16.146.185:9000/CVE2018.exe
hxxp://124.16.146.185:9000/CVE-2018-8120.exe
hxxp://124.16.146.185:9000/freeSSHd.exe
hxxp://124.16.146.185:9000/go.bat
hxxp://124.16.146.185:9000/HAdmin.exe
hxxp://124.16.146.185:9000/K8UA.asxp
hxxp://124.16.146.185:9000/lcx.exe
hxxp://124.16.146.185:9000/mima.ps1
hxxp://124.16.146.185:9000/mimidrv.sys
hxxp://124.16.146.185:9000/mimikatz.exe
hxxp://124.16.146.185:9000/mimikatz_trunk.zip
hxxp://124.16.146.185:9000/mimilib.dll
hxxp://124.16.146.185:9000/nc.exe
hxxp://124.16.146.185:9000/she.aspx
hxxp://124.16.146.185:9000/she.php
hxxp://124.16.146.185:9000/shell.asp
hxxp://124.16.146.185:9000/task.exe
hxxp://124.16.146.185:9000/tcp.exe
hxxp://124.16.146.185:9000/team.exe
hxxp://124.16.146.185:9000/TV_pweg.exe
hxxp://124.16.146.185:9000/TVGET.exe
hxxp://124.16.146.185:9000/TVs.exe
hxxp://124.16.146.185:9000/wce.exe
hxxp://124.16.146.185:9000/Welcome.txt
hxxp://124.16.146.185:9000/x.mof
hxxp://124.16.146.185:9000/xx.jpg
“黑客爆破攻击Sql Server，已控制数百台企业服务器和网站” 的相关文章
安全专家担忧欧盟 DMA 会破坏 WhatsApp 等应用的端到端加密
3 月 24 日，欧盟管理机构宣布《数字市场法案》（Digital Markets Act，简称DMA）已达成共识，将会对欧洲的大型科技公司进行全面的监管。作为一项具有深远影响的雄心勃勃的法律，该法案中最引人注目的措施将要求每个大型科技公司（在欧盟拥有超过 750 亿欧元的市值或超过 4500 万人...
美国在俄罗斯对乌克兰采取军事行动前已展开网络防御秘密任务
在俄罗斯对乌克兰采取军事行动的几个月前，一队美国人在乌克兰各地寻找一种非常特殊的威胁。据悉，其中一些小组成员是美国陆军网络司令部的士兵，其他人则是民用承包商和一些美国公司的雇员，他们帮助保护关键基础设施免受俄罗斯机构对乌克兰采取的网络攻击。 自2015年乌克兰电网遭遇网络攻击进而导致基辅部分地区停...
攻击者部署后门，窃取 Exchange 电子邮件
网络安全研究人员将该 APT 组织追踪为 UNC3524，并强调在某些情况下，该组织可以对受害者环境进行超过 18 个月的访问，展示了其 “先进 “的隐匿能力。 在每一个 UNC3524 受害者环境中，攻击者都会针对一个子集的邮箱，集中其注意力在执行团队和从事企业发展、兼并和收购的员工或 IT 安...
Log4j 漏洞可能需要数月甚至数年时间才能妥善解决
网络安全专家认为 CVE-2021-44228 的普遍性以及容易被利用，这个 Log4j 中的远程代码执行漏洞可能需要数月甚至数年时间才能得到妥善解决。McAfee Enterprise 和 FireEye 的高级威胁研究主管 Steve Povolny 表示，Log4Shell 的破坏力完全和 S...
有用户怀疑 LastPass 的主密码数据库可能已被泄露
有使用LastPass的用户报告说，有多人试图使用正确的主密码从不同地点登录，表明该公司可能存在数据泄露。Hacker News论坛的多名用户报告称他们的LastPass的主密码似乎被泄露了。 目前还不知道这些密码是如何泄露的，但在用户中已经出现了一种类似的情形。 大多数报告似乎来自拥有过时的Las...
白宫邀请苹果、亚马逊、IBM讨论开源软件安全问题
在美国遭受多次利用开源软件漏洞的攻击后，包括苹果在内的科技公司高管将于周四参加白宫的网络安全会议。1月13日星期四的会议是由于发现了开源Log4j软件的漏洞而专门召开的，该软件在国际上被用于应用程序的数据记录。 白宫国家安全顾问杰克-沙利文在12月写信给大科技公司的首席执行官，说这种开源软件是一个”...
评论列表
发表评论
