贪吃蛇挖矿木马团伙分析报告

作者: 看雪学院 | 来源:发表于2019-05-21 18:26 被阅读0次

0x0 前言

不喜欢写那么多密密麻麻的字，直接贴图。

0x1 概述

腾讯御见威胁情报中心监测到“贪吃蛇”挖矿木马团伙针对MS SQL服务器进行暴破攻击，攻击成功后利用多个提权工具进行提权，随后植入门罗币挖矿木马、大灰狼远程控制木马、以及键盘记录程序。本次传播的“大灰狼”远控采用更隐秘的DNS隧道通信技术，可绕过大部分软件防火墙，多次利用大厂商白文件进行攻击。【转】

0x3 感染现象：

1）下载多个恶意文件或者白加黑文件，如mscorsvws.exe，aspnet_wp.exe等

2）链接aaaa.usa-138.com，与C2进行交互

3）链接http://sql.4i7i.com/和http://4i7i.com/释放后门程序和挖矿程序

4）创建服务用于常驻

5）执行挖矿操作

0x4 样本分析

0x4.1：主体样本

1) 得到的原始样本SHA值为bdc2aeb40e7d81c48474392ba5ea4bfa32ef430a78cb86ef2e619ee21b27da22，加了UPX的壳，脱去外壳得到样本

2) 判断是否是管理员用户，如果是管理员用户会执行如3-11的操作

3）创建一个名为clr_optimization的服务，映像路径如下：%windowsdir%\ Framework\mscorsvws.exe

4）判断是否存在C:\WINDOWS\Microsoft.NET\Framework\mscorsvws.exe，如果存在，则执行，否则创建文件mscorsvws.exe，并这是只读，隐藏，系统属性

5) 创建C:\WINDOWS\Microsoft.NET\Framework\aspnet_wp.exe，并设置只读，系统，隐藏属性，并执行。此样本是一个白加黑的样本。

6) 创建C:\WINDOWS\Microsoft.NET\Framework\ETComm.dll，这是aspnet_wp.exe的必备组件

7）创建C:\WINDOWS\MpMgSvc.dll文件

8）给如下进程进行提权，主要提升如下权限：SeRestorePrivilege，SeBackupPrivilege，SeSecurityPrivilege，SeTakeOwnershipPrivilege，其中需要提权的进程主要有"

C:\Windows\system32\sethc.exe，

C:\Windows\system32\osk.exe

C:\Windows\system32\Magnify.exe,

C:\Windows\system32\Narrator.exe

C:\Windows\system32\Utilman.exe

9）利用calc工具拒绝system对C:\Windows\Fonts*.exe进行访问

10）创建从http://4i7i.com/11.exe处，创建11.exe，并执行11.exe

11）如果不是管理员用户，则使用傀儡进程技术

12）判断程序是在32位系统中还是64位系统，由此解密不同的恶意文件

13) 在当前目录下创建TrustedInsteller.exe，TrustedInsteller.exe是一个挖矿程序，然后执行挖矿：

矿池为pool.usa-138.com:80，

钱包地址为4B7yFmYw2qvEtWZDDnZVeY16HHpwTtuYBg6EMn5xdDbM3ggSEnQFDWDHH6cqdEYaPx4iQvAwLNu8NLc21QxDU84GGxZEY7S。

14）通过dump侵入svchost.exe执行傀儡进程操作的文件。首先程序会Kill rundll32.exe这个进程，这步的目的是后续的样本会使用rundll32.exe加载dll文件

15）检测路径是否处于%windows%下，接着设置服务函数ServiceProc分析服务函数，我们知道其执行了一下三个重要操作。1.提升进程权限，创建伪句柄，2.并且与CC服务器交互3.获取设备相关信息(主要包括处理器信息，系统物理和虚拟内存使用情况，设备驱动器信息和驱动程序信息)

16）开始服务aspnet_staters

17）并设置程序自启动

18）设置注册表数据,主要是设置aspnet_staters服务的相关信息，以便其他样本读取，并判断是否被感染

19）检索大多数国内安全厂商进程

0x4.2 11.exe分析

1）创建文件C:\WINDOWS\Help\Helpsvc.exe.创建名为WinHelpSvcs的服务，二进制文件为Helpsvc.exe，实现永久化

2）将HelpSvc.exe设置系统隐藏属性

3）创建C:\WINDOWS\Help\Winlogon.exe同样设置隐藏系统属性，并执行。

4）创建C:\WINDOWS\Help\active_desktop_render.dll文件

5）删除服务

6）配置IPSEC安全策略(DNS桥隧通信)

7）利用cacls禁止system用户对如下文件访问

C:\ProgramData\Storm\update\%YOUSHIZHUAY%*.cc3

C:\ProgramData\DRM\%SESSIONNAME%*.cc3

C:\ProgramData\Storm\update\%SESSIONNAME%*.cc3

8）关闭LanmanServer和Schedule服务

9）自删除

0x4.3：Winlogon.exe分析

1）首先这是一个白加黑的样本，利用kugou需要加载active_desktop_render.dll调用SetDesktopMonitorHook的原理，改写active_desktop_render.dll文件，实现白加黑的技术。主要分析在于对active_desktop_render_new.dll的分析

2）HOOK svchost进程，为了是为了调用TrustedInstaller.exe_进行挖矿。