freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

“驱动人生”:老病毒翻出新花样
2021-09-24 14:24:58

背景概述

近日,深信服终端安全团队捕捉到“驱动人生”病毒的新变种,并通过云端的威胁情报系统监测到海内外已有大量终端被感染。“驱动人生”病毒自2018年出现,至今出现多个变种,不断进行技术优化以躲避安全软件的查杀监测。

该病毒利用永恒之蓝漏洞、SMBGhost漏洞等多种高危漏洞对Windows、Linux下的主机进行入侵感染,在入侵成功之后不仅会下载挖矿文件进行挖矿,还会释放传播模块继续入侵感染其他终端,并且病毒所使用的Powershell脚本经过多层混淆用以逃避安全软件的查杀。

“驱动人生”病毒变种跟踪图

点击查看相关的分析文章

1.《谨防“驱动人生”升级通道木马病毒恶意传播

2.《警惕“驱动人生”木马最新变种袭击MSSQL数据库

3.《借鸡生蛋!“驱动人生”挖矿木马使用Outlaw僵尸网络模块进行广泛传播

根据威胁情报查询此次新变种利用的域名信息,创建时间于9月初,说明该变种刚开始传播不久。

病毒运行流程

Windows

https://t[.]m7n0y.com/*.jsp 会卸载部分杀毒软件;

在如下位置创建计划任务:

\[随机字符串1]

\[随机字符串1]\[随机字符串2]

\Microsoft\Windows\[随机字符串1]\[随机字符串2]

如果WMI中没有检测到名为blsckbell的事件过滤器,则会创建多个随机名称的WMI过滤器和WMI消费者驻留项;

计划任务和WMI中执行的代码内容主要为释放挖矿程序、if.bin和kr.bin模块;

病毒还会将 C:\Windows\System32\Windowspowershell\V1.0\powershell.exe 重命名为随机字符,后续使用随机字符命名的powershell执行挖矿脚本等命令,给管理员编写脚本批量清除这些进程增加了难度


If.bin模块分析

If.bin 是传播模块,主要功能为暴力破解和漏洞利用,并然后在成功入侵其他主机后持续传播病毒。

1.内网IP收集:传播阶段需要获取目标IP列表,病毒默认扫描192.168.*.*、10.0.*.*、172.16.*.* 中的数个C段地址,并会通过ipconfig、GetHostByName、收集外网地址等方式扩充扫描IP地址段。

2.密码收集:病毒内置了部分常用的用户名和弱密码,列表如下图:

在实行暴力破解之前,还会使用 mimikatz 模块获取本机的密码,用以扩充现有的密码表,增加爆破成功概率(由此可见,不同主机使用相同密码危害有多大)

3.暴力破解和漏洞利用

针对的服务列表如下:

执行暴力破解前会检查65529端口,这是xmrig挖矿进程监听的端口,避免主机被重复感染。

4.传播阶段

通过暴力破解、漏洞利用等方式成功获取到其他主机的权限之后,会直接尝试在主机中执行powershell或shell命令,从 https://t[.]m7n0y.com/*.jsp (Windows)或 https://t[.]m7n0y.com/ln/core.png (Linux) 中下载并执行启动脚本,进行新一轮的感染。


Kr.bin模块分析

Kr模块循环不断地对失陷主机的进行监控,不仅可以关闭名单中的进程、服务、计划任务,还可以中断其他挖矿进程的连接,并封禁掉相应的ip。

停止并删除在名单中的服务、进程、计划任务:

隐藏任务管理器:

解禁自己的ip:

判断外部连接中是否存在挖矿连接,存在则停止相应进程并禁掉该ip:

获取自身挖矿进程的id,避免被杀掉:

Linux

https://t[.]m7n0y.com/ln/core.png通过/etc/crontab文件写入计划任务,执行a.asp脚本;

a.asp脚本会关闭同行的挖矿进程;

下载挖矿文件xr至/.Xl1目录,并运行挖矿文件。

利用ssh横向传播

封禁除自己以外的挖矿ip

获取矿机ip、版本、算力等信息,并返回给后台。

IOC

t.m7n0y.com

d.bb3u9.com

t.jdjdcjq.top

t.qq7u0.com

t.phu7t.com

d.u78wjdu.com

p.jue82h.com

本文作者:, 转载请注明来自FreeBuf.COM

# 木马 # 挖矿木马 # 系统安全 # 挖矿病毒 # 驱动人生
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
文章目录
登录 / 注册后在FreeBuf发布内容哦
收入专辑