欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

WannaMiner挖矿木马不光擅长黑吃黑,最新变种还会过河拆桥

来源:本站整理 作者:佚名 时间:2018-09-10 TAG: 我要投稿

一、概述
近日,腾讯御见威胁情报中心发现了WannaMiner的新变种,该挖矿木马在挖取XMR同时还会下载远控木马,和以往的版本类似,这个WannaMiner挖矿木马的最新变种会查杀其他挖矿木马,保证自己独享系统资源。同时,该变种在自身入侵成功后会关闭高危端口,避免其他挖矿木马入侵,其目的同样是保证独享挖矿资源。
此外,经过分析发现,该变种除了跟友商发布的MsraMiner家族在漏洞利用和恶意基础设施上高度一致,跟友商今年六月爆出的另一个家族HSMiner如出一辙。因此我们判断,WannaMiner、MsraMiner、HSMiner实际为同一家族的不同命名,背后为同一黑产团伙。
WannaMiner新变种具有如下特点:
1.冒充微软系统文件,关闭Windows防火墙,添加任务自启动。
2.释放NSA攻击工具套件(永恒之蓝),扫描内网445端口横向扩散。
3.释放远程控制木马java.exe(文件名伪装),该远控木马具体系统最高权限,可实现窃取隐私及一切远程管理任务。
4.释放挖矿模块we32.exe,有意思的是,这个挖矿模块除了会结束其他挖矿木马进程,还会在安装好自身之后,会关闭系统的135、137、138、139、445端口,避免这台机器被其他入侵者控制。
5.通过同源性分析,发现该木马与HSMiner挖矿木马高度相似,该木马下载了和HSMiner挖矿木马一样的远程控制模块。
6.通过比对以往的威胁情报,发现该木马使用的C2服务器与HSMiner挖矿木马有相关性。
7.同样,通过溯源分析,发现WannaMiner挖矿木马与MsraMiner挖矿木马同样相似度级高,C2服务器也存在复用。
通过5,6,7的分析,御见威胁情报中心判断不同安全团队报告的WannaMiner、MsraMiner与HSMiner背后的控制者为同一团伙。
二、样本分析
WannaMiner木马依然分为三个部分:传播模块、挖矿模块、远控模块。
1、传播模块分析(32ja.exe)
32ja.exe为自解压SFX文件,执行脚本会解压释放到“%windir%\IME\Microsofts”文件夹下,关闭防火墙,并隐藏文件,设置任务启动。

以服务执行的spoolsv.exe会释放NSA利用组件,并且扫描内网445端口开放的主机写入配置文件中,并利用永恒之蓝进行攻击。并且spoolsv.exe执行步骤会发送回C2服务器d.drawal.dk。
释放的NSA漏洞利用组件:

发送执行信息到目标C2:

payload继续下载32ja.exe和we32.exe:

32ja.exe除了会释放漏洞利用部分spoolsv.exe外,同时还会释放一个远控java.exe。
2、远控模块分析(java.exe)
该远控和之前友商的HSMiner报告中的远控一致,不再继续展开。
如远控中遍历的安全软件:

3、挖矿模块分析(we32.exe)
We32.exe也是SFX自解压文件,解压后脚本执行cls.bat。

Cls.bat会将释放在同一文件夹下的的spoolsv.exe和windows.exe(矿机)启动,spoolsv.exe实际上为NSSM,NSSM是一个服务封装程序,它可以将普通exe程序封装成服务,使之像windows服务一样运行。脚本会利用spoolsv.exe(NSSM)安装windows.exe,让windows.exe以服务启动。启动后,脚本会继续关闭135,137,138,139,445等端口,避免被其他挖矿木马入侵占用。

矿机windows.exe为github上源码修改重新编译。由于使用代理矿池https://udns.duckdns.org,无法获取钱包地址。

代理矿池访问:

三、关联分析
1、代码
从代码来看,该木马跟HSMiner的代码高度相似,而样本的pdb信息也一致。
该木马payload下载代码:

友商报告中的payload下载代码:

pdb信息:

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载