欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

从Web蔓延到内网,BuleHero最新变种来袭

来源:本站整理 作者:佚名 时间:2019-09-06 TAG: 我要投稿

近日,深信服防火墙监测到大量设备请求恶意域名cb.fuckingmy.life,该域名注册于今年8月,经深信服安全团队排查,确认为BuleHero木马最新变种的C&C服务器。安全专家对捕获到的木马文件进行了详细分析,该变种行为与今年6月份的变种行为相似:去掉了LNK模块,更换了C&C域名和一些攻击组件的名字,但比较特别的是,该变种开始通过Web自动化攻击工具进行传播。
从深信服防火墙上的攻击日志上来看,拦截了大量的命令注入攻击,分别利用以下2种漏洞进行攻击:structs2远程命令执行漏洞、thinkphp5.X命令执行漏洞。

方式1,通过structs2远程命令执行漏洞下载执行病毒母体:http://cb.fuckingmy.life/download.exe。

方式2,通过thinkphp5.X命令执行下载执行病毒母体:http://fid.hognoob.se/download.exe。
详细分析
首先,利用漏洞创建一句话木马hydra.php。

然后,通过该木马下载运行病毒母体download.exe。

从日志的数量以及特征来看,可以判断出这些Web攻击是一个自动化的过程,也就是说BuleHero正利用一些Web漏洞自动化工具进行传播。
获取到病毒样本download.exe后,发现该样本的编译时间为8月26号,是最近编译的。病毒母体名字还是延用着4月份版本的download.exe。

BuleHero家族的病毒相关信息很容易获取。因为BuleHero运行后都会先从C&C服务器上读取配置信息,所以,只需解析该配置文件cfg.ini,就能大致提取出关键信息。关键信息见下图:

病毒流程图:

[1] 病毒母体download.exe释放随机名后门并注册成服务WervPoxySvc,与C&C服务器46.178.218.80进行通信。
[2] 从cb.fuckingmy.life下载工具包naplmhost.exe并运行。
[3] 释放Xmrig挖矿程序开始挖矿。
[4] 释放传播攻击模块blwljzt.exe并注册成服务eunttzfwu开始攻击。
[5] 释放mimikatz、TCP扫描器、永恒之蓝工具等组件进行传播攻击。
[6] 篡改注册表关闭防火墙、Defender、Windows自更新等服务。
病毒母体download.exe
病毒母体使用MFC编写,并加了UPX壳。

病毒运行后,主要现象为挖矿、后门通信,以及横向传播。

后门模块rxtrust.exe
自复制到system32目录的随机名文件,并注册成WervPoxySvc服务实现开机自启动,然后与C&C服务器46.173.217.80 : 51888进行通信,目前该C&C服务器端口已关闭。

传播模块blwljzt.exe
传播模块首先将自身注册成服务eunttzfwu,然后释放传播工具到C:\Windows\ciztbfwfu,为3个文件夹:Corporate、tbbsgbzgt、UnattendGC,依次包含抓密码工具、TCP扫描工具、永恒之蓝攻击工具。

vfshost.exe为mimikatz抓密码工具,bulehero会通过抓取主机密码实现内网横向传播。

fttadbnnk、ifvtknkif分别为ip扫描器和端口扫描器,目的是用来获取开启了445端口的主机IP。

UnattendGC存放的则是我们熟悉的永恒之蓝攻击工具包。

挖矿模块cjltps.exe
挖矿模块使用的是Xmrig程序,挖矿流量如下,矿池服务器IP为46.173.217.80。

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载