欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

警惕“驱动人生”无文件挖矿再次更新

来源:本站整理 作者:佚名 时间:2020-03-06 TAG: 我要投稿

近日,“驱动人生”无文件挖矿病毒计划任务再次更新,此次更新中的恶意脚本将会篡改hosts文件指向随机域名,并将DNS服务器地址修改为“8.8.8.8”及“9.9.9.9”,同时采用多种攻击方式横向传播。亚信安全将其命名为Coinminer.Win64.MALXMR.TIAOODDA。
攻击流程

病毒详细分析
此次发现的恶意计划任务代码主要为如下两种,实际功能均是下载同一文件x.js(a49add2a8eeb7e89b9d743c0af0e1443):

a49add2a8eeb7e89b9d743c0af0e1443分析:
a49add2a8eeb7e89b9d743c0af0e1443是一段经过混淆加密的PowerShell代码,解密后的代码如下图,其主要功能是上传被感染机器信息并下载另外一个PowerShell脚本(f19d9a77c3f6f07e43f5822f9a796104):

f19d9a77c3f6f07e43f5822f9a796104主要功能如下:
1. 下载并执行if.bin(横向传播模块);
2. 如果是N卡(GTX | NVIDIA | GEFORCE),则下载XMRig CUDA插件到tmp目录,以便后续利用NVIDIA GPU同时挖矿;
3. 根据系统版本不同分别执行32/64位挖矿软件me3.exe/m6.bin,若系统为64位机器,将调用Invoke-ReflectivePEInjection注入到Powershell进程中执行;
4. 如果系统中包含N卡或A卡则额外执行挖矿程序m6g.exe;
5. 修改DNS服务器地址为“8.8.8.8”及“9.9.9.9”;
6. 开启防火墙65529/TCP端口并设置端口转发,且会禁用135/445端口,导致文件共享无法使用。


64位系统,调用Invoke-ReflectivePEInjection将挖矿程序注入到PowerShell进程中。



If.bin模块包含多个攻击模块,且使用如下弱口令暴力破解其他机器:

攻击模块:
1)利用“永恒之蓝”漏洞攻击
此功能将会扫描内网中开放445端口的易受攻击机器,且会获取易受攻击机器的系统版本,根据系统版本使用不同的攻击代码,一旦攻击成功将会执行PowerShell命令。

【MS17-010漏洞扫描程序】

【MS17-010攻击代码】
2)  MS-SQL Server SA账户暴力破解
枚举并扫描内网其他开放1433端口的机器,并尝试使用弱口令及Mimikatz从本地收集到的密码暴力破解 SA账户,一旦登录成功将会使用xp_cmdshell执行PowerShell脚本并上报机器IP及SQLSERVER密码到服务器。

如果登录成功,则上报机器IP和MS-SQL Server密码。

3)  PassTheHash攻击
此功能将会验证用户帐户权限,如果当前登录用户具有管理员权限则使用PowerDump模块和Mimikatz来转储所有NTLM哈希、用户名、密码和域信息。后续将会使用这些凭据,将恶意脚本文件上传到网络中可访问的任何远程计算机的%startup%文件夹中,使用WMI远程执行PowerShell代码。

使用默认HASH及PowerDump模块和Mimikatz转储的HASH值尝试访问其他机器的IPC$。

4)  针对RDP弱口令进行爆破攻击
此模块会扫描内网其他开启3389端口的机器,并尝试使用”Administrator”用户名及前述弱口令密码及Mimikatz收集到的密码尝试登录,成功登录后将会执行PowerShell后门代码并上报机器IP及密码。

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载