欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

病毒团伙利用phpStudy RCE漏洞批量抓鸡,下发四个远控木马

来源:本站整理 作者:佚名 时间:2019-10-06 TAG: 我要投稿

一、简介
近期,腾讯安全御见威胁情报中心监测到团伙利用phpStudy RCE(远程代码执行)漏洞批量抓“肉鸡”,该团伙手握四大远控木马:Nitol、大灰狼、魑魅魍魉、Gh0st,入侵后完全控制采用phpStudy搭建的服务器,并下发DDoS攻击指令,对目标计算机进行网络攻击。
监测数据表明,受该病毒团伙影响的受害服务器数量正在增加,受害服务器主要位于广东(24.9%)、四川(8.1%)、山东(6.8%)。有多个企业租用的云服务器因phpStudy组件漏洞被入侵控制。

二、详细分析
黑客入侵成功后下发后门

Nitol远控:fuck.exe、0.exe
木马除了会上报电脑基本信息外,还会上报用户当前的活动进程,比如游戏进程、杀软进程,以便攻击者更了解受害机器当前活动情况。

木马内置三个C&C地址,明文存放一个: tmh5201314520344837.top,堆栈串存放一个: qlsb.f3322.net

加密存放一个:114.67.65.156:8081,仍然使用Nitol经典的加密方式base64+凯撒移位算法

该变种与同类家族相比缺少了LPK劫持功能,也许是由于该技术在高版本(Vista及以上)中已经不奏效,攻击者去掉了该功能, 同类家族中的资源中会包含lpk劫持模块。

只保留的IPC感染功能

该版本Nitol协议值未发生变化

大灰狼远控:360.exe
入口处下载大灰狼核心dll,该dll地址用base64+凯撒移位+RC4加密存放,密匙“Getong538”

解密dll地址后开始下载

样本存放在C:\ProgramFiles\AppPatch\NetSyst96.dll,下载回来的dll同样使用了RC4解密,密匙“Kother599”。

解密后加载Netsyst96,并调用导出函数

DllFuUpgradrs第三个参数,包含了大灰狼的上线信息,同样被加密(base64+凯撒以为+RC4)存放,密匙“Strong798”

解密后可以看到包含了多种上线方式,ip138上线方式,aizhan上线,C&C:s.aitianxin.cn:9091

魑魅魍魉DDos压测工具:Server.exe
C&C:s.aitianxin.cn:1989


Gh0st远控:cf.exe
包含了键盘记录、屏幕操控等常见远控功能,C&C: s.aitianxin.cn:7777

三、安全建议
1.因phpStudy遭遇供应链攻击一事已完全曝光,有关技术报告十分详尽,如果企业没有积极采取措施补救,反而可能被黑灰产业抢行一步实施攻击行动,针对PhpStudy组件漏洞的攻击已存在较长时间。

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载