从Web蔓延到内网,BuleHero最新变种来袭

千里目安全实验室 系统安全 2019年9月5日发布
Favorite收藏

导语:深信服防火墙监测到大量设备请求恶意域名cb.fuckingmy.life经深信服安全团队排查,确认为BuleHero木马最新变种。

近日,深信服防火墙监测到大量设备请求恶意域名cb.fuckingmy.life,该域名注册于今年8月,经深信服安全团队排查,确认为BuleHero木马最新变种的C&C服务器。安全专家对捕获到的木马文件进行了详细分析,该变种行为与今年6月份的变种行为相似:去掉了LNK模块,更换了C&C域名和一些攻击组件的名字,但比较特别的是,该变种开始通过Web自动化攻击工具进行传播。

从深信服防火墙上的攻击日志上来看,拦截了大量的命令注入攻击,分别利用以下2种漏洞进行攻击:structs2远程命令执行漏洞、thinkphp5.X命令执行漏洞。

图片1.png

方式1,通过structs2远程命令执行漏洞下载执行病毒母体:http://cb.fuckingmy.life/download.exe。

图片2.png

方式2,通过thinkphp5.X命令执行下载执行病毒母体:http://fid.hognoob.se/download.exe。

详细分析

首先,利用漏洞创建一句话木马hydra.php。

图片3.png

然后,通过该木马下载运行病毒母体download.exe。

图片4.png

从日志的数量以及特征来看,可以判断出这些Web攻击是一个自动化的过程,也就是说BuleHero正利用一些Web漏洞自动化工具进行传播。 

获取到病毒样本download.exe后,发现该样本的编译时间为8月26号,是最近编译的。病毒母体名字还是延用着4月份版本的download.exe。

图片5.png

BuleHero家族的病毒相关信息很容易获取。因为BuleHero运行后都会先从C&C服务器上读取配置信息,所以,只需解析该配置文件cfg.ini,就能大致提取出关键信息。关键信息见下图:

图片6.png

病毒流程图:

图片7.png

[1] 病毒母体download.exe释放随机名后门并注册成服务WervPoxySvc,与C&C服务器46.178.218.80进行通信。

[2] 从cb.fuckingmy.life下载工具包naplmhost.exe并运行。

[3] 释放Xmrig挖矿程序开始挖矿。

[4] 释放传播攻击模块blwljzt.exe并注册成服务eunttzfwu开始攻击。

[5] 释放mimikatz、TCP扫描器、永恒之蓝工具等组件进行传播攻击。

[6] 篡改注册表关闭防火墙、Defender、Windows自更新等服务。

病毒母体download.exe

病毒母体使用MFC编写,并加了UPX壳。

图片8.png

病毒运行后,主要现象为挖矿、后门通信,以及横向传播。

图片9.png

后门模块rxtrust.exe

自复制到system32目录的随机名文件,并注册成WervPoxySvc服务实现开机自启动,然后与C&C服务器46.173.217.80 : 51888进行通信,目前该C&C服务器端口已关闭。

图片10.png

传播模块blwljzt.exe

传播模块首先将自身注册成服务eunttzfwu,然后释放传播工具到C:\Windows\ciztbfwfu,为3个文件夹:Corporate、tbbsgbzgt、UnattendGC,依次包含抓密码工具、TCP扫描工具、永恒之蓝攻击工具。

图片11.png

vfshost.exe为mimikatz抓密码工具,bulehero会通过抓取主机密码实现内网横向传播。

图片12.png

fttadbnnk、ifvtknkif分别为ip扫描器和端口扫描器,目的是用来获取开启了445端口的主机IP。

图片13.png

UnattendGC存放的则是我们熟悉的永恒之蓝攻击工具包。

图片14.png

挖矿模块cjltps.exe

挖矿模块使用的是Xmrig程序,挖矿流量如下,矿池服务器IP为46.173.217.80。

图片15.png

该IP关联着如下域名,这些均是BuleHero使用的域名。

图片16.png

解决方案

深信服安全团队提醒广大用户,注意日常防范措施:

1、及时给电脑打补丁,修复漏洞。

2、对重要的数据文件定期进行非本地备份。

最后,建议企业对全网进行一次安全检查和杀毒扫描,加强防护工作。

IOC

298DF81D6D317BAEC14C0E9E19F591F4

FC5B65CF9B456E0FABA5F6F5A69EF462

FF2A7868A7B3CB39235D55517EF750B7

4691497582A9C295DAC1BA5E29C5F0C7

46.173.217.80

cb.fuckingmy.life

a45.bulehero.in

如若转载,请注明原文地址: https://www.4hou.com/system/20175.html
点赞 0
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论