一、概述

腾讯御见威胁情报中心近期发现WannaMiner最新变种攻击，该变种病毒利用永恒之蓝漏洞在企业内网快速传播。病毒入侵成功会在上传中毒电脑信息、更新病毒模块、下载执行挖矿模块以及执行网络攻击模块进行蠕虫式扩散。监测数据表明，该病毒变种首次出现于2018年11月16日，之后感染量呈急剧上升趋势，建议企业及个人用户及时做好安全防范。

腾讯安全专家建议用户尽快修补内网电脑存在的安全漏洞，以避免WannaMiner挖矿木马在内网扩散，腾讯御点终端安全管理系统可以帮助拦截。

二、详细分析

攻击模块

解压NSA攻击包程序到C:\Windows\AppDiagnostics\目录下，并启动spoolsv.exe（doublepulsar），svchost.exe（eternalblue）对局域网机器445端口进行攻击，攻击成功后植入x64.dll/x86.dll并执行。

(NSA攻击包程序)

(doublepulsar攻击配置文件)

（eternalblue攻击配置文件）

Payload

X86.dll/x64.dll具有接收发送数据，安装和卸载服务等功能。

样本导出函数DllRegisterServer，解密字符串，创建互斥体，初始化socket监听本地端口39172。

启动线程接收数据，并将接收的数据写出文件到%SYSTEM32%/MarsTraceDiagnostics.xml。

等待线程执行完成后读入刚写出的文件并解密内容继续写出到%SYSTEM32%/snmpstorsrv.dll。

修改MarsTraceDiagnostics.xml、snmpstorsrv.dll的创建、修改、访问时间，并将snmpstorsrv.dl创建名为snmpstorsrv的服务。

（启动线程接收数据）

（解密数据）

（输出数据创建为文件）

(创建服务)

(注册表信息)

snmpstorsrv.dll

通过PE文件信息可以看到，文件的编译时间为2018-11-15，如果病毒没有修改时间戳则病毒的生成时间也为2018-11-15。

对旧版本WananMiner病毒的木马文件、服务等信息进行清除。

结束rundll32进程

创建MgmtFilterShim.ini，并写入一个“+”号

每隔5小时检查更新，下载resource或modules.dat

搜集并上传系统信息

返回指令为1，下载文件tmp***.tmp到临时目录（‘***’为获取操作系统经过的时间），通过regsvr32.exe执行。

返回指令为3，下载文件tmp***.exe到临时目录并执行

更新模块

C:\Windows\Temp\tmp***.exe执行后，从服务器下载更新文件。

将文件保存为C:\Windows\Temp\WUDHostUpgrade***.exe

然后执行更新模块。

挖矿模块

从服务器下载开源矿机XMRig（hxxps://github.com/xmrig/xmrig/releases），

保存到 C:\WINDOWS\system32\TrustedHostex.exe

连接矿池38.132.111.14进行挖矿作业。

三、安全建议

1、服务器关闭不必要的端口，例如139、445端口等。

2. 手动安装“永恒之蓝”漏洞补丁请访问以下页面

https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

其中WinXP，Windows Server 2003用户请访问

https://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

3、企业用户建议全网安装御点终端安全管理系统

（https://s.tencent.com/product/yd/index.html）。御点终端安全管理系统具备终端杀毒统一管控、修复漏洞统一管控，以及策略管控等全方位的安全管理功能，可帮助企业管理者全面了解、管理企业内网安全状况、保护企业安全。

4、个人用户推荐使用腾讯电脑管家，拦截此类病毒攻击。

IOCs

IP

38.132.111.23

216.250.99.33

167.179.79.234

104.248.72.247

172.105.229.220

207.148.110.212

149.28.133.197

167.99.172.78

url

free.fiablert.tk
state.codidled.com
null.exhauest.com
auto.ashtraies.com

md5

8902ff1ef33f08de71cbba67bef97176 

33319d65b4b91e6dc4c87fc0c0aca878

dec7c0df7dfcf340d989613b07392c05 

61de0c2daf7711679e3fda64972fc5

42a12de5a2b8cff827407877dbd66b16

81e841973da774f6bb17e0f2aff75983

904d84cdcc1cdcbe9390c4716f2ec337  

d758aa69bc07881c136ed68a38b7beec

082249c6048ef80e1def72fd785f7709

1e9e29a4e8b29d074827c1bc9f1f6d27