比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?

  1. 云栖社区>
  2. 博客>
  3. 正文

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?

知与谁同 2017-07-03 08:47:00 浏览1211
展开阅读全文

5月12日,攻击者利用“永恒之蓝”(EternalBlue)在全球范围内发起大规模勒索软件攻击。“影子经纪人”(Shadow Brokers)4月14日泄露的NSA黑客工具就包括“永恒之蓝”(EternalBlue),这款工具利用TCP 445端口SMB的漏洞发现网络中易受攻击的计算机,并横向扩散攻击者选择的恶意有效载荷。

但是,Proofpoint公司的研究人员还发现另一起规模巨大的攻击,其利用EternalBlue和后门DoublePulsar安装加密货币挖矿软件Adylkuzz。初步数据统计表明,这起攻击的规模可能比“WannaCry”还大,影响了全球几十万台PC和服务器,因为这起攻击关闭SMB网络,通过同样的漏洞阻止其他恶意软件(包括WannaCry蠕虫)感染,而这起攻击对上周五报道的WannaCry感染起到一定限制作用。

Adylkuzz攻击的征兆包括:共享Windows资源访问权丢失,PC和服务器的性能受到影响。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

几个大型组织机构美国时间15日早上报告出现了网络问题,最初他们以为是WannaCry在作祟。然而未出现勒索信息,因此研究人员认为这些问题可能与Adylkuzz有关。但是,值得注意的是,Adylkuzz攻击活动在时间上早于WannaCry勒索攻击,至少自5月2日就开始了,可能最早始于4月24日,Adylkuzz攻击仍在持续,虽然不如WannaCry那般肆虐,但规模巨大,具有潜在破坏性。

Adylkuzz是如何被发现的?

在研究WannaCry勒索病毒的过程中,研究人员使用一台易遭受EternalBlue攻击的实验室电脑进行测试。虽然研究人员希望是WannaCry,但这台实验室电脑实际上却遭遇了Adylkuzz感染。研究人员经过多次重复操作,结果仍一致:即在20分钟内将易受攻击的设备暴露在公开网络中,结果该设备被加入Adylkuzz挖矿僵尸网络。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图1:某主机遭遇EternalBlue/DoublePulsar攻击,然后从另一台主机下载Adylkuzz

这起攻击从几台虚拟专用服务器发起,这些服务器在TCP 445端口上扫描互联网寻找潜在目标。

一旦成功利用EternalBlue,目标设备便会被DoublePulsar感染,之后,DoublePulsar后门从另一台主机下载并运行Adylkuzz。一旦运行,Adylkuzz将首先停止已经在运行的任何潜在实例,并阻止SMB通信,以避免进一步感染。此后,Adylkuzz确定受害者的公开IP地址,并下载挖矿指令、加密挖矿软件和清理工具。

似乎在任何给定时间内,有多台Adylkuzz命令与控制(C&C)服务器托管加密挖矿软件二进制和挖矿指令。

图2 显示Adylkuzz感染设备后生成的流量:

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图2:感染后的流量

Adylkuzz正在挖“门罗币”而非比特币

这起攻击中,Adylkuzz被用来挖掘门罗币(Monero,XMR,E安全注:类似比特币的一种数字货币)。与比特币相比,门罗币的匿名功能更强大。自从被AlphaBay暗网市场采用后,门罗币活动激增。执法当局将AlphaBay暗网市场称之为“贩卖毒品、被盗信用卡和假冒产品的主要地下网站”。与其它加密货币一样,门罗币通过挖矿过程增加市场资本。挖矿过程是计算密集型的,但挖矿人会得到加密货币奖励,目前的区块奖励为7.58 门罗币或约1722元(205美元)。

图三显示Adylkuzz的门罗币挖矿,其散布要比比特币更容易,比特币目前通常需要专用的高性能设备。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图3: Adylkuzz感染虚拟机的部分行为分析,包括关闭SBM或启动门罗币挖矿

图4中显示了一个相关的门罗币地址。哈希率(Hash Rate)显示,与Adylkuzz僵尸网络特定实例相关的相对速度是门罗币挖矿,而总付款额显示的是向挖矿活动特定地址支付的金额。这种情况,在该地址相关挖矿活动停止前,付款金额超过15万元。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图4:Adylkuzz挖矿收入相关的一个门罗币地址

从一个Adylkuzz地址每天的挖矿金额可以看出,支付活动于4月24日开始激增,也就是攻击开始的时间。研究人员认为,5月11支付活动突然减少表明,攻击者转移到了新的挖矿用户地址(图5)。定期更换地址表明,攻击者试图避免将太多门罗币支付到一个地址。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图5:一个Adylkuzz挖矿地址的每日支付活动

图6中显示了第二个付款地址的统计数据和支付历史。该地址截止当时时间5月15日支付了超过4.8万元。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图6:Adylkuzz挖矿收入相关的第二个门罗币地址

第三个地址显示了较高的哈希率,支付总额超过9.6万元(图7)。

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

图7:Adylkuzz挖矿收入相关的第三个门罗币地址

目前,研究人员已经识别了超过20台主机设置在扫描和攻击,并有十几个Adylkuzz服务器在活跃。预计,还有更多门罗币挖矿付款地址,以及与这起活动相关的Adylkuzz C&C 服务器。

就像上周五爆发的WannaCry勒索病毒,这起攻击也使用了泄露的NSA网络武器工具,并利用Windows已打好补丁的漏洞。实际上,Adylkuzz攻击活动发生在WannaCry勒索病毒爆发数天前。对于运行老旧版本Windows或未打SMB补丁的组织机构或个人来说,PC和服务器仍易遭受这类攻击。此类攻击包括勒索软件、加密货币挖矿软件或其它任何类型的恶意软件,极具潜在破坏力,并且遭遇攻击的代价昂贵。这两起大型攻击活动利用的攻击工具和漏洞可能还会被其它人利用,因此,研究人员建议组织机构和个人尽快修复电脑。

攻击指示器(Indicators Of Compromise)

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

选择丢弃的样本

比WannaCry还厉害的Adylkuzz挖矿僵尸网络是怎么被发现的?-E安全

执行命令

taskkill /f /im hdmanager.exe

C:Windowssystem32wbemwmiprvse.exe -secured -Embedding

taskkill /f /im mmc.exe

sc stop WELM

sc delete WELM

netsh ipsec static add policy name=netbc

netsh ipsec static add filterlist name=block

netsh ipsec static add filteraction name=block action=block

netsh ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445

netsh ipsec static add rule name=block policy=netbc filterlist=block filteraction=block

netsh ipsec static set policy name=netbc assign=y

C:WindowsFontswuauser.exe --server

C:WindowsFontsmsiexev.exe -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:443 -u 49v1V2suGMS8JyPEU5FTtJRTHQ9YmraW7Mf2btVCTxZuEB8EjjqQz3i8vECu7XCgvUfiW6NtSRewnHF5MNA3LbQTBQV3v9i -p x -t 1

C:WindowsTEMP\s2bk.1_.exe /stab C:WindowsTEMP\s2bk.2_.log

taskkill /f /im msiexev.exe

netsh advfirewall firewall delete rule name="Chrome"

netsh advfirewall firewall delete rule name="Windriver"

netsh advfirewall firewall add rule name="Chrome" dir=in program="C:Program FilesGoogleChromeApplicationchrome.txt" action=allow

netsh advfirewall firewall add rule name="Windriver" dir=in program="C:Program FilesHardware Driver Managementwindriver.exe" action=allow

C:Windows445.bat

C:Windowssystem32PING.EXE ping 127.0.0.1

net stop Windows32_Update

attrib +s +a +r +h wuauser.exe

C:Windowssystem32SecEdit.exe secedit /configure /db C:Windowsnetbios.sdb

C:Windowssystem32net1 stop Windows32_Update

Select ET signatures

2024217 || ET EXPLOIT Possible ETERNALBLUE MS17-010 Heap Spray

2024218 || ET EXPLOIT Possible ETERNALBLUE MS17-010 Echo Response

2024216 || ET EXPLOIT Possible DOUBLEPULSAR Beacon Response

2000419 || ET POLICY PE EXE or DLL Windows file download

2826160 || ETPRO TROJAN CoinMiner Known Malicious Stratum Authline (2017-04-28 1)

2017398 || ET POLICY Internal Host Retrieving External IP via icanhazip.com - Possible Infection

2022886 || ET POLICY Crypto Coin Miner Login

本文转自d1net(转载)

网友评论

登录后评论
0/500
评论
知与谁同
+ 关注