CoinMiner:又一款利用永恒之蓝扩散的挖矿病毒

小龙 2017-8-30 病毒知识 0 0

一款无文件挖矿恶意程序CoinMiner用了NSA的永恒之蓝exploit来扩散

感染流程

趋势科技的研究人员发现了一款新的无文件挖矿恶意程序CoinMiner,这又是一款使用永恒之蓝和WMI工具进行传播的软件。

CoinMiner是一款无文件的恶意软件,它会利用WMI(Windows Management Instrumentation)在感染的系统上运行命令,专家称,这款软件很难检测,并且会使用永恒之蓝进行传播。

“这款软件会利用WMI做到在无文件的条件下驻足系统。详细来说,它会用WMI标准事件脚本程序(scrcons.exe)来执行脚本。为了进入目标系统,它会使用永恒之蓝漏洞(MS17-010)。这二者的结合使得这款病毒不仅隐蔽,而且会持久驻足。”

传播特性

病毒先使用永恒之蓝入侵系统,然后在系统中放置后门,接着会运行几个WMI脚本,这些脚本会连接到C&C服务器,然后获取指令,下载挖矿机的主体程序和组件。

一款无文件挖矿恶意程序CoinMiner用了NSA的永恒之蓝exploit来扩散

感染情况分布

这已经不是我们第一次看到病毒使用永恒之蓝进行传播了,红极一时的WannaCry和NotPetya都是用了永恒之蓝。今年5月来自ProofPoint的安全专家甚至还称,有些电脑之所以没有感染WannaCry病毒,是因为它们之前已经感染了Adylkuzz挖矿病毒,这个病毒同样也通过永恒之蓝传播。

隐蔽特性

WMI原本是Windows系统的核心组件,一般被用来进行日常的管理任务,比如部署自动化脚本,或者在某个时间运行指定的进程/程序,还可以获取安装的软件或者硬件信息、监控文件夹变化、监控磁盘空间等。正是基于它强大的特性,WMI也受到了黑客们的青睐。

CoinMiner的“无文件特性”正是体现在它使用了WMI脚本来执行命令,而非二进制文件,这使得杀毒软件更难检测。

除此之外,为了达到隐蔽的目的,研究人员还发现,软件所使用的JScript表明,攻击者使用了多层C&C服务器,达到快速更新服务器和组件,同时又避免被检测到的目的。

一款无文件挖矿恶意程序CoinMiner用了NSA的永恒之蓝exploit来扩散

C&C网址

比如,第一阶段的C&C服务器在hxxp://wmi[.]mykings[.]top:8888/test[.]html,这里有关于挖矿机及其组件的下载地址,还有第二第三阶段的C&C服务器地址。趋势科技检测到这些网址现在仍在活跃。在感染流程图中提到,真正的挖矿payload是通过TROJ_COINMINER.AUSWQ下载的,这个文件一开始放在hxxp://67[.]21[.]90[.]226:8888/32.zip。

防御方法

要防御CoinMiner,我们的方法之一就是打补丁或者禁用SMBv1协议。这样就能够防止病毒感染。另一种思路就是禁用WMI。

读者可以参考微软给出的指导:

关闭SMBv1

关闭WMI

另外,对于这类病毒的检测可能并不像趋势科技描述的这么困难,感兴趣的读者也可以尝试使用Yara规则在下面的路径中匹配脚本文件:

C:\Windows\System32\wbem\*.MOF

IoC

6315657FD523118F51E294E35158F6BD89D032B26FE7749A4DE985EDC81E5F86 (TROJ_CONMINER.CFG)

674F2DF2CDADAB5BE61271550605163A731A2DF8F4C79732481CAD532F00525D (TROJ_COINMINER.AUSWQ)

8c5bb89596cd732af59693b8da021a872fee9b3696927b61d4387b427834c461 (TROJ_CONMINER.CFG)

A095F60FF79470C99752B73F8286B78926BC46EB2168B3ECD4783505A204A3B0 (BKDR_FORSHARE.A)

E6fc79a24d40aea81afdc7886a05f008385661a518422b22873d34496c3fb36b (BKDR_FORSHARE.B)

F37A0D5F11078EF296A7C032B787F8FA485D73B0115CBD24D62CDF2C1A810625 (TROJ64_COINMINER.QO)

URL

ftp[.]oo000oo[.]me

wmi[.]mykings[.]top:8888

*参考来源:SecurityAffairs,本文作者:Sphinx,转载请注明来自FreeBuf.COM

转载请注明来自华盟网,本文标题:《CoinMiner:又一款利用永恒之蓝扩散的挖矿病毒》

喜欢 (0) 发布评论