快捷搜索:  网络  后门  CVE  渗透  木马  扫描  黑客  as

WannaMine再升级,摇身一变成为军火商?

WannaMine是个“无文件”僵尸收集,在入侵过程中无任何文件落地,仅仅依赖WMI类属性存储ShellCode,并通过“永恒之蓝”漏洞攻击武器和“Mimikatz+WMIExec”攻击组件进行横向渗透排泄。相比较其他挖矿僵尸收集,WannaMine使用更为高级的攻击手段,这也是WannaMine能够存活至今的缘故起因之一。WannaMine最早出现在公众视野是2017年底,在对WannaMine的持续跟踪中360阐发人员发现,WannaMine可能已经最先为其他黑客构造提供武器。

WannaMine再升级,摇身一变成为军火商?

图1 WannaMine攻击简图

自WannaMine出现到2018年3月的这段时间中,WannaMine较为沉静,仅仅更换了几次载荷托管地址。2018年3月起,WannaMine最先攻击搭建于Windows操作体系上的Web服务端,包括Weblogic、PHPMyAdmin、Drupal。图2铺示了WannaMine在2018年2月到4月载荷托管地址和攻击目标的变迁。

WannaMine再升级,摇身一变成为军火商?

图2 WannaMine在2018年2月至4月载荷托管地址与攻击目标的变迁

由于3月份的这次更新使WannaMine增添了攻击目标,其控制的僵尸机数量也随之大幅度增添。僵尸收集规模的扩铺使僵尸收集控制者急于将利益最大化,果不其然,WannaMine在6月份的更新以后出现了为其他黑客构造工作的迹象,这可以从一个表格体现出来。表1铺示了WannaMine自2018年2月以来的载荷托管ip地址和那时解析到该ip地址的域名(表格按时间前后从上往下排列)。

表1

载荷托管ip地址 使用时解析到该ip地址的域名
195.22.127.157 node3.jhshxbv.com、node.jhshxbv.com、 node4.jhshxbv.com、node2.jhshxbv.com
107.179.67.243 stafftest.spdns.eu、profetestruec.net
45.63.55.15 未知
94.102.52.36 nuki-dx.com
123.59.68.172 ddd.parkmap.org、yp.parkmap.org
93.174.93.73 demaxiya.info、fashionbookmark.com
121.17.28.15 未知
195.22.127.93 www.windowsdefenderhost.club
198.54.117.244 update.windowsdefenderhost.club
107.148.195.71 d4uk.7puk.com
185.128.40.102 d4uk.7puk.com、update.7puk.com、 info.7puk.com
185.128.43.62 d4uk.7puk.com、update.7puk.com、 info.7puk.com
192.74.245.97 d4uk.7puk.com
87.121.98.215 未知
172.247.116.8 未知

从表格中不难看出,早期WannaMine所使用的载荷托管ip地址经常改变,并且通过域名反查得到的域名都是不同的,这表明WannaMine可能使用僵尸收集中的某一台僵尸机用于托管载荷,每一次进行更新后,WannaMine就更换一台托管载荷的僵尸机。自107.148.195.71这个ip地址以后,WannaMine使用的连续4个载荷托管地址都是域名d4uk.7puk.com所解析到的地址,这类情形在之前是不存在的。而这个时间恰是6月份WannaMine进行更新的时间节点,这在360安全卫士每一周安全形式总结(  http://www.360.cn/newslist/zxzx/bzaqxszj.html)中提到过。在这次更新中,WannaMine行使Weblogic反序列化漏洞攻击服务器后植入挖矿木马以及DDos木马。值得一提的是,这次WannaMine还使用了刚刚面世不久的Wmic攻击来bypass UAC以及藏避杀毒软件的查杀。

WannaMine再升级,摇身一变成为军火商?

图3 WannaMine 6月份发动的攻击流程

在WannaMine的这次更新中存在了多个疑点,这些疑点暗示此时的WannaMine控制者可能与之前的显然不同:

1.WannaMine在3月份到4月份已经提议大规模针对Weblogic服务端的攻击,僵尸收集已经控制了许多Weblogic服务端,为何在6月份的更新以后还要对Weblogic服务端提议攻击。

2.为何自6月份以来WannaMine的载荷托管域名都是d4uk.7puk.com。

通过对域名d4uk.7puk.com的跟踪可以发现,该域名在2018年4月中旬最先被一个黑客构造使用,这要遥早于WannaMine对该域名的使用,而该黑客构造在攻击伎俩和目的上也与WannaMine大相径庭。该黑客构造通过Weblogic反序列化漏洞CVE-2018-2628入侵服务器,往服务器中植入DDos木马。DDos木马的载荷托管地址为hxxp://d4uk.7puk.com/w_download.exe,这与WannaMine开释的DDos木马的托管地址切合。

WannaMine再升级,摇身一变成为军火商?

图4 该黑客构造使用的攻击代码

虽然载荷托管地址与以后WannaMine使用的载荷托管地址相同,然则4月中旬的攻击中所有攻击文件都是落地的并且没有WannaMine代码的痕迹,其借助sct文件完成持续驻留的方式也以及WannaMine借助WMI完成持续驻留的方式有所不同。可以断定,这来自于与WannaMine不同的另一个黑客构造。

另外,从WannaMine 6月份更新后的代码特征也不难发现,其代码进行了稍微修改,加入了RunDDOS、KillBot等多个函数,这些函数被插入了之前多个版本中都未被修改过的fun模块(fun模块用于进行横向渗透排泄),并且与fun模块的原始功能无比不搭,此外 RunDDOS中将DDos木马直接开释到磁盘中,这也与WannaMine作风不符。可以推断,这次代码的改动多是为其他黑客构造提供一个定制化的攻击组件。

WannaMine再升级,摇身一变成为军火商?

图5 RunDDos函数内容

通过上述阐发,可以总结出WannaMine6月份更新以后的两个特点:1.使用一个其他黑客构造1个多月前使用过的载荷,并且此次更新使用的载荷托管地址以及载荷文件都与该黑客构造有关;2.更新后加入的代码地位、代码内容与之前的作风不符,有暂且定制化的可能。通过这两个特点可以推断,WannaMine已经最先为其他黑客构造提供武器。

结语

让控制的僵尸收集完成更多的利益产出是每一个黑客构造指望的效果,WannaMine的目的也是云云。高级僵尸收集商业化对于防御者而言是一种挑战,因为防御者将会遇到越来越多使用其高超手艺的黑客构造。WannaMine的高超的地方,在于其隐蔽而又有用的横向渗透排泄手艺,这将是防御者在匹敌WannaMine以致使用WannaMine的黑客构造需要重视之处。

*

您可能还会对下面的文章感兴趣: