近日,360互联网安全中心监测到流行蠕虫家族Bondat的感染量出现一轮小爆发。在这次爆发中,Bondat利用受害机器资源进行门罗币挖矿,并组建一个攻击WordPress站点的僵尸网络。根据360网络安全研究院对此次Bondat蠕虫爆发时使用的控制端域名bellsyscdn.com和urchintelemetry.com的监控数据来看,Bondat蠕虫此次爆发至少影响15000台个人电脑。 图1 Bondat蠕虫控制端域名bellsyscdn.com和urchintelemetry.com访问量变化趋势 Bondat蠕虫最早出现在2013年,是一个能够执行控制端下发的任意指令的“云控”蠕虫家族。Bondat蠕虫一般通过可移动磁盘传播,并依靠一个JS脚本完成信息收集、自我复制、命令执行、构建僵尸网络等多项任务。 下图展示了被感染的U盘情况。 图2展示了Bondat蠕虫的简单工作原理。 图2 Bondat蠕虫的简单工作原理
门罗币挖矿 早期的Bondat蠕虫主要通过修改浏览器主页获利。随着加密数字货币的兴起,Bondat蠕虫也涉足加密数字货币挖矿领域。在3月底的这次爆发中,Bondat蠕虫通过控制端下发门罗币挖矿代码并在受害者计算机上运行。图3展示了控制端下发的门罗币挖矿代码。 图3 Bondat蠕虫控制端下发的门罗币挖矿代码 可以看到,Bondat蠕虫会根据用户计算机的实际情况使用Chrome浏览器、Firefox浏览器或Edge浏览器的其中之一后台访问hxxps://xmrmsft.com/hive.html进行挖矿。该页面中嵌入了基于Coin-hive的挖矿脚本,Bondat蠕虫实际上借助了用户的浏览器进行门罗币挖矿。 图4 hxxps://xmrmsft.com/hive.html页面中嵌入的挖矿脚本 有趣的是,Bondat蠕虫不同于其他挖矿僵尸网络直接将挖矿木马植入用户计算机中,而是以不显示窗口的方式通过浏览器访问指定网页进行挖矿,其收益相比较直接植入挖矿木马要低非常多。由于Bondat蠕虫主要在PC间传播,PC用户对于计算机的操作频率较高,通过浏览器挖矿相比较直接植入挖矿木马隐蔽性更高,这可能也是攻击者如此选择的原因。 Bondat蠕虫主要通过可移动磁盘传播,并借助可移动磁盘中的文件隐蔽自身。Bondat蠕虫会检索可移动磁盘中特定格式的文件(例如doc、jpg),在创建与这些文件同名的快捷方式的同时隐藏这些文件,而这些快捷方式指向Bondat蠕虫的启动器Drive.bat。当用户使用可移动磁盘时,极有可能将这些快捷方式误认为为正常文件,进而导致Bondat蠕虫的执行。图5展示了被用于隐蔽Bondat蠕虫的文件格式。 图5 被用于隐蔽Bondat蠕虫的文件格式 Bondat蠕虫也会与杀毒软件进行对抗,最显而易见的就是其对主体JS脚本代码进行大量混淆,这不仅影响杀毒软件的判断也增加了分析人员的工作量。图6展示了Bondat蠕虫部分代码混淆前后的对比,可以看出原本简单的代码经过混淆后变得相当复杂。 图6 Bondat蠕虫部分代码混淆前后的对比 此外,Bondat蠕虫还会尝试结束部分杀毒软件和安全软件进程,涉及的软件如图7所示。结束进程同时Bondat蠕虫会弹出一个如图8所示的伪造的程序错误提示框,此时无论用户点击确定或者取消都无法阻止进程结束,并且之后该进程无法再次启动。攻击者的本意可能是想伪造杀毒软件或安全软件异常退出时的假象,让用户误以为确实是这些软件内部出现了问题,但这也非常容易引起用户的怀疑,对于攻击者而言并不是一种明智的做法。 图7 Bondat蠕虫尝试 图8 Bondat蠕虫结束进程时弹出的窗口
构建针对WordPress站点的僵尸网络 除了门罗币挖矿,我们还发现Bondat蠕虫通过PowerShell从hxxp://5.8.52.136/setup.php下载僵尸程序,构建针对WordPress站点的僵尸网络。根据监测数据来看,Bondat蠕虫于4月13日下发僵尸程序,这要稍晚于此次Bondat蠕虫的爆发时间。 图9 Bondat蠕虫对hxxp://5.8.52.136/setup.php访问量变化趋势图 setup.php使用多组弱口令对指定的WordPress站点进行登陆爆破,一旦爆破成功则将站点地址以及登陆帐户和密码发送到hxxp://5.8.52.136/put.php。setup.php进行爆破时使用的帐户名都为“admin”,密码如图10所示。 图10 setup.php进行爆破时使用的密码 在这一轮爆破攻击中,Bondat蠕虫主要针对以字母“j”开头的WordPress站点。我们推断,Bondat蠕虫可能已经进行了多次针对WordPress站点的爆破攻击。 此外,Bondat蠕虫下发的僵尸程序还试图在受害计算机上安装PHP格式的后门。僵尸程序从hxxp://5.8.52.136/php.zip下载完整的PHP环境安装在用户计算机中,并生成如图11所示的PHP后门。 图11 Bondat蠕虫生成的PHP后门 得益于PHP文件的特殊性,Bondat蠕虫安装的PHP后门具有更好的免杀特性。在功能上,该后门同样被用于进行针对WordPress站点的爆破攻击。
结语 各类U盘传播的蠕虫,一直以来都是学校,打印店,各类单位局域网内的“常客”,而Bondat蠕虫除会引发之前常见蠕虫的问题之外,还会大量消耗计算机资源,造成计算机卡慢等问题。Bondat蠕虫在对抗杀软方面,也做了大量工作,比如抛弃直接植入挖矿木马转而选择浏览器挖矿就增加了其隐蔽性。因此用户更需要对此提高警惕。防御这类蠕虫的攻击,主要可以从以下几方面入手: 1. 使用U盘,移动硬盘时应该格外注意,建议使用具有U盘防护功能的安全软件; 2. 发现计算机长时间异常卡顿,使用安全软件进行扫描体检; 3. 定期对计算机进行病毒木马查杀,防止蠕虫病毒持续驻留。 4. 而对于WordPrees站点管理者而言,使用强度较大的登陆密码,并且及时修补相关漏洞是阻止站点遭到攻击最有效的方法。
IOC 95.153.31.18 95.153.31.22 bellsyscdn.com urchintelemetry.com 5.8.52.136/setup.php 5.8.52.136/put.php 5.8.52.136/php.zip 5.8.52.136/get.zip
|