phpStudy RCE漏洞批量抓鸡 发现四个远控木马

2019年10月1日08:00:43 发表评论

一、简介

近期,威胁情报中心监测到团伙利用phpStudy RCE(远程代码执行)漏洞批量抓“肉鸡”,该团伙手握四大远控木马:Nitol、大灰狼、魑魅魍魉、Gh0st,入侵后完全控制采用phpStudy搭建的服务器,并下发DDoS攻击指令,对目标计算机进行网络攻击。

监测数据表明,受该病毒团伙影响的受害服务器数量正在增加,受害服务器主要位于广东(24.9%)、四川(8.1%)、山东(6.8%)。有多个企业租用的云服务器因phpStudy组件漏洞被入侵控制。

phpStudy RCE漏洞批量抓鸡 发现四个远控木马

二、详细分析

黑客入侵成功后下发后门

病毒团伙利用phpStudy RCE漏洞批量抓鸡,下发四个远控木马,Nitol远控:fuck.exe、0.exe

木马除了会上报电脑基本信息外,还会上报用户当前的活动进程,比如游戏进程、杀软进程,以便攻击者更了解受害机器当前活动情况。

木马内置三个C&C地址,明文存放一个: tmh5201314520344837.top,堆栈串存放一个: qlsb.f3322.net

加密存放一个:114.67.65.156:8081,仍然使用Nitol经典的加密方式base64+凯撒移位算法

该变种与同类家族相比缺少了LPK劫持功能,也许是由于该技术在高版本(Vista及以上)中已经不奏效,攻击者去掉了该功能, 同类家族中的资源中会包含lpk劫持模块。

只保留的IPC感染功能

该版本Nitol协议值未发生变化

大灰狼远控:360.exe

入口处下载大灰狼核心dll,该dll地址用base64+凯撒移位+RC4加密存放,密匙“Getong538” 解密dll地址后开始下载

样本存放在C:\ProgramFiles\AppPatch\NetSyst96.dll,下载回来的dll同样使用了RC4解密,密匙“Kother599”。

解密后加载Netsyst96,并调用导出函数

DllFuUpgradrs第三个参数,包含了大灰狼的上线信息,同样被加密(base64+凯撒以为+RC4)存放,密匙“Strong798”

解密后可以看到包含了多种上线方式,ip138上线方式,aizhan上线,C&C:s.aitianxin.cn:9091

魑魅魍魉DDos压测工具:Server.exe

C&C:s.aitianxin.cn:1989

Gh0st远控:cf.exe

包含了键盘记录、屏幕操控等常见远控功能,C&C: s.aitianxin.cn:7777

三、安全建议

1.因phpStudy遭遇供应链攻击一事已完全曝光,有关技术报告十分详尽,如果企业没有积极采取措施补救,反而可能被黑灰产业抢行一步实施攻击行动,针对PhpStudy组件漏洞的攻击已存在较长时间。

我们建议相关企业尽快修补安全漏洞,根据phpStudy官方网站的指引将服务器组件升级到最新版本。

企业托管在云服务的系统也需要升级更新。

2.服务器管理员应使用复杂密码,避免使用弱口令,以免服务器被黑客入侵。

IOCs

MD5

a0da340014f9c1480857b3492b576383

f2ec33ffa633175a31384de5bba105aa

8c19d83ff359a1b77cb06939c2e5f0cb

cb8b0e791d8b411e736aed1952ba9df7

a4f612dc16a76b278aa2cd0513affab7

f0e87e22e3667b4772d069414f5fac36

9d0c9f276ee612d84af6113c7c89976a

3b6fa4f91c38a39da2c2fcb86f37ff06

1df747270afd1eaef5c8dea8aa338af6

URL

hxxp://qundem585.mf.lgx6.shop/360.exe

hxxp://qundem585.mf.lgx6.shop/cf.exe

hxxp://qundem585.mf.lgx6.shop/fuck.exe

http://qundem585.mf.lgx6.shop/NetSyst96.dll

hxxp://s.aitianxin.cn/fuck.exe

hxxp://s.aitianxin.cn/1.exe

hxxp://s.aitianxin.cn/360.exe

hxxp://s.aitianxin.cn/cf.exe

hxxp://xiaokantv.com/0.exe

hxxp://xiaokantv.com/Server.exe

Domain

s.aitianxin.cn

qundem585.mf.lgx6.shop

qlsb.f3322.net

tmh5201314520344837.top

pubgfuzhu.cn

zheliw.top

tian988.top

Lyzywl.cn

453m.cn

xiaokantv.com

IP

114.67.65.156

103.123.161.156:660

最后我觉得上面那个网站的小伙王某某可能要"火"了。

发表评论

后发表评论