WannaMine新动向:对Weblogic服务端发起大规模攻击

近日,360互联网安全中心监测到挖矿僵尸网络“WannaMine”进行了一次全面更新,目标直指使用Weblogic服务端组件的服务器。该僵尸网络使用Oracle在2017年10月修复的Weblogic反序列化漏洞cve-2017-10271发起攻击,由于外网仍有大量服务器未对Weblogic服务进行升级,这些服务器很可能成为下一批“WannaMine”的矿工。

“WannaMine”最早活跃于2017年9月,更新前的“WannaMiner”使用“永恒之蓝”漏洞攻击武器与“Mimikatz”凭证窃取工具攻击服务器植入矿机,并借助PowerShell和WMI实现无文件,具体细节见附录中的报告。

“WannaMine”在3月10日进行更新,摒弃了“永恒之蓝”漏洞和“Mimikatz”工具,转而对Weblogic服务端组件发起攻击。图1展示了我们监测到的3月份外网对Weblogic组件网络路径“/wls-wsat/CoordinatorPortType”的请求量,可见3月10日之后对该路径请求量直线上升,单日请求量最高达到30w。

图1

现阶段只攻击**Windows**服务器

更新后的“WannaMine”使用cve-2017-10271攻击外网Weblogic服务。该漏洞在2017年底曾被大量用于植入挖矿机。图2展示了“WannaMine”使用的payload,payload最终在目标计算机上执行PowerShell脚本,可见现阶段的攻击只对Windows服务器奏效。

图2

僵尸程序中配置两个未开启的爆破模块,目标为**MSSQL和PHPMyAdmin**

在对“WannaMine”新版本僵尸程序的分析中我们发现其配置了针对MSSQL和PHPMyAdmin爆破模块。这两个模块使用内置的字典对MSSQL和PHPMyAdmin数据库进行弱口令爆破。对MSSQL爆破成功后,将在MSSQL中执行PowerShell命令;对PHPMyAdmin爆破成功后,向C&C发送使用的帐号和密码。图3展示了爆破MSSQL成功后所执行的命令。

图3

“WannaMine”内置的弱口令字典包含上百组弱口令,虽然现阶段尚未使用爆破功能,但其潜在威胁不容小觑。

“**WannaMine**”依然沿用“无文件”攻击技术,并可一键转化为后门

新版本的“WannaMine”依然沿用旧版本的”无文件“攻击技术,所有的恶意行为都来自PowerShell进程。图4展示了“WannaMine”所使用的“无文件”攻击流程。

图4

“WannaMine”的“无文件”攻击使用了反射PE注入(ReflectivePEInjection)技术,该技术能有效躲避杀毒软件的查杀。

除了进行挖矿外,“WannaMine”还可以通过接收C&C发出的指令转化为后门。当C&C向“WannaMine”下发命令“CMD”和“ScreenShot”时,“WannaMine”将执行相应的命令并对屏幕进行截图。表1展示了“WannaMine”所接收的指令与对应的功能,目前“WannaMine”的C&C地址为hxxp://123.59.68.172/Cache/Tunnel.php。

表1

命令

功能

CMD

执行**Command**

ScreenShot

屏幕截图

CrackMSSQL

MSSQL**扫描与爆破**

CrackWeblogic

WebLogic**漏洞攻击**

PMAFind

PHPMyAdmin**弱口令扫描与WebShell扫描**

新版本的“**WannaMine”尚在发展期,正在对随机ip**进行攻击

“WannaMine”在3月10日进行更新,而直到3月17日“WannaMine”才向目标计算机中植入挖矿机,在这一个礼拜的时间内,“WannaMine”利用已控制的僵尸机对随机ip发起攻击。图5展示了目前“WannaMine”C&C对被控僵尸机发出的命令。

图5

新版本的“WannaMine”目前仍处在扩张自身规模的发展期,任何ip地址都可能成为其攻击目标。及时更新Weblogic服务端组件是抑制“WannaMine”扩张的最好办法。

结语

2017年下半年起,入侵服务器挖矿的攻击事件频频发生,这些入侵攻击大多数依赖已公开的Nday漏洞或者弱口令爆破。在漏洞利用方面,Weblogic反序列化漏洞CVE-2017-10271以及struts2漏洞s2-045是攻击者最喜欢使用的两个Nday漏洞;在弱口令爆破方面,数据库和远程桌面备受攻击着青睐。对此,服务器管理员需要对此进行针对性防御,及时为系统及对外开放的服务打补丁,并使用强度较大的登录口令。

附录

IOC

hxxp://123.59.68.172/putout/DL.ps1 hxxp://123.59.68.172/putout/Neutrino.ps1 hxxp://123.59.68.172/Cache/Tunnel.php hxxp://123.59.68.172/Cache/DL.php hxxp://123.59.68.172/cache/x64.ps

相关报告

http://www.freebuf.com/articles/paper/157537.html https://motherboard.vice.com/en_us/article/yw5yp7/monero-mining-wannamine-wannacry-nsa https://www.crowdstrike.com/blog/cryptomining-harmless-nuisance-disruptive-threat/ https://www.pandasecurity.com/mediacenter/pandalabs/threat-hunting-fileless-attacks/

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2018-03-26

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏美团技术团队

细说ReactiveCocoa的冷信号与热信号系列(1)

ReactiveCocoa(简称RAC)是最初由GitHub团队开发的一套基于Cocoa的FRP框架。FRP即Functional Reactive Progr...

3645
来自专栏FreeBuf

主机应急响应与电子取证的经验分享

随着主机安全的问题日渐突显,挖矿勒索后门等病毒隐蔽手法越来越多种多样,仅仅依靠传统的安全工具不能完全查杀出相关恶意程序。安全事件具有突发性,复杂性与专业性,基于...

1122
来自专栏二次元

程序员日常中病毒系列

事情是这样的,一朋友发来源码让我看下,手残不小心点到里头的一个exe文件,弹出联网请求,我便迅速关掉,之后发现同目录多了一个伪装成系统音乐文件夹的exe可执行...

1290
来自专栏Albert陈凯

2018-06-14 支付处理器 API :将你的支付应用带到 Web 中来

2147
来自专栏Python中文社区

突发 |“永恒之蓝”漏洞紧急应对方案

專 欄 ❈ 七夜,Python中文社区专栏作者,信息安全研究人员,比较擅长网络安全、逆向工程、Python爬虫开发、Python Web开发。 Github:h...

2207
来自专栏赵俊的Java专栏

Nginx 配置 HTTPS 强制跳转到 HTTP

1.3K4
来自专栏贺嘉的专栏

如何用Baas快速在腾讯云上开发小程序之系列3 :实现腾讯云COS API调用

本文分享了调用腾讯云对象存储(COS)接口,实现将图片上传到指定的 Bucket 功能;同时封装图片上传接口,用于实现微信小程序中上传商品图片功能。

9880
来自专栏FreeBuf

揭秘来自中国的数字货币“挖矿”军团 – Bondnet僵尸网络

最近,以色列安全公司GuardiCore发现了一个名为Bondnet的僵尸网络,该僵尸网络由数万台被控制的具备不同功率的服务器肉鸡组成。从目前的情况来看,幕后运...

22410
来自专栏FreeBuf

漫谈攻击链:从WebShell到域控的奇妙之旅

做渗透测试时遇到的域环境经常就是要么太复杂我们搞不定,要么太简单进去就拿到域控没啥意思,这些显然都无法满足我们实践已掌握知识的刚需。同时为了给我们道格安全技术小...

1725
来自专栏SAP最佳业务实践

SAP最佳业务实践:FI–现金管理(160)-6 FF63过帐经常性付款的计划凭证记录

4 流程步骤 4.1 FF63过帐经常性付款的计划凭证记录 下列示例描述了如何输入凭证记录。该示例说明了每月的经常性付款。由于在 FI 中不存在发票,需要创建该...

3294

扫码关注云+社区