Weblogic高危漏洞致黑客入侵,服务器变门罗币矿机

0x1 概述

近日,腾讯御见威胁情报中心监控到黑客利用疑似Weblogic反序列化漏洞入侵服务器进行挖矿,漏洞攻击成功后会下载挖矿木马Real.exe,分析发现该木马为python编写。服务器一旦感染此木马,将会致使机器资源消耗严重,严重影响日常工作运转。

据腾讯御见威胁情报中心的监控数据,该木马目前感染近1万台服务器。其中北上广三省市受害程度位居前三,其它地区也有不同程度分布。

WebLogic是美国Oracle公司出品的基于JAVAEE架构的中间件,WebLogic是用于开发、集成、部署和管理大型分布式Web应用、网络应用和数据库应用的Java应用服务器。将Java的动态功能和Java Enterprise标准的安全性引入大型网络应用的开发、集成、部署和管理之中。

同时Weblogic也存在多个高危漏洞,近期公布的Weblogic反序列化远程命令执行漏洞(CVE-2018-2893)和Weblogic任意文件上传漏洞(CVE-2018-2894)。其中CVE-2018-2893为之前CVE-2018-2628的绕过,从历史上来看Weblogic的漏洞修复基本是基于黑名单的修复,这种修复方式一旦被发现存在新的攻击利用链即可绕过。

黑客入侵及挖矿程序下载执行流程

0x2 威胁等级(高危)

危害评估:★★★★☆

Weblogic反序列化漏洞可能导致黑客完全控制服务器,获得服务器的所有权限。可以将服务器变成矿机,也可窃取服务器数据、在服务器上下载运行勒索病毒,破坏服务器数据。

影响评估:★★★★☆

黑客利用Weblogic反序列化该漏洞攻击了近万台服务器,至今仍有约三分之一采用Weblogic架构的Web应用服务器未能及时修补漏洞。

0x3 影响面

主要危害采用Weblogic服务器架构的Web应用系统

0x4 样本分析

0x4.1 Real.sct

攻击者使用Weblogic反序列化漏洞入侵成功后会执行地址hxxp://51.68.120.61/real.sct

的远程脚本,该脚本进一步从地址hxxp://51.68.120.61/real.exe拉取DownLoader木马real.exe执行。

脚本拉取real.exe执行

0x4.2 Real.exe

Real.exe作为一个DownLoader木马,未加壳情况下有4.21mb大小,不太符合常理。使用IDA打开文件分析后,可看到大量python相关字串,故可知为python编写后使用打包工具打包生成的exe。

使用pyinstxtractor.py对exe对文件进行解包后,可得到大量文件,其中包含了python依赖库文件和木马核心文件real。对real文件进行反编译可进一步拿到清晰的python脚本源代码,脚本中所有的明文字串均使用Base64编码。

real.exe未加壳情况下有4.21mb大小

查看PE信息可知为Python编写后打包工具生成的exe

对exe解包后可拿到核心文件real

反编译后可得到清晰的py脚本,其中所有明文字串使用BASE64编码

脚本代码会判断操作系统版本,进一步从hxxp://51.68.120.61/地址进一步拉取2个带密码压缩包,x86时拉取main3.zip和sun3.zip,x64则拉取main6.zip和sun6.zip,压缩包密码统一为“@@1iKssAzX$&0”。

带密码解压出压缩包内的main.exe,sun.exe后,把mian.exe设置注册表启动项,计划任务启动项,运行sun.exe,最后自删除。

判断系统版本下载mian,sun带密码压缩包,输入密码解压运行

设置main.exe注册表Run启动项

设置main.exe计划任务启动,userinit劫持

自删除

0x4.3 Main.exe

Main.exe依然为一个使用Python编写打包后的exe,解包后可对核心文件main进行反编译分析。功能主要负责维护其启动项,并检测后续的矿机进程是否存在,如果没有运行则再次拉取矿机相关程序执行。

维护启动项,检测矿机进程,拉取执行Sun.exe

0x4.4 Sun.exe

Sun.exe运行后会释放出一个bat脚本文件和一个名为she.exe的文件,并执行bat。Bat则带参数执行同目录she.exe,其中参数为一段Shellcode。

Sun.exe释放在Temp目录Bat脚本

Sun.exe释放She.exe

0x4.5 She.exe

She.exe运行后会判断mian参数,如果参数没有Shellcode则退出,否则创建一个线程执行Shellcode。Shellcode执行后经过动态解密执行自身后续代码的方式,最终向服务器地址51.68.120.61发送Get请求得到moon.exe的矿机程序执行。

She.exe校验命令行执行Shellcode

Shellcode包含大量花指令

Shellcode以边执行边解密方式执行代码流程

最终目的为拉取IP地址51.68.120.61服务器上的moon64.exe

0x4.6 Moon.exe

Moon.exe为一个开源的矿机程序。

开源矿机地址:

https://github.com/xmrig/xmrig

矿机内置钱包地址:

48edfHu7V9Z84YzzMa6fUueoELZ9ZRXq9VetWzYGzKt52XU5xvqgzYnDK9URnRoJMk1j8nLwEVsaSWJ4fhdUyZijBGUicoD

木马使用门罗币钱包地址:

4AbjKdQkedGZXvzm6VxMJb1zLB2CAmCmXdoCisRsQFAUPs4TWFePDUcZzk5ui4EdZXT3uaXXtssqPCoKQPTz7PeZNkKASkm

开源矿机程序

木马使用门罗币钱包地址

0x5 IOCs

MD5:

URL:

hxxp://51.68.120.61/Sun3.zip

hxxp://51.68.120.61/Sun6.zip

hxxp://51.68.120.61/Main3.zip

hxxp://51.68.120.61/Main6.zip

hxxp://51.68.120.61/moon.exe

hxxp://51.68.120.61/moon64.exe

hxxp://51.68.120.61/real.sct

hxxp://51.68.120.61/real.exe

hxxp://51.68.120.61/bac.sct

hxxp://51.68.120.61/4445.sct

hxxp://51.68.120.61/888.sct

0x6 安全建议

Oracle官方已经在7月的关键补丁更新中修复了此漏洞,受影响的用户请尽快升级更新进行防护。 可使用正版软件许可账户登录https://support.oracle.com,下载最新补丁。

Weblogic反序列化漏洞攻击需要通过T3协议进行,服务器管理员可进行T3协议访问控制,设置访问白名单。

建议全网安装御点终端安全管理系统(https://s.tencent.com/product/yd/index.html)

御点终端安全管理系统具备终端杀毒统一管控、修复漏洞统一管控,以及策略管控等全方位的安全管理功能,可帮助企业管理者全面了解、管理企业内网安全状况、保护企业安全。

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20180904G08TGA00?refer=cp_1026
  • 腾讯「云+社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。

扫码关注云+社区

领取腾讯云代金券