领信未来
您信赖的网络安全专家

Windows与Linux双平台无文件攻击:PowerGhost挖矿病毒最新变种感染多省份

背景

PowerGhost是从2018年被发现使用powershell无文件方式进行攻击感染的挖矿以及DDOS病毒,本次深信服安全团队捕获到其最新样本,其感染方式利用了永恒之蓝,MSSQL爆破,SSH爆破,wmi以及smb爆破远程命令执行等,同时对windows和linux进行攻击,一旦该病毒进入内网,会在内网迅速传播。目前其主要感染地区在广东、浙江、上海以及江苏。

图片1.png

详细分析

该病毒母体模块分为2个版本,x86和x64,x86使用antitrojan.ps1,x64使用antivirus.ps1,本次分析x64版本的antivirus.ps1。

图片2.png

当前病毒版本为1.5。

图片3.png

母体payload分布以及执行图,antivirus.ps1中主要分为3个部分,如下图:

图片4.png

第一段payload,开头部分如下:

图片5.png

Invoke-WmiExec以及Invoke-SmbExec远程命令执行。

图片6.png

永恒之蓝利用,$sc为shellcode,主要从网上下载恶意脚本进行感染。

图片7.png
图片8.png

SSH爆破,加载的SSH模块Rence.SshNet。

 MSSQL爆破。

随着最近网络加密货币升值,会有更多的黑产将注意力转到挖矿,其挖矿流量如下,到目前为止该地址已经赚取了3个币。

Middle部分,一段混淆的代码,主要功能执行第一段payload。

第二段payload,也是混淆过的,部分内容如下。主要创建两个定时任务,更改电源计划,创建netbc的ipsec策略封堵445端口(防止被其他病毒利用),创建一个wmi持久任务。

Linux部分分析

当PowerGhost成功爆破ssh之后,就会下载shell进行病毒的更一步植入。

图片21.png

当前Linux版本为1.2版本,前面进行信息的初始化,声明C2地址和默认下载目录、以及文件hash,文件校验方式等:

temp_remote_host: 远程地址

sodd_info_arr:  DDoS木马

tiktoor_info_arr:  brootkit后门

pxe_info_arr:  CVE-2016-5195内核提权源码以及程序及其hash

DownloadPath=”/usr/lib/…”  默认下载路径

Ver=1.2 当前版本

Shell_privilege=1 当前shell默认权限

OsType=1 系统类型默认为Centos系列

Verify_method=”md5sum” 下载文件校验方式,默认使用md5

图片22.png
图片23.png

整个Linux端PowerGhost执行流程如下:

1、进行初始化。

图片24.png

2、检测执行参数是否为/sbin/init。

图片25.png

3、杀死自身相同进程名的shell进程或者挖矿进程(WorkProc “shell” “$ShellProceName”)。 本例$shellProceName=”diskmanagerd”。

图片26.png

4、使用ssh进行横向传播。

图片27.png

5、检测当前是否为root权限,如果是则检测安全产品,创建启动项,安装rootkit(brootkit),否则使用CVE-2016-5195(脏牛漏洞)进行提权。

图片28.png

Install.sh。

图片29.png

Brootkit.sh会对文件隐藏,进程隐藏,劫持命令(ps, ls, dir, netstat)等。

图片30.png

6、进入循环,检测更新,下载执行billgats木马,清除挖矿进程,休眠等待下次循环。

图片31.png

防护建议

1、打上永恒之蓝补丁;2、关闭135,139,445等端口,如果没有业务必要,建议封堵;3、不要使用域管账号随意登录域内机器,域内机器密码应互不相同;4、将密码更改为强密码;5、修补CVE-2016-5195。

关于领信

    陕西领信未来信息科技有限公司是一家主要面向铁路、科研院所、大型企业等行业的网络安全集成和网络安全技术支持服务及相关应用的专业化信息技术企业。成立于2003年。多年来为用户提供从方案设计、工程实施到售后技术服务的全面技术支持,具有健全的运营体制和现代企业理念 , 公司成立以来,业绩显著,成功完成了多项网络安全建设项目,建立了完善的客户服务系统,赢得了广大客户的赞誉和信赖。在信息安全、网络应急服务实施过程中,领信未来已发展成为陕西省内信息安全技术领域颇具实力的企业之一

业务范围

安全服务、应急响应、渗透测试、系统集成

联系方式

电话:029-88235366

邮箱:liujj@linktrust.net

赞(4)
未经允许不得转载:陕西领信未来信息科技有限公司 » Windows与Linux双平台无文件攻击:PowerGhost挖矿病毒最新变种感染多省份

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址