首页
论坛
课程
招聘

警惕国产挖矿木马CPLMiner利用WMI驻留挖矿

深信服千里目 2020-11-03 16:21

背景概述

近日,深信服安全团队捕获到一款国产挖矿木马,该挖矿木马使用恶意WMI在系统中进行驻留,不断下载恶意挖矿cpl文件;cpl文件又叫控制面板项,文件本质是Windows可执行性文件,但不属于可以直接独立运行的文件,类似于dll文件需要通过可执行文件调用。

情报分析

攻击者使用的域名统一以1eaba4fdae.com为二级域名,三级域名为随机的数字,目前为止发现相关的C&C地址有:



该二级域名约在2020年8月左右注册,解密的VBS脚本变量能够识别出很多拼音单词:



查询攻击者的钱包地址收益,目前约超过六千人民币:


技术分析

恶意WMI项是经过混淆的VBS代码,使用异或过的十六进制存储:



将解码后的代码进行格式化,能够看出脚本通过拼接的地址下载一段代码进行执行,下载地址为2340.1eaba4fdae.com/wmi.txt:



WMI也是一段经过多层混淆的VBS代码,而第一段VBS中的函数a则是对其进行解码操作,解码后得到的VBS中也包含部分混淆,具体表现为使用十六进制代替关键字符串,并使用随机的变量或函数名:



通过编写脚本对其进行还原,能够看出大概功能为通过地址2340.1eaba4fdae.com/32.txt下载恶意的cpl文件释放在temp下根据时间创建的目录,通过正常的系统程序control.exe对其进行加载, 同时下载x.txt到同目录,下载mum.txt到temp目录:



通过control.exe调用cpl文件原理跟调用dll文件类似,其中会通过rundll32.exe最终调用文件,而cpl文件与dll文件不同的是,入口函数不是dllmain,而是CPLApplet函数;程序中使用if/else花指令来干扰调试,每个关键操作之前都会有大段的无效代码:



读取x.txt到内存中,对其进行两次解密,得到一个PE文件:



将PE文件在内存中展开,该PE文件是由开源代码编译的挖矿程序:



查找并通过call调用执行其导出函数“a”:



连接矿池进行挖矿,数据内容经过base64编码:



解码后得到挖矿信息:


加固建议

1. 日常生活工作中的重要的数据文件资料设置相应的访问权限,关闭不必要的文件共享功能并且定期进行非本地备份;

2. 使用高强度的主机密码,并避免多台设备使用相同密码,不要对外网直接映射3389等端口,防止暴力破解;

3. 避免打开来历不明的邮件、链接和网址附件等,尽量不要在非官方渠道下载非正版的应用软件,发现文件类型与图标不相符时应先使用安全软件对文件进行查杀;

4. 定期检测系统漏洞并且及时进行补丁修复。

深信服安全产品解决方案

1. 深信服为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀。

64位系统下载链接:

http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z

32位系统下载链接:

http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z

2. 深信服安全感知、防火墙、EDR用户,建议及时升级最新版本,并接入安全云脑,使用云查服务以及时检测防御新威胁;


3. 深信服安全产品集成深信服SAVE人工智能检测引擎,拥有强大的泛化能力,精准防御未知病毒;

4. 深信服推出安全运营服务,通过以“人机共智”的服务模式帮助用户快速提高安全能力。针对此类威胁,安全运营服务提供安全设备策略检查、安全威胁检查、相关漏洞检查等服务,确保第一时间检测风险以及更新策略,防范此类威胁。


分享到:
最新评论 (0)
登录后即可评论