上海之声_打造最专业的企业资讯门户
加入收藏 网站地图

瑞星:“DTLMiner”再次更新 成为首个利用BlueKeep漏洞的病毒

来源:时间:2019-10-14 10:02:39 阅读:


近日,瑞星安全研究院再次捕获到知名挖矿木马病毒“DTLMiner”的最新变种,这已经是该病毒自2018年年底至今的第20次更新。需要警惕的是,此次更新的变种不仅加大了对受害者电脑性能的压榨,同时成为首个利用了BlueKeep漏洞(CVE-2019-0708)进行攻击的挖矿病毒。

据介绍,BlueKeep漏洞(CVE-2019-0708)是今年最新曝出的极具威胁性的漏洞,它允许恶意软件在没有用户交互的情况下自我复制,攻击者可借助远程桌面协议(RDS)连接到目标电脑,然后对受害者的系统加以控制。值得注意的是,BlueKeep攻击可像蠕虫病毒一样被复制和传播,从而引发类似WannaCry病毒那样的大规模勒索攻击。而目前BlueKeep漏洞已影响Windows XP、Windows Vista、Windows 7、Windows Server 2003和Windows Server 2008等操作系统中的远程桌面协议(RDP)服务。

瑞星在此次最新版本的“DTLMiner”中发现,病毒作者在上一个版本的基础上对使用AMD Radeon显卡并且操作系统是64位的电脑进行了更进一步的性能压榨,将原有的AMD显卡专用的挖矿模块替换为了带有显卡加速组件的挖矿模块,这样做的意义在于提升了显卡的挖矿效率,从而为病毒作者牟取更大的利益。

瑞星安全专家提醒,由于最新版本的“DTLMiner”挖矿病毒利用了“杀伤力极大”的BlueKeep RCE漏洞,因此广大用户尤其是还在使用Windows XP、Windows Vista、Windows 7、Windows Server 2003和Windows Server 2008等操作系统的用户,应提高警惕并加以防范。目前,瑞星旗下所有产品均已具备对该病毒的防御和查杀能力,广大用户可升级至最新版本进行使用。

图:瑞星安全云终端查杀“DTLMiner”挖矿病毒

同时,由于“DTLMiner”挖矿病毒会对企业用户带来极大的潜在威胁,所以应注意以下几点:

1.安装永恒之蓝漏洞补丁、“震网三代”(CVE-2017-8464)漏洞补丁以及BlueKeep(CVE-2019-0708)漏洞补丁,防止病毒通过漏洞植入;

2.系统和数据库不要使用弱口令账号密码;

3.多台机器不要使用相同密码,病毒会抓取本机密码,攻击局域网中的其它机器;

4.安装杀毒软件,保持防护开启。

技术分析

新版本对使用AMD Radeon显卡并且操作系统是64位的机器使用了独立的脚本来进行挖矿模块的下载和执行。

图:远程下载并执行独立的脚本

图:去混淆后的独立脚本

在这个独立的脚本中,病毒先创建互斥体,然后在指定目录不存在OpenCL模块的情况下从服务器上下载该模块并解压,紧接着下载挖矿模块,验证MD5后将其加载进内存。

横向传播模块在本版本的变化较大,首先是修改了脚本单次最长运行时间,改为了3小时。

图:修改了最长运行时间

然后是屏蔽了原有的RDP爆破模块,引入了新的模块。

图:RDP相关内容的修改

经过代码比对,我们可以确认,新引入的模块即为BlueKeep漏洞(CVE-2019-0708)的检测模块。

检测模块在Github上仅有Ruby(适用于MetaSploit)和Python语言的版本,我们推测作者应该是将Python语言的版本改写为了PowerShell语言的版本。而相关的大数处理模块,Github上有大量的C#语言的实现代码,作者可将代码原样拷贝至PowerShell脚本中,再调用add-type将其引入PowerShell中供脚本使用。

图:新增代码与BlueKeep漏洞检测代码高度相似

图:网上已有的C#版本大数处理代码

图:使用add-type将代码引入PowerShell中

在检测到机器存在BlueKeep漏洞后,脚本将相关检测结果上报给了服务器,目前没有发现有进一步的操作。

图:检测到漏洞后将结果上报给服务器

DTLMiner挖矿木马更新时间线

IOC

MD5:

F7591BC2A9C6A85A63032ABDB53976DB

E7633ED33E30F6B0CEA833244138DD77

CB9C0F85F1E812CB6ECEEF73C5B8B5B6

F07621C7F6E8B34AD32901644049F3E1

URL:

hxxp://t.zer2.com/va.jsp

hxxp://down.ackng.com/opencl.zip

hxxp://down.ackng.com/m6sa.bin


图文推荐

上海之声版权及免责声明:

1、凡本网注明 “来源:***(非上海之声)” 的作品,均转载自其它媒体,转载目的在于传递更多信息,并不代表本网赞同其观点和对其真实性负责。

2、如因作品内容、版权和其它问题需要同本网联系的,请在30日内进行。

最新新闻
热门资讯榜