安全快讯Top News

存在至少 4 年的 Linux 漏洞被发现:可通过 WiFi 攻击目标计算机

一位安全研究人员表示,由于Linux中存在的严重安全漏洞能导致使用WiFi信号的附近设备崩溃,或者完全被黑客掌控。名叫 Nico Waisman 的安全研究人员发推文称,该漏洞位于RTLWIFI驱动程序中,而该驱动程序用于在Linux设备上支持Realtek WiFi芯片。 据悉当具有Realtek Wi-Fi芯片的计算机在恶意设备的无线电范围内时,该漏洞将会在Linux内核中触发缓冲区溢出问题。该漏洞不仅可以引起操作系统崩溃,而且还允许黑客完全掌控计算机。该缺陷可追溯到2013年发布的Linux内核的3.10.1版本。 Github的首席安全工程师Nico Waisman表示:“这个漏洞非常严重,只要您使用Realtek(RTLWIFI)驱动程序,此漏洞就可以通过Linux内核上的Wi-Fi远程触发溢出。”漏洞跟踪为CVE-2019-17666。 Linux开发人员在星期三提出了一个修复程序,很可能在未来几天或几周内将其合并到OS内核中。只有在此之后,该修补程序才能进入各种Linux发行版。 Waisman表示目前还没有设计出一种概念验证攻击,利用该漏洞在受影响的设备上执行恶意代码。不过他表示:“我仍在试图探索,这肯定会……花一些时间(当然,这或许是不可能的)。在表面上,[this]是应该被利用的溢出。最坏的情况是,[this]是拒绝服务;最好的情况是,您得到了shell。” 在该漏洞公开之后,该研究专家没有继续在推特上研究这个漏洞。   (稿源:cnBeta,封面源自网络。)

9月恶意软件防护报告出炉:Windows Defender 跻身榜单前十

根据独立评测机构AV-Comparatives近日公布的《2019年9月恶意软件防护报告》,表明微软的Microsoft Defender已经成为非常出色的防病毒产品。根据报告显示,Defender拥有99.96%的在线保护率(Online Protection Rates),在10556个恶意软件中成功阻止了10552个,跻身该机构审查的前十防病毒程序之列。 根据测试结果显示,Avast,AVG和趋势科技以100%的保护率夺冠。McAfee(99.82%)和Total Defense(99.82%)是最差的病毒防护程序。 在本月的评测中,AV-Comparatives还重点观察了每款防病毒产品和“云”之间的相关性。换句话说,该小组希望了解在没有有效连接到Internet的情况下该软件在阻止恶意软件方面的有效性。 从测试结果来看Defender表现并不是很好,其离线恶意软件检测率仅为29.7%,高于Panda Antivirus(28.6%)和趋势科技(20.9%)。作为参考,Avast的离线检测率为97.4%。当我们查看在线检测率时,Microsoft的结果要好得多,为76.3%,但仍然落后于其他产品(所有指标都超过了92%)。   (稿源:cnBeta,封面源自网络。)

快Go矿工(KuaiGoMiner)控制数万电脑挖矿,释放远控木马窃取机密

感谢腾讯御见威胁情报中心来稿! 原文:https://s.tencent.com/research/report/824.html 腾讯安全御见威胁情报中心检测到“快Go矿工”(KuaiGoMiner)挖矿木马攻击。该木马利用NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”攻击工具针对互联网上的机器进行扫描攻击,并在攻击成功后植入挖矿和远控木马,已控制数万台电脑。 一、背景 腾讯安全御见威胁情报中心检测到“快Go矿工”(KuaiGoMiner)挖矿木马攻击。该木马利用NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”攻击工具针对互联网上的机器进行扫描攻击,并在攻击成功后植入挖矿和远控木马,已控制数万台电脑。因其使用的C2域名中包含“kuai-Go”,御见威胁情报中心将其命名为“快Go矿工”(KuaiGoMiner)。 “快Go矿工”(KuaiGoMiner)将挖矿程序伪装成系统进程explorer.exe、smss.exe运行,截止目前已挖矿获得门罗币242.7个,折合人民币9万余元。同时,病毒在攻陷机器上植入的gh0st远控木马,具有搜集信息、上传下载文件、键盘记录、执行任意程序等多种功能,中毒电脑会面临机密信息泄露的风险。 据腾讯御见威胁情报中心统计数据,在微软发布“永恒之蓝”相关漏洞补丁过去两年多之后,仍有约30%用户未修复“永恒之蓝”漏洞(MS17-010),这导致利用该漏洞攻击的病毒始终层出不穷。“快Go矿工” (KuaiGoMiner)分布在全国各地,受害最严重地区为广东、江苏、河南、北京。 从“快Go矿工” (KuaiGoMiner)影响的行业来看,主要为IT行业、制造业、科研和技术服务业。 二、详细分析 漏洞攻击 “快Go矿工” (KuaiGoMiner)在攻陷的系统下载攻击模块,释放NSA武器中的“双脉冲星”、“永恒浪漫”、“永恒之蓝”漏洞攻击工具,释放到C:\Windows\Fonts\cd\目录下。 开始攻击后依次启动脚本go.vbs->rme.bat->cmd.bat,并在cmd.bat中完成机器出口IP查询、随机IP地址生成,然后通过分别针对局域网IP地址和外网随机IP地址进行445/139端口扫描。 最后在load.bat和loab.bat中针对开放445/139端口的机器进行永恒之蓝漏洞攻击。攻击成功后在目标机器执行Payload,将Doublepulsar.dll注入lsass.exe执行,将Eternalblue.dll注入explorer.exe执行。 Doublepulsar.dll或Eternalblue.dll执行后在目标机器下载m.exe或n.exe,保存至C:\safe.exe并启动,开始新一轮的感染和攻击。 挖矿 “快Go矿工”(KuaiGoMiner)下载释放挖矿模块文件到C:\Windows\Fonts\data\目录下。其中smss.exe为32位矿机程序,explorer.exe为64位矿机程序,Services.exe为Windows服务安装工具NSSM。 通过user.vbs启动user.bat。并在user.bat中删除计划任务”Flash_Update”、”Update”、”Update_windows”,删除旧服务和计划任务“Microsoft_Update”。之后判断系统版本,利用NSSM(services.exe)分别将smss.exe和explorer.exe安装服务至32位和64位系统上,使用的服务名称为“Microsoft_Update”。 矿机采用开源挖矿程序XMRig编译,挖矿使用矿池地址:xmr-eu1.nanopool.org:14444, 钱包地址: 43uXVJimpGpcoftfAfM9AGAdHwnvuSK14Uy4wVGgJB968L6M3eXn8pgFpgNSLrbpgW8Xo5bBgHxAEMxPug8knokALBrLsV4 查询矿池目前挖矿获得收益为242.7个XMR,折合人民币约91000元。 远程控制 “快Go矿工”(KuaiGoMiner)释放经gh0st修改而成的远控木马到目录 C:\Users\[User]\AppData\Local\Temp\<random>.dll下。 连接C2地址fwq.kuai-go.com:12353,根据服务器返回的指令完成搜集系统信息、上传下载文件、删除系统记录、查看系统服务、运行和退出程序、远程桌面登陆、键盘记录等远程功能。 三、安全建议 1、 快Go矿工(KuaiGoMiner)手动清除方法: 删除目录 C:\Windows\Fonts\cd\ C:\Windows\Fonts\cd\data\ 删除文件 C:\Users\[User]\AppData\Local\Temp\<random>.dll 删除计划任务“Microsoft_Update” (执行文件路径C:\Windows\Fonts\cd\data\explorer.exe 或C:\Windows\Fonts\cd\data\smss.exe) 2、针对MS010-17 “永恒之蓝”漏洞的防御: 服务器暂时关闭不必要的端口(如135、139、445),方法可参考:https://guanjia.qq.com/web_clinic/s8/585.html 下载并更新Windows系统补丁,及时修复永恒之蓝系列漏洞: XP、Windows Server 2003、win8等系统访问:http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598 Win7、win8.1、Windows Server 2008、Windows 10,Windows Server 2016等系统访问:https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx 3、 建议企业用户部署腾讯御点终端安全管理系统防御病毒木马攻击。 4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统。 IOCs MD5 339bec2b3e598b98218c16ed1e762b2a 57bd72d6dc95ff57b5321a62b9f7cde2 57003ef2a67c70f8959345f342536aa5 15d2c95fe9fe4134064e9a4f49d63cf1 20010658d789192eb69499bc5c1c9f11 546a5c41ec285686c9c082994ef193f5 830f8e648d2a7da4d512b384e29e9453 8bcf9ba698b20a6fb2fef348b8c55b1d c17f7c9c9265c4f8007d6def58174144 6dc336b2b1b4e8d5c8c5959c37b2729d 3e6c981f627122df8b428aac35cb586e 222d8a0986b8012d80edbecdc5c48714 532a0904faff2a3a8c79594c9df99320 IP 110.157.232.117 104.233.201.209 Domain w.zhzy999.net images.kuai-go.com update.kuai-go.com wx.kuai-go.com sex.kuai-go.com usa.kuai-go.com korea.kuai-go.com der.kuai-go.com fwq.kuai-go.com URL http[:]//w.zhzy999.net/images/m.exe http[:]//3.zhzy999.net/images/n.exe http[:]//images.kuai-go.com/images/logo.gif http[:]//der.kuai-go.com/img/1.rar http[:]//der.kuai-go.com/img/2.rar http[:]//110.157.232.117/images/m.exe http[:]//110.157.232.117/images/n.exe http[:]//110.157.232.117/img/1.rar http[:]//110.157.232.117/img/2.rar http[:]//110.157.232.117/img/3.rar 钱包 43uXVJimpGpcoftfAfM9AGAdHwnvuSK14Uy4wVGgJB968L6M3eXn8pgFpgNSLrbpgW8Xo5bBgHxAEMxPug8knokALBrLsV4

永恒之蓝下载器木马再添 BlueKeep 漏洞攻击,多系统版本均受影响

感谢腾讯御见威胁情报中心来稿! 原文:https://s.tencent.com/research/report/823.html   近日,腾讯安全御见威胁情报中心监测发现,“永恒之蓝下载器”木马再次更新,新增了BlueKeep漏洞CVE-2019-0708检测利用功能,影响Windows 7、XP、Server 2003、2008等多个系统版本。鉴于该漏洞危害影响极大,可形成类似WannaCry蠕虫式漏洞传播,腾讯安全建议企业用户及时安装相关补丁,并启用安全软件防御攻击,避免进一步造成重大安全事故。 据腾讯安全技术专家介绍,更新后的永恒之蓝下载器木马保留了MS17-010永恒之蓝漏洞攻击、SMB爆破攻击、sql爆破攻击等功能,并在攻击成功的目标机器上植入旧的攻击模块ipc.jsp,同时安装计划任务执行多个Powershell后门,下载执行新的攻击模块if.bin,为后续随时发动攻击做足准备。 (图:永恒之蓝下载器木马变种攻击流程图) 值得一提的是,CVE-2019-0708为RDP远程代码执行漏洞,该漏洞无需身份认证和用户交互,检测利用功能目前仅是上报漏洞信息并不会采取进一步攻击措施。截止目前,永恒之蓝相关漏洞未修复的比例接近30%,而BlueKeep漏洞未修复的比例接近20%,惊人的数据背后给用户网络安全带来巨大安全隐患。 自诞生以来,频繁更新的永恒之蓝下载器木马令广大用户提心吊胆。在去年2018年底,永恒之蓝下载器木马首次通过“驱动人生”系列软件升级通道突然爆发传播,利用“永恒之蓝”高危漏洞在企业内网呈蠕虫式传播,并通过云控下发恶意代码,仅2个小时受攻击用户便高达10万。所幸该攻击刚开始便被腾讯安全御见威胁情报中心率先拦截查杀,影响并未进一步扩大。此后不到一年的时间内,永恒之蓝下载器木马先后更新Powershell后门安装、SMB爆破攻击、MsSQL爆破攻击,同时使用黑客工具mimiktaz、psexec进行辅助攻击等20多个版本。不同以往,此次永恒之蓝下载器木马新增了BlueKeep漏洞检测代码,不排除攻击者随时启动BlueKeep漏洞进行攻击的可能。 (图:永恒之蓝下载器木马历史变种版本回顾) 针对该木马病毒对企业网络安全带来的潜在威胁,腾讯安全反病毒实验室负责人马劲松提醒广大企业用户,建议参考微软官方公告完成补丁安装,可暂时关闭135、139、445等不必要的服务器端口;使用腾讯御点终端安全管理系统的漏洞修复功能,及时修复系统高危漏洞;服务器使用高强度密码,切勿使用弱口令,防止黑客暴力破解;推荐部署腾讯御界高级威胁检测系统检测可能的黑客攻击。该系统可高效检测未知威胁,并通过对企业内外网边界处网络流量的分析,感知漏洞的利用和攻击。 (图:腾讯御界高级威胁检测系统)

微软总裁布拉德·史密斯:保护隐私安全“刻不容缓”

北京时间15日消息,微软总裁布拉德·史密斯(Brad Smith)认为保护隐私安全已经到了“刻不容缓”的地步,其观点与苹果首席执行官蒂姆·库克(Tim Cook)一致。 史密斯表示,解决办法应该是双重的,即联邦监管机构应该通过一项国家隐私法,类似于欧洲的《一般数据保护条例》(GDPR),史密斯自2005年以来一直在倡导这类法律。 GDPR让消费者有权知道他们的个人数据何时被在线收集,以及将如何使用。由于美国还没有出台这样的联邦法律,史密斯说,该行业的公司应该开始自行向客户提供这些权利。 史密斯说,另一个急需监管的领域是面部识别。首先,面部识别技术可能存在偏见,因为它比其他技术能更准确地检测到男性和白人的脸。 史密斯表示,这也可能对企业或政府追踪人们的活动、他们的消费习惯或他们参与政治运动的能力产生潜在的问题影响。 尽管如此,微软是众多致力于开发面部识别技术的公司之一,史密斯认为不应该完全禁止这种技术。 科技公司和监管机构之间的这种合作可能是该行业未来的关键。史密斯说:“我认为仅仅通过政府提供的解决方案远远不够,我们创造了这项技术,因此我们也有责任帮助解决其带来的问题。” 此外,史密斯认为,是时候为数字时代更新反垄断法了。 史密斯表示,监管机构在判定一家公司是否垄断时,也应该考虑它拥有多少消费者数据,而不是像此前的传统做法那样计算公司市场份额。 这种方法可能会给谷歌和Facebook等其他科技巨头带来麻烦,它们目前正在美国面临反垄断调查。而这可能对微软本身的影响较小。 史密斯表示,一种衡量垄断的新方法只是他希望看到法律改变的方式之一,这样大型科技公司才能在美国得到更好的监管。鉴于技术现在社会、商业和政府中发挥的巨大影响力,这些改变是必要的。   (稿源:新浪美股,封面源自网络。)

恶意软件可让 ATM机按需吐出所有现金

近日某个上午,德国弗莱堡市的一位银行职员发现,某台 ATM 机似乎出现了问题。其控制面板上收到了一条奇怪的消息 ——“Ho!”可惜的是,这位员工没有立即意识到,黑客已经将恶意软件植入了自动柜员机中 —— 这也是所谓的“劫持”攻击的一部分。最终结果是,正如大家在许多影视作品中所见到的那样 —— 这台 ATM 吐出了一堆现金,直至钞箱被彻底清空。 资料图(来自:Wincor Nixdorf,via BGR) 通过 Motherboard 与一家德国新闻媒体联合进行的调查,可知黑客是如何逐步对运行过时软件、安全性较低的计算机进行攻击的。 有关部门显然不希望在事情经过上着墨太多,但多个消息来源证实,这种类型的 ATM 攻击,正在全世界范围内(包括美国地区)呈现上升趋势。这意味着银行的安防系统脆弱不堪,且基本没准备对此进行处理。 通常情况下,攻击者会先从 ATM 机上的访问点(如 USB 接口)下手,以安装恶意软件。相关攻击代码的成本竟然也十分低廉 —— 仅需 1000 美元,即可买到在欧洲各地进行肆意攻击的俄罗斯软件。 软件截图(来自:@CRYPTOINSANE / Twitter) 尽管好莱坞影视作品中经常出现让 ATM 机吐出大量现金的场景,但不幸的是,现实情况也是如此。 有消息人士向参与调查的记者透露,某些不良行为者在出售代码,使得任何人只要肯出钱购买,基本上都有攻破 ATM 机的可能。 网络安全专家 David Sancho 认为,这件事不会局限于世界的某个特定角落,而是在全球范围内都有可能发生。     (稿源:cnBeta,封面源自网络。)

Linux 曝出 Sudo 提权漏洞 受限用户亦可运行 root 命令

作为 Linux 中最常使用的重要实用程序之一,Sudo 几乎安装在每一款 UNIX 和 Linux 发行版上,以便用户调用和实施核心命令。然而近期曝出的一个提权漏洞,却直指 sudo 的一个安全策略隐患 —— 即便配置中明确不允许 root 用户访问,该漏洞仍可允许恶意用户或程序,在目标 Linux 系统上以 root 用户身份执行任意命令。 (题图 via Hacker News) 据悉,Sudo 特指“超级用户”。作为一个系统命令,其允许用户以特殊权限来运行程序或命令,而无需切换使用环境(通常以 root 用户身份运行命令)。 默认情况下,在大多数 Linux 发行版中(如屏幕快照所示),/ etc / sudoers 的 RunAs 规范文件中的 ALL 关键字,允许 admin 或 sudo 分组中的所有用户,以系统上任何有效用户的身份运行任何命令。 然而由于特权分离是 Linux 中最基本的安全范例之一,因此管理员可以配置 sudoers 文件,来定义哪些用户可以运行哪些命令。 这样一来,基板限制了用户以 root 身份运行特定或任何命令,该漏洞也可允许用户绕过此安全策略,并完全控制系统。 Sudo 开发者称: “只要 Runas 规范明确禁止 root 访问、首先列出 ALL 关键字,具有足够 sudo 权限的用户就可以使用它来以 root 身份运行命令。” 据悉,该漏洞由苹果信息安全部门的 Joe Vennix 追踪发现(CVE-2019-14287)。且想要利用这个 bug,只需 Sudo User ID -1 或 4294967295 。 这是因为将用户 ID 转换为用户名的函数,会将 -1(或无效等效的 4294967295)误认为 0,而这正好是 root 用户 User ID 。 此外,由于通过 -u 选项指定的 User ID 在密码数据库中不存在,因此不会运行任何 PAM 会话模块。 综上所述,该漏洞影响最新版本 1.8.28 之前的所有 Sudo 版本。庆幸的是,几个小时前,各大 Linux 发行版都已经在向用户推送新版本了。   (稿源:开源中国,封面源自网络。)

新型恶意软件 Tarmac 被发现针对 MacOS 用户

安全研究人员发现了一种新的Mac恶意软件,然而它的目的和功能目前仍然是一个谜。 这款恶意软件名为Tarmac(OSX / Tarmac),其通过在Mac用户的浏览器中运行恶意代码,将用户重定向到某个软件的更新页面——通常是Adobe的Flash Player。 在用户下载Flash Player更新的同时,其系统将会安装恶意软件二人组-首先是OSX / Shlayer恶意软件,然后是第一个启动的OSX / Tarmac。 自2019年1月开始传播 Confiant的安全研究人员Taha Karim表示,这次散播Shlayer + Tarmac组合的恶意活动始于今年1月。 Confiant 当时发布了一份有关2019年1月恶意广告活动的报告 ; 但是,他们只发现了Shlayer恶意软件,而没有发现Tarmac。 目前已经确定的Tarmac版本都比较旧,并且原始命令和控制服务器已关闭——或者已经被迁移。 Shlayer 会在受感染的主机上下载并安装 Tarmac。Tarmac 会收集有关受害者硬件设置的详细信息,并将此信息发送到其命令和控制服务器。 之后,Tarmac将等待新命令。但是由于服务器不可用,所以无法确定在这之后会发生什么。 从理论上讲,大多数恶意软件都非常强大,具有许多侵入性功能,Tarmac 也应该会造成巨大的威胁。但是目前一切都还只是谜。   主要受影响用户位于美国,意大利和日本 Karim 表示,分发 Shlayer 和 Tarmac 的恶意广告主要针对的是美国,意大利和日本的用户。 由于 Tarmac 的 payload 具有合法的 Apple 开发证书签名,因此 Gatekeeper 和 XProtect 不会在安装过程中报错或者中止。 如果用户想要查看自己的 Mac 系统是否受到此恶意软件感染,可以在Karim的Tarmac报告中寻找IoC。     消息来源:ZDNet, 译者:xyj,校审:吴烦恼 本文由 HackerNews.cc 翻译整理,封面来源于网络。 转载请注明“转自 HackerNews.cc ” 并附上原文链接

大多数 SSL 证书签发错误的主要原因是软件错误

最近的一项学术研究发现,软件错误和对行业标准的误解是大多数错误签发 SSL 证书的最主要原因,其所占比例高达所有错误事件的 42%。 这项研究是由印第安纳大学布卢明顿分校信息与计算学院的一个团队撰写的,他们研究了 379 起 SSL 证书签发错误的实例,并总共发现了 1300 多个事件。 研究人员从公共资源收集了事件数据,例如 Mozilla 的 Bugzilla 跟踪器与 Firefox 和 Chrome 浏览器安全团队的网上论坛讨论区。该研究的目的是研究证书颁发机构(CA)如何遵守行业标准,以及 SSL 证书签发错误背后的最常见原因。 研究小组得出了一个结论,即“大多数错误签发 SSL 证书的事件都是由软件错误引起的”。 在他们分析的 379 个案例中,有 91 个(占 24%)是由 CA 的一个软件平台中的软件错误引起的,导致客户收到不兼容的 SSL 证书。 第二个最常见的原因是 CA 误解了 CA/B 论坛规则,或者 CA 不知道规则已更改,有 69 起案件是这种情况,占所有 SSL 证书签发错误事件的 18%。 而恶意根 CA 导致的问题数据占比排在第三位,有 52 个 SSL 证书签发错误案例(占所有分析事件的 14%)是 CA 故意作恶,为了利润而破坏了行业规则,比如他们会给中间人攻击者出售证书。 第四大最常见的原因是人为错误,有 37 例(占总数的 10%)。 第五位是操作错误,其中错误是由于 CA 的内部程序错误,而不是软件或人为错误,这占了 29 例,占所有案例的 8%。 第六个根本原因是“非最佳请求检查(non-optimum request check)”,该术语描述了检查客户身份时所犯的错误,通常允许流氓客户假冒另一个实体,例如,恶意软件作者获得了 SSL 证书合法的公司。研究人员发现了 24 个此类事件,占所有 SSL 签发错误事件的 6%。 SSL 证书签发错误的第七个最常见的根本原因是“不正确的安全控制”,这是一个通用类别,其中包括所有 CA 被黑或失去对其基础结构的控制以允许第三方获得 SSL 证书的情况。   (稿源:开源中国,封面源自网络。)

“月光(Moonlight)”蠕虫威胁高校网络,中毒电脑被远程控制

感谢腾讯御见威胁情报中心来稿! 原文:https://mp.weixin.qq.com/s/-26KdmJSWZpCjdj6tdqGIQ   一、概述 腾讯安全御见威胁情报中心检测到“月光(MoonLight)” 蠕虫病毒感染呈上升趋势,该病毒主要危害教育行业。病毒会搜集受感染系统上的邮件地址,然后伪装成屏幕保护程序文件(.scr)的病毒发送至收件人。病毒还会复制自身到启动目录、download/upload目录、共享目录以及可移动磁盘,具有较强的局域网感染能力。病毒会记录键盘输入信息发送至远程服务器、对中毒电脑进行远程控制、组建僵尸网络,对指定目标进行DDoS攻击。 在此次攻击中,病毒伪装成以“**课件”、“打印**”命名的文件进行传播,对于老师和学生具有很高的迷惑性,大学新生的防毒意识相对较差,该蠕虫病毒已在教育网络造成较重影响,在9月开学季达到感染峰值。   根据腾讯御见威胁情报中心统计数据,MoonLight蠕虫病毒攻击行业分布如下,受影响严重的前三位分别为教育、信息技术、科研及技术服务等。 从地区分布来看,MoonLight蠕虫全国各地均有感染,影响严重的省市包括:广东、北京、广西、山东、四川等地。 二、详细分析 “月光”(MoonLight)蠕虫病毒可通过邮件、文件共享、可移动磁盘等途径传播,中毒系统会被远程控制、键盘记录以及组成僵尸网络对指定网络目标进行DDoS攻击。 MoonLight蠕虫病毒的攻击流程 持久化攻击 MoonLight运行后首先将自身拷贝至以下位置,包括系统目录、临时文件目录、Run启动项、全局启动目录。使用的文件名包括固定名称(EmangEloh.exe、smss.exe、sql.cmd、service.exe、winlogon.exe)和随机生成(用<random>表示)两种: C:\Windows\sa-<random>.exe C:\Windows\Ti<random>ta.exe C:\Windows\<random>\EmangEloh.exe C:\Windows\<random>\Ja<random>bLay.com C:\Windows\<random>\smss.exe C:\Windows\System32\<random>l.exe C:\Users\admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\sql.cmd C:\Documents and Settings\<user>\Templates\<random>\service.exe C:\Documents and Settings\<user>\Templates\<random>\Tux<random>Z.exe C:\Documents and Settings\<user>\Templates\<random>\winlogon.exe 为了确保在系统启动时自动执行和防止被删除,病毒添加到开机启动项、映像劫持、exe/scr文件关联等位置,具体包括以下注册表项: HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System DisableRegistryTools=dword:00000001 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run <random>=”%system%\<random>.exe” HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run <random>=”%WINDOWS%\<random>.exe” HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion \Image File Execution Options\msconfig.exe debugger=”%windows%\notepad.exe” HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion \Image File Execution Options\regedit.exe debugger=”%windows%\notepad.exe” HKEY_CLASSES_ROOT\exefile default=”File Folder” HKEY_CLASSES_ROOT\scrfile default=”File Folder” HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced Hidden=dword:00000000 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced HideFileExt=dword:00000001 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\CabinetState FullPath=dword:00000001 HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile default=”File Folder” HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile default=”File Folder” HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\SuperHidden UncheckedValue=dword:00000000 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders Common Startup = “%system%\<random>” HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon Shell=”explorer.exe, “%userprofile%\Templates\<random>\<random>.exe”” HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot AlternateShell=”<random>.exe” 蠕虫式传播 病毒枚举路径,找到路径中包含以下字符的文件夹: download upload share 找到后,拷贝自身到该目录下以感染网络共享文件夹,拷贝后使用以下文件名: TutoriaL HAcking.exe Data DosenKu .exe Love Song .scr Lagu – Server .scr THe Best Ungu .scr Gallery .scr New mp3 BaraT !! .exe Windows Vista setup .scr Titip Folder Jangan DiHapus .exe Norman virus Control 5.18 .exe RaHasIA.exe Data %username%.exe Foto %username%.exe New Folder(2).exe New Folder.exe 病毒还会拷贝自身到可移动磁盘中,病毒自身使用文件夹图标,默认情况下系统不显示文件扩展名,这会让用户误认为文件夹图标而双击打开: %username% Porn.exe System Volume Infromation  .scr MoonLight蠕虫还会尝试将自身的副本发送到从受感染系统搜索获取的电子邮件地址。使用自带的SMTP邮件引擎猜测收件人电子邮件服务器,并在目标域名前面加上以下字符串: gate. mail. mail1. mx. mx1. mxs. ns1. relay. smtp. 构造包含以下字符串之一的邮件正文: aku mahasiswa BSI Margonda smt 4 Aku Mencari Wanita yang aku Cintai dan cara menggunakan email mass di lampiran ini terdapat curriculum vittae dan foto saya foto dan data Wanita tsb Thank’s ini adalah cara terakhirku ,di lampiran ini terdapat NB:Mohon di teruskan kesahabat anda oh ya aku tahu anda dr milis ilmu komputer please read again what i have written to you yah aku sedang membutuhkan pekerjaan 构造包含以下名称之一的邮件附件: curriculum vittae.zip USE_RAR_To_Extract.ace file.bz2 thisfile.gz TITT’S Picture.jar 蠕虫病毒使用的Payload下载地址: http[:]//www.geocities.com/m00nL19ht2006/ 主要危害 MoonLight蠕虫病毒会针对指定目标网站执行DDoS攻击,并通过后门在受害系统列举文件和目录、创建和执行程序,同时具有内置的键盘记录功能,可将记录的键盘输入发送到远程地址 三、安全建议 1、不要打开不明来源的邮件附件,对于附件中的文件要谨慎运行,如发现有脚本或其他可执行文件可先使用杀毒软件进行扫描; 2、谨慎访问网络共享盘、U盘、移动硬盘时,发现可疑文件首先使用杀毒软件进行扫描; 3、建议使用腾讯电脑管家或部署腾讯御点终端安全管理系统防御病毒木马攻击; 4、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统,是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据,研发出的独特威胁情报和恶意检测模型系统; IOCs Md5 5c58e370266f182e6507d2aef55228e6 9c852e1c379849c3b6572a4d13b8624b f1af3d3d0c5a5d6df5441314b67a81f4 d1b2b5b83f839a17d113e6c5c51c8660 3d62ac71ff3537d30fcb310a2053196a aa22ed285c82841100ae66f52710e0b1 Domain www[.]apasajalah.host.sk URL http[:]//www.apasajalah.host.sk/testms.php?mod=save&bkd=0&klog= http[:]//www.geocities.com/m00nL19ht2006/ http[:]//www.geocities.com/sblsji1/IN12QGROSLWX.txt http[:]//www.geocities.com/jowobot123/BrontokInf3.txt http[:]//www.geocities.com/sblsji1/in14olpdwhox.txt http[:]//www.geocities.com/sbllma5/IN12ORURWHOX.txt 参考链接: https://www.f-secure.com/v-descs/email-worm_w32_vb_fw.shtml