1. 威客安全首页
  2. 安全资讯

从Web蔓延到内网,BuleHero最新变种来袭

概述

近日,深信服防火墙监测到大量设备请求恶意域名cb.fuckingmy.life,该域名注册于今年8月,经深信服安全团队排查,确认为BuleHero木马最新变种的C&C服务器。安全专家对捕获到的木马文件进行了详细分析,该变种行为与今年6月份的变种行为相似:去掉了LNK模块,更换了C&C域名和一些攻击组件的名字,但比较特别的是,该变种开始通过Web自动化攻击工具进行传播。

从深信服防火墙上的攻击日志上来看,拦截了大量的命令注入攻击,分别利用以下2种漏洞进行攻击:structs2远程命令执行漏洞thinkphp5.X命令执行漏洞。

从Web蔓延到内网,BuleHero最新变种来袭 

 

  • 方式1,通过structs2远程命令执行漏洞下载执行病毒母体:http://cb.fuckingmy.life/download.exe。

从Web蔓延到内网,BuleHero最新变种来袭 

 

  • 方式2,通过thinkphp5.X命令执行下载执行病毒母体:http://fid.hognoob.se/download.exe。

 

详细分析

首先,利用漏洞创建一句话木马hydra.php。

从Web蔓延到内网,BuleHero最新变种来袭 

 

然后,通过该木马下载运行病毒母体download.exe。

从Web蔓延到内网,BuleHero最新变种来袭 

 

从日志的数量以及特征来看,可以判断出这些Web攻击是一个自动化的过程,也就是说BuleHero正利用一些Web漏洞自动化工具进行传播。

 

获取到病毒样本download.exe后,发现该样本的编译时间为8月26号,是最近编译的。病毒母体名字还是延用着4月份版本的download.exe。

 从Web蔓延到内网,BuleHero最新变种来袭

BuleHero家族的病毒相关信息很容易获取。因为BuleHero运行后都会先从C&C服务器上读取配置信息,所以,只需解析该配置文件cfg.ini,就能大致提取出关键信息。关键信息见下图:

从Web蔓延到内网,BuleHero最新变种来袭 

 

 

病毒流程图

从Web蔓延到内网,BuleHero最新变种来袭 

[1] 病毒母体download.exe释放随机名后门并注册成服务WervPoxySvc,与C&C服务器46.178.218.80进行通信。

[2] 从cb.fuckingmy.life下载工具包naplmhost.exe并运行。

[3] 释放Xmrig挖矿程序开始挖矿。

[4] 释放传播攻击模块blwljzt.exe并注册成服务eunttzfwu开始攻击。

[5] 释放mimikatz、TCP扫描器、永恒之蓝工具等组件进行传播攻击。

[6] 篡改注册表关闭防火墙、Defender、Windows自更新等服务。

 

病毒母体download.exe

 

病毒母体使用MFC编写,并加了UPX壳。

从Web蔓延到内网,BuleHero最新变种来袭 

 

病毒运行后,主要现象为挖矿、后门通信,以及横向传播。

从Web蔓延到内网,BuleHero最新变种来袭 

 

 

后门模块rxtrust.exe

 

自复制到system32目录的随机名文件,并注册成WervPoxySvc服务实现开机自启动,然后与C&C服务器46.173.217.80 : 51888进行通信,目前该C&C服务器端口已关闭。

从Web蔓延到内网,BuleHero最新变种来袭 

 

传播模块blwljzt.exe

 

传播模块首先将自身注册成服务eunttzfwu,然后释放传播工具到C:\Windows\ciztbfwfu,为3个文件夹:Corporate、tbbsgbzgt、UnattendGC,依次包含抓密码工具、TCP扫描工具、永恒之蓝攻击工具。

从Web蔓延到内网,BuleHero最新变种来袭 

 

vfshost.exe为mimikatz抓密码工具,bulehero会通过抓取主机密码实现内网横向传播。

从Web蔓延到内网,BuleHero最新变种来袭 

 

fttadbnnk、ifvtknkif分别为ip扫描器和端口扫描器,目的是用来获取开启了445端口的主机IP。

从Web蔓延到内网,BuleHero最新变种来袭 

 

UnattendGC存放的则是我们熟悉的永恒之蓝攻击工具包。

从Web蔓延到内网,BuleHero最新变种来袭 

 

挖矿模块cjltps.exe

 

挖矿模块使用的是Xmrig程序,挖矿流量如下,矿池服务器IP为46.173.217.80。

从Web蔓延到内网,BuleHero最新变种来袭 

 

该IP关联着如下域名,这些均是BuleHero使用的域名。

从Web蔓延到内网,BuleHero最新变种来袭 

 

 

 

深信服安全团队提醒广大用户,注意日常防范措施:

1、及时给电脑打补丁,修复漏洞。

2、对重要的数据文件定期进行非本地备份。

最后,建议企业对全网进行一次安全检查和杀毒扫描,加强防护工作。

 

IOC

 

298DF81D6D317BAEC14C0E9E19F591F4

FC5B65CF9B456E0FABA5F6F5A69EF462

FF2A7868A7B3CB39235D55517EF750B7

4691497582A9C295DAC1BA5E29C5F0C7

 

46.173.217.80

cb.fuckingmy.life

a45.bulehero.in

原文链接:https://www.secpulse.com/archives/111879.html

本站声明:网站内容来源于安全脉搏如有侵权,请联系我们,我们将及时处理。

本文转为转载文章,本文观点不代表威客安全立场。