安全狗解讀explore一鍵挖礦病毒
近期安全狗海青安全研究實驗室捕獲了一個新的挖礦木馬樣本,目前網絡上還未見到關于它的分析。與以往的木馬相比,這次捕獲的樣本有了不小的“進化”:手段更加隱蔽,清除更加困難。我們對它的各項特點進行了分析,希望給行業內帶來針對此類木馬的新的認識,進而發掘更有效的防護措施。詳細內容可以關注公眾號“安全狗”了解，這里只是摘取部分重要內容。 木馬特點 1.純powershell編寫挖礦前置腳本,不是像以前那種使用批處理等簡單挖礦了,使用一系列持久化機制,保證自身挖礦功能; 2.探測防火墻,探測虛擬機,探測反木馬軟件,進行對應的行為; 3.修改防火墻及反木馬軟件配置及策略,避免一些防護軟件掃描,以及防火墻將挖礦鏈接阻斷; 4.緩存認證密碼,可選增加用戶等機制; 5.使用代理中轉連接,每個肉雞都是代理服務器,增加了追蹤溯源難度; 6.使用更新維護機制,若不清除干凈,會常常復發; 7.系統隱藏目錄存放文件,且很難清除; 8.清除競爭對手,保證自己利益***化; 9.使用涉及各方面技術較多。 處置方案 1、進程清理 清理轉發規則: Powershell運行以下命令 Start-Process PowerShell.exe -ArgumentList("-c &{netsh interface portproxy delete v4tov4 listenport=757;netsh interface portproxy delete v4tov4 listenport=703;pause}") -Verb runas 清理帶有\System32\drivers\WmiPrvSE.ps1文件路徑的進程(可能已經退出) 2、注冊表清理 病毒配置:\HKEY_LOCAL_MACHINE\SYSTEM\Software\Microsoft\DriversPath 防火墻配置清除 檢查防火墻配置 HKLM:\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\ 將防火墻策略配置修改為正常狀態 修改 HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential 為0 為0 3、文件清理 刪除目錄及文件 C:\Windows\Fonts\arial C:\Windows\Fonts\Logs C:\Windows\Fonts\temp C:\Windows\Fonts\ttf c:\windows\SoftwareDistribution\config.xml c:\windows\system32\drivers\en-US\GpCheck.ps1 c:\windows\System32\drivers\WmiPrvSE.ps1 C:\Windows\System32\drivers\etc\services C:\Windows\System32\drivers\etc\protocol C:\Windows\System32\drivers\etc\networks C:\Windows\System32\drivers\etc\lmhosts.sam C:\Windows\System32\drivers\etc\hosts 若為域則要清除\\$domain\sysvol\$domain\Policies\及其子目錄下的explorer.exe 正常情況下文件資源管理器是看不到logs目錄的,而且顯示了隱藏文件夾(win10和winserver2008下)也看不到,但可以在cmd或者powershell可以探測到 使用PCHUNTER強行刪除,或者進入安全模式下刪除,或者使用強力的殺毒軟件對指定目錄進行清除。 4、服務清理 服務名cspsvc,顯示名為Cryptographic Service Providers。 5、任務計劃清理 任務計劃GpCheck 6、批量排查 Nmap批量掃描999端口 賬戶adm,密碼14370 7.主機病毒木馬檢測
