0x1 概要
脆弱性スキャン攻撃ツール ZombieboyTools
本レポートでは、まず、2018 年 8 月 14 日にハッカーによって登録され使用された C2 ドメイン名 fq520000.com とそのサンプルを分析します。次に、数回の攻撃における Zombieboy トロイの木馬の攻撃手法、悪意のあるコードの特徴、C2 ドメイン名、IP、ポートの特徴を比較することで、攻撃の発信元が ZombieboyMiner ギャングと呼ばれる同じギャングに属していると推測し ます 。
Anchacha ZombieboyMiner は 70,000 台のコンピューターを制御して Monero を採掘しています ミニプログラム 感染したコンピューターは全国に分布しており、広東省、江蘇省、浙江省が上位3位を占めている。
テンセント Antu 高度な脅威追跡システム ギャング情報の照会
0x2 詳細分析
ZombieboyMiner の攻撃プロセスは次のとおりです。
ZombieboyMiner 攻撃プロセス
Las.exe の分析 <br />実行後、ポート スキャン ツール、NSA エクスプロイト攻撃ツール、ペイロード プログラムを C: にリリースします。
サンプルリリースファイル
445 ポートスキャン バッチファイル
EternalBlue 設定ファイル
Doublepulsar 設定ファイル
ペイロード分析
ペイロードの動作
sys.exe 分析
sys.exe の動作
A. TXTコンテンツ
CPUInfo.exe 分析
WhiteはSrvany.exeを使用して起動します
svsohst.exe 分析
44FaSvDWdKAB2R3n1XUZnjavNWwXEvyixVP8FhmccbNC6TGuCs4R937YWuoewbbSmMEsEJuYzqUwucVHhW73DwXo4ttSdNS がマイニングパラメータとして使用され、その後 ShellExecute を通じてマイニングプロセスが開始されます。
採掘パラメータを設定する
ShellExecuteはマイニングマシンを起動します
crss.exe 分析
マイニングマシンコード
84.exe 分析
ファイルは C:\Windows\System32\seser.exe に自身をコピーし、隠し属性を設定して、起動時に起動できるようにサービス dazsks gmeakjwxo としてインストールします。
RATインストールサービスが自動的に開始されます
次に、DLL ファイルが復号化され、実行のためにロードされます。 DLL ファイルは実際には Zegost トロイの木馬です。実行後、キーストローク情報とソフトウェアのインストール情報を収集し、C2 アドレス dns.fq520000.org に送信します。画面制御や実行ファイルのインストールなどの機能も備えています。
ウイルス対策ソフトウェアを検出する
重要な情報を取得する
C2アドレスの復号
C2との通信
メッセージの送受信
データの受信と復号
0x3 相関分析 まとめ、さらに攻撃手法、悪意のあるコードの特性、C2 ドメイン名と IP、ポートの特性などの一貫性から、最近発見され公開された Zombieboy トロイの木馬による攻撃は同じグループによるものであるという結論に達しました。
ゾンビボーイのトロイの木馬活動
同時に、ペイロード コードは C2 アドレスから 123.exe をダウンロードし、sys.exe というファイル名でローカルで実行し、sys.exe をローダー プログラムとして使用して悪意のあるコンポーネントをダウンロードします。トロイの木馬が標的のマシンに侵入すると、攻撃を広めるだけでなく、マイニングや RAT のインストールなどの悪意のある動作も行います。
ゾンビボーイトロイの木馬PDB
ペイロードコードの比較
0x3.2 C2ドメイン名の比較 0x3.2.1 第2レベルドメイン名の特性
C2 ドメイン リスト
また、2018.02.27から2018.05.21までに登録された第1レベルのC2ドメイン名は、posthash.orgやhashpost.org、hashnice.orgやnicehash（第2レベルのドメイン名のプレフィックスとして使用）など、構造に「AB、BA」の特徴があります。0x3.2.2 ドメイン名解決 IP アドレス
逆ドメイン名
0x3.2.3 HFS ポートの特性 <br />トロイの木馬のダウンロードに使用される HFS サービスはすべてポート 344/443 を使用します。 HFS サービスのポートは、作成者が自由に指定できます。これらの攻撃で同じまたは類似のポートが使用されているのは、同じ作成者の使用習慣が継続している可能性があります。
コール.ppxxmr.org:344/123.exe
0x4 概要
NSA 攻撃後、ギャングはペイロード配信アドレスとして C2 アドレスを継続的に更新します。また、登録されたセカンダリ C2 ドメイン名を使用して、独自のマイニング プールを構築し、Monero をマイニングします。同時に、侵入先のマシンに RAT トロイの木馬を埋め込み、ユーザーの機密情報を収集してトロイの木馬サーバーにアップロードします。
上記の特徴に基づいて、Tencent Yujian Threat Intelligence Center はこのギャングを ZombieboyMiner マイニングギャングと名付けました。
ZombieboyMiner マイニングと RAT 情報
0x5 セキュリティに関する推奨事項
WinXPおよびWindows Server 2003ユーザーの方は、
4. 個人ユーザーは、このようなウイルス攻撃を阻止するために Tencent PC Manager を使用することをお勧めします。
IOC（一部）
電話番号:
211.23.160.235
ドメイン
コール.ppxxmr.org
MD5 :
60e12b9a39352d08bf069e2a97107ab0
