移动版论坛(500下载币)论坛帮助 微信公众号

天下网吧论坛

 找回密码
 注册账号

QQ登录

只需一步,快速开始

用微信登录

扫一扫,用微信登录

雷柏网咖键盘鼠标 网吧营销大师,让天下没有难开的网咖
查看: 816|回复: 3
收起左侧

[分享] 【转播】捕获2020网吧入侵事件(STUPdater)

  [复制链接]
发表于 2020-6-23 15:43:55 | 显示全部楼层 |阅读模式
天下网吧手机APP,你有我有全都有

终于等到您!马上注册登录,做有身份的人!

您需要 登录 才可以下载或查看,没有帐号?注册账号   扫一扫,用微信登录

x

原文地址:https://mp.weixin.qq.com/s/vbDm_Cub4cHdPY8HW_Ickg

前几天接多地反馈,服务器被入侵,追究到文件STUPdater.exe这个身上,目前安装DBNT的用户如果中招了,微信应该收到告警信息了.这个入侵的具体想做什么就不分析了.很多人不知道怎么入侵进来的.

我们通过调服务器日志,调取上网记录,视频监控等方法最终猜确定是有人到网吧上机后,执行了特定的成品入侵工具进行入侵的.

首先该攻击针对目前网吧三大管理平台:顺网 易乐游 云更新

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

从以上代码也可以观察到针对的三大平台.

下面我们以顺网系的日志讲解为主:

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

我们看到日志里含有 OnRecvBsAgentLoginPkt登陆等字样,基本可以确定此时开始执行的入侵,日志往上翻出现了局域网广播包,我们猜测应该是入侵工具在寻找顺网无盘产品的主服务器.

当登陆日志出现后,基本可以确定,入侵工具已经开始正式的执行了,version版本显示重复ab字样应该是模拟登陆的,入侵的关键点应该就在此处.version后显示的登陆机器IP 来自于网吧局域网的IP,我们通过查询发现该用户上机是临时卡的方式,且只上机了5分钟就下机了.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

此时我们再次来看日志,发现了上传了程序,Rev File表示接收到了相关文件,此时我们再去寻找这个文件的时候发现文件已经不存在,猜测应该是执行完毕之后删除了.只留存了文件夹.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

从上面可以观察到创建文件的时间.与日志基本吻合.具体的日志相关我们就分析到此.不再深入探讨.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

上面是我们通过计费查询到的登陆上机信息.关键部分已经自动星号显示,以上上机信息与本事件无关,传错了图片

然后我们再去查一台安装了sysmon的服务器.日志部分不再截图显示基本与上方相同.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

sysmon日志的开始是替换了TransferFilePatch.exe,等我们查这个文件的时候,这个文件已经没任何问题,数字签名都是正常的.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP
【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

这个时候开始执行了STUPdater.exe程序,这个程序会释放远程工具.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

这个时候开始添加任务计划.

【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP
【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP
【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP
【转播】捕获2020网吧入侵事件(STUPdater)_天下网吧APP_网吧网咖APP

这个时候入侵的程序已经能完全控制服务器了.服务器已经成为了傀儡,我们从逆向分析中暂时未发现程序执行了其他操作,因为服务器已经成为了傀儡随时接受云端的指令.

到此,基本分析已经差不多,目前暂时还未研究相关解决方案,当然等待三大产商的解决方案是最保险的.目前从日志看来以封堵相关产品端口最为安全.具体封堵什么端口还需要大家自行研究.

最后提示大家:这次入侵皆有人到网吧内上机执行了恶意程序,并非所谓的远程入侵.没有必要这么恐慌.

感谢收看.谢谢~


公告 免责声明:本帖为论坛注册用户所发,所说的内容仅代表其个人观点,与天下网吧无关。相关下载资源为坛友自愿上传,相关资源仅供学习用途,勿用在任何商业用途,否则后果自负。与天下网吧无关,如果有侵犯到你的权益烦请来信告知,我们会处理,Email:[email protected](PS:请勿上传和讨论任何盗版,破解的内容)
本站启用全站实名发帖人工先审后发机制,发布后需要人工审核通过后方可展示,所以当你发现自己发的回复或者新主题没显示时不用着急。所以请勿发广告帖,非法帖和无意义的灌水帖,帖子中勿留联系方式,会被认为是广告封号! 坚持宁缺毋滥的原则100年不动摇。回复时请直接回复有用的信息,勿直接留联系方式,否则可能会被封号!
公告 欢迎大家推荐网吧和网咖行业好友加入天下网吧的大家庭,不设门槛完全免费,一起扩大+维护好网吧行业老铁们的最后一块净土。
公告本站帖子为发帖者自发发布,转载请注明来源天下网吧论坛。发帖请遵守相关法律法规!如果分享的软件中有广告,锁主页等行为,请在发帖时注明!!!
公告欢迎大家加入天下网吧QQ群:198018,注意要注明加群原因,否则我保证您进不了群!
公告PS:发求助帖前建议先 【论坛搜索】,那里可能会有你要找的答案;
公告如果求助帖,已经解决了,麻烦您回复下已经解决并分享方法,方便其他同行借鉴您的方法。天下网吧论坛116万会员对您的行为表示感谢!
公告下载币只能通过论坛发帖(尤其是网吧相关的好贴,精华帖),任务,免费获取。不支持任何方式充值,别再联系客服发红包了,没用的!认真回帖是对发帖者的一种尊重!希望大家理解!下载币策略是为了提升大家分享自己的好的网吧相关经验的积极性,如果你分享了你的经验,大家互相学习,我保证你下载币倍增。 免费获取下载币链接
公告本站为方便广大会员方便访问,特意开发了android/iphone版的手机APP下载和微信小程序,用手机访问更自在哦,点击进入下载>>

发表于 2020-6-23 23:01:06 | 显示全部楼层
网吧行业的大事。
回复 支持 反对

使用道具 举报

发表于 2020-7-2 10:50:08 | 显示全部楼层
是的 这种情况每过一段时间就出来了  总是有很多这种人来干违法的事情, 应该都抓起来坐牢
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 注册账号   扫一扫,用微信登录

本版积分规则

下载天下网吧手机APP,直接一键登录
您尚未登录,请登陆后浏览更精彩内容!
 注册账号
找回密码

手机版|纯文字版|联系我们|免责声明|网吧论坛 ( 渝ICP备20008032号-2 )|网站地图

GMT+8, 2020-9-24 10:31 , Processed in 0.156250 second(s), 21 queries , Gzip On, MemCache On.

Powered by Discuz! X3.4

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表