X
    请选择要咨询的内容
    下一代防火墙NGAF/云守 上网行为管理AC/SG SSL VPN/EMM IPSec VPN/MIG 广域网优化WOC 应用交付AD 桌面云aDesk 企业级云aCloud
    开始咨询

    新闻动态

    News

    警惕!WannaMine 3.0变种来袭

    / 2018-11-22

    WannaMine3.0-1


    近日,多家企业反馈大量PC和服务器存在卡顿和蓝屏现象,通过ag8亚游集团终端检测平台(EDR产品)进行全网扫描后发现感染相同病毒。经过ag8亚游集团安全专家深入分析,发现这是一种最新型的WannaMine变种。由于之前已有WannaMine1.0和WannaMine2.0版本,我们将其命名为WannaMine3.0


    目前短时间内已有多家医院先后中招,传播速度惊人!未来,感染面很可能与原始变种WannaMine1.0和WannaMine2.0一样大!


    病毒名称:WannaMine 3.0
    病毒性质:挖矿病毒
    影响范围:短时间内已有多家医院先后中招
    危害等级:高危
    传播方式:传播机制与WannaCry勒索病毒一致,可在局域网内,通过SMB快速横向扩散。

    病毒分析


    此病毒变种,是基于WannaMine改造,加入了一些免杀技术,传播机制与WannaCry勒索病毒一致(可在局域网内,通过SMB快速横向扩散)。

    通过对捕获的样本进行分析,发现其接入站点已变更为codidled.com。经查验,这是一个2018年11月11日刚申请注册的域名,也就是说,黑客重新编译WannaMine3.0的时间锁定为2018年11月11日或以后。


    WannaMine3.0-2


    01、攻击场景

    此次攻击,沿用了WannaMine1.0和WannaMine2.0的精心设计,涉及的病毒模块多,感染面广,关系复杂。


    WannaMine3.0-3


    所不同的是,原始“压缩包”已经变为MarsTraceDiagnostics.xml,其含有所需要的所有攻击组件。原始WannaMine版本的压缩包可以直接解压,但此变种做了免杀,MarsTraceDiagnostics.xml是一个特殊的数据包,需要病毒自己才能分离出各个组件。其组件有spoolsv.exe、snmpstorsrv.dll等病毒文件,此外,还有“永恒之蓝”漏洞攻击工具集(svchost.exe、spoolsv.exe、x86.dll/x64.dll等)。


    其攻击顺序为:

    1.主服务为snmpstorsrv,对应动态库为snmpstorsrv.dll(由系统进程svchost.exe加载),每次都能开机启动,启动后加载spoolsv.exe。
    2.spoolsv.exe对局域网进行445端口扫描,确定可攻击的内网主机。同时启动漏洞攻击程序svchost.exe和spoolsv.exe(另外一个病毒文件)。
    3.svchost.exe执行“永恒之蓝”漏洞溢出攻击(目的IP由第2步确认),成功后spoolsv.exe(NSA黑客工具包DoublePulsar后门)安装后门,加载payload(x86.dll/x64.dll)。

    4.payload(x86.dll/x64.dll)执行后,负责将MarsTraceDiagnostics.xml从本地复制到目的IP主机,再解压该文件,注册snmpstorsrv主服务,启动spoolsv执行攻击(每感染一台,都重复步骤1、2、3、4)。


    WannaMine 3.0变种包含的病毒文件,主要释放在下列文件目录中:
    C:\Windows\System32\MarsTraceDiagnostics.xml

    C:\Windows\AppDiagnostics\


    WannaMine3.0-4


    02、清理早期WannaMine版本
    WannaMine3.0特意做了清理早期WannaMine版本的动作,包括删除或者停掉WannaMine1.0和WannaMine2.0相关的文件、服务和计划任务等。

    清理掉之前WannaMine版本的病毒样本,如下图所示:


    WannaMine3.0-5


    停掉wmassrv服务:


    WannaMine3.0-6


    删除UPnPHostServices计划任务,如下所示:


    WannaMine3.0-7


    删除EnrollCertXaml.dll,如下所示:


    WannaMine3.0-8


    结束永恒之蓝攻击程序以及挖矿程序进程,并删除相应的文件,如下所示:


    WannaMine3.0-9


    相应的进程文件如下:

    C:\Windows\SpeechsTracing\spoolsv.exe
    C:\Windows\System32\TasksHostServices.exe
    C:\Windows\SpeechsTracing\Microsoft\svchost.exe
    C:\Windows\SpeechsTracing\Microsoft\spoolsv.exe

    删除之前wmassrv.dll文件:


    WannaMine3.0-10


    遍历之前版本目录下的文件,并删除。相应的目录为:

    C:\Windows\SpeechsTracing\
    C:\Windows\SpeechsTracing\Microsoft\

    卸载之前的挖矿模块HalPluginsServices.dll:


    WannaMine3.0-11


    结束rundll32.exe进程,并删除相应挖矿的文件。


    WannaMine3.0-12
    03、挖矿

    WannaMine3.0沿用WannaMine1.0和WannaMine2.0的套路,同样是瞄准了大规模的集体挖矿(利用了“永恒之蓝”漏洞的便利,迅速使之在局域网内迅猛传播),挖矿主体病毒文件为TrustedHostex.exe。


    WannaMine3.0-13


    其连入地址为codidled.com:


    WannaMine3.0-14


    解决方案


    ag8亚游集团提醒广大用户尽快做好病毒检测与防御措施,防范此次WannaMine 3.0攻击。

    病毒检测查杀


    1、ag8亚游集团为广大用户免费提供查杀工具,可下载如下工具,进行检测查杀。http://edr.m-amo.com/tool/SfabAntiBot.zip

    2、ag8亚游集团EDR产品、下一代防火墙安全感知平台等安全产品均具备病毒检测能力,部署相关产品用户可进行病毒检测。其中EDR产品,采用ag8亚游集团SAVE智能安全检测引擎,通过人工智能自主学习自动识别未知威胁,无需任何升级即可自主检测查杀该最新变种。

    病毒防御


    1、及时给电脑打补丁,修复永恒之蓝漏洞。永恒之蓝漏洞补丁下载地址:https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx
    2、不要点击来源不明的邮件附件,不从不明网站下载软件。
    3、尽量关闭不必要的文件共享权限。

    4、ag8亚游集团下一代防火墙客户,建议升级到AF805版本,并开启智能安全检测引擎SAVE,以达到最好的防御效果。


    EDR智能终端检测平台

    咨询与服务


    您可以通过以下方式联系我们,获取关于WannaMine病毒的免费咨询及支持服务:
    1)拨打电话400-630-6430转6号线(已开通病毒专线)
    2)关注【ag8亚游集团技术服务】微信公众号,选择“智能服务”菜单,进行咨询
    3)PC端访问ag8亚游集团区 bbs.m-amo.com,选择右侧智能客服,进行咨询

    ©2000-2018    ag8亚游集团科技股份有限公司    版权所有     粤ICP备08126214号-5

    粤公网安备 44030502002384号