作者：answerboy @知道创宇404积极防御实验室
时间：2020年8月5日

近日知道创宇404积极防御团队通过知道创宇云防御安全大数据平台（GAC）监测到大量利用Struts2、ThinkPHP等多个Web组件漏洞进行的组合攻击，并捕获到相关样本，经分析确认该样本为Bulehero蠕虫病毒。目前该Web攻击均被创宇盾拦截；知道创宇NDR流量监测系统也已经支持检测所有相关恶意IOC及流量。

2.1 发现攻击

2020年7月26日，通过日志分析发现IP：47.92.*.*（北京）、119.23.*.*（广东）、117.89.*.*（南京）等多个IP对客户网站发起Web漏洞攻击，通过远程下载并执行恶意文件Download.exe，如下：

ThinkphpV5进行攻击：

Tomcat PUT方式任意文件文件上传：

Struts2远程命令执行：

经过分析，发现Download.exe为下载器，执行流程如下：

2.2 详细分析

2.2.1 Download.exe

Download.exe作为下载器，攻击成功之后会继续前往 http://UeR.ReiyKiQ.ir/AdPopBlocker.exe 下载AdPopBlocker.exe到系统TEMP目录并创建名为Uvwxya和fmrgsebls的计划任务来实现自启动，如下：

2.2.2 AdPopBlocker.exe

AdPopBlocker.exe作为母体会释放扫描模块、MSSQL爆破模块、挖矿模块等同时启动web攻击模块。

扫描模块：

释放扫描模块到目录C:\Windows\iqvebecsc\ilebaiib下，并通过内置的几个IP查询网站获取自身的外网IP：

随后将生成的IP段地址保存为ip.txt，启动端口扫描工具对IP地址的80、8080等端口进行扫描，扫描完成后将扫描结果保存到result.txt。病毒会同时对内网以及外网IP地址攻击，使其传播更为广泛。

攻击模块：

释放永恒之蓝攻击模块到C:\Windows\iqvebecsc\UnattendGC目录,针对开放139/445端口的电脑利用永恒之蓝攻击模块进行攻击，攻击成功后植入Payload(AppCapture32.dll/AppCapture64.dll)，如下图：

利用MSSql sa用户弱口令进行爆破，使用的部分密码字典如图：

使用Mimikatz搜集本机登录密码

释放挖矿模块，并使用XMRig/6.6.2版本连接 185.147.34.10进行挖矿：

发起Web攻击：

Struts2远程命令执行漏洞（CVE-2017-5638）攻击

PhpStudy后门漏洞攻击

ThinkPHPV5远程代码执行漏洞（CNVD-2018-24942）攻击

Tomacat PUT方式任意文件上传漏洞（CVE-2017-12615）攻击

上传名为FxCodeShell.jsp的Webshell，如下：

Apache Solr 远程命令执行漏洞（CVE-2019-0193）攻击

Drupal远程代码执行漏洞（CVE-2018-7600）攻击

Weblogic反序列化远程代码执行漏洞（CVE-2019-2725）攻击

1. 服务器暂时关闭不必要的端口（如135、139、445）；

2. 下载并更新Windows系统补丁，及时修复永恒之蓝系列漏洞；

3. 定期对服务器进行加固，尽早修复服务器相关组件安全漏洞，安装服务器端的安全软件；

4. 服务器切勿使用弱口令，避免暴力破解。

https://www.freebuf.com/column/180544.html

本文由 Seebug Paper 发布，如需转载请注明来源。本文地址：https://paper.seebug.org/1283/