实战中应急响应溯源思路 – 作者:bbbbbbig

一、孽缘之我与病毒

至2017年5月12日起,“勒索病毒”一词以迅雷之势出现在大众眼前,很多管理者谈之色变,令人恐惧的不是病毒,而是加密。大部分计算机使用人员当遇到病毒的第一时间,想到的无非以下两种做法:杀毒软件查杀或拷贝文件重装系统。当勒索软件出现的那一刻,这两种方式已失去了意义。有时终端电脑数据丢失都会令人伤心难过;当服务器中勒索病毒时,你便会苦笑不得,数据没有丢失,还在设备上,可是却无法使用。

2017年5月是我接触安全的第二年,我以渗透测试工程师的身份进入信息安全行业,这一年却因为勒索病毒改变了我的行业。那个时候在上家公司,我信息安全这一块就我一人,那夜我记得格外的清晰,大晚上睡不着,在床上玩手机,突然一张照片在群里发送,看了一眼,全是英文没什么兴趣,准备关掉微信继续玩手机,这时另一条信息弹了出来,内网为勒索病毒席卷欧洲医疗单位,当时就想,什么玩意呀,那么厉害,从此便踏上了应急响应之路,在应急的道路越走越远。

2017年5月~2018年7月几乎每天都和病毒打交道,这里我将2017年至今遇到的病毒列举如下(能记住的):

2017.5—WannaCry;

2017.6—NotPetya;

2017.8—流氓软件(在系统中创建文件,无法删除);

2018.3—xmr挖矿病毒(windows);

2018.3—10WannaMine1~4;

2018.9—GlobeImposter;

2019.11—Sodinokibi;

2019.12—xmr挖矿(linux);

2020.4—RobbinHood勒索

……

二、鸿蒙之初思路初成

思路每个人来说并不陌生,从小开始就习惯这各种思路,如:

1、小学生上学时,需要前往学校,在家与学校之间会选择一条道路,选择道路的过程时候一种思路;

2、初中生做物理作业时,当他遇到遇到已到关于摩擦力的题时,他需要算出答案,结题的过程是一种思路;

3、高中生在高考报名时,选择学校,选择学校的过程是一种思路。

不管遇到任何问题,我们都会去想该怎么做,不管是遇到问题时举手投降,还是在困难面前勇敢平博一次,还是停止不前,这都是思路。

这里我讲解一下我的思路。每次工作中遇到的应急,我会把每个应急看成一个目的地,而抵达目的地的路径则是应急过程中的思路,抵达目的地的路径有很多,而最短路径则是工作经验。与病毒不断接触的过程中,我不断学习不同病毒的特征和病毒的传播方式,积累各种思路,尤其是勒索病毒的溯源(注意:溯源我通常是从结论出发,倒推过程)。

三、牛刀小试之Sodinokibi勒索病毒溯源

前段时间在一客户处做Sodinokibi勒索病毒的过程中,觉得这一次很有意思,在此我分享一下。

3.1网络概述

中勒索病毒设备为A系统,该系统处于内网,与互联网无数据交换;系统中间件使用的是IIS。

2.3勒索病毒确认

通过后缀名和勒索信息弹框确认该勒索病毒是Sodinokibi,确认勒索病毒后,于是回想该勒索病毒的传播方式:

1、钓鱼邮件;

2、利用RDP传播;

3、利用Weblogic漏洞传播;

由于A系统与互联网无数据交换,可能有的小伙伴在这里就思路就被掐断了。这里我们分析一下:

1、首先A系统为服务器,且与互联网无数据交换,因此可以排除钓鱼邮件;

2、中间件为IIS,因此可以排除Weblogic漏洞传播;

3、排除以上两种方式后,只剩下RDP传播,可是该系统是在内网,为什么会是RDP传播呢?

4、可不可能是有内鬼,人工投毒呢?

由于人工投毒问题不好分析,因此暂且跳过。

3.3确认文件加密时间

通过对文件修改时间进行查看,了解加密时间20:59:40(这个是大致加密时间,不一定为病毒执行时间,病毒执行到全部文件加密需要一定的时间)。

3.4确认系统安全日志和攻击者IP

3.4.1爆破日志确认

查看系统安全日志,发现存在多个账户登录;在勒索时间前存在大量4625登录失败为3类型的日志,但无相关登录IP信息和用户信息,如下:

拿到这些信息后转移战场,转到Microsoft-Windows-RemoteDesktopServices-RdpCoreTS%4Operational该日志。

在这里可以发现rdp登录相关信息。

在这里我们首先看到的是任务类型RemoteFX,然后事件ID均为3位数,与通常我们所需要的4625日志不同,处看可能会觉得这些信息无用,但实际并不然。首先我们需要了解什么是RemoteFX——RemoteFX是微软在Windows 7/2008 R2 SP1中增加的一项桌面虚拟化技术,使得用户在使用远程桌面或虚拟桌面进行游戏应用时,可以获得和本地桌面一致的效果。了解该信息后,对以上日志进行分析,发现事件ID为140的日志记录了来自IP:xx.xx.xx.xx的登录失败信息,扫选了一下,发现该信息均为被加密前。

3.4.2RDP登录信息

通过对日志进行分析发现存在RDP的登录,如下:

3.4.3检测是否创建服务

这里主要检测7045日志,这个日志很有趣,如下:可以看这样一张运行了ClenWip.exe(卸载赛门铁克杀软),一张运行了kpreocesshacker.sys

通过以上信息和猜想结合,验证自己的思路,即通过RDP爆破远程桌面用户名和密码,通过3389登录A系统,然后卸载赛门铁克杀毒软件,安装processhacker工具,最终投放勒索病毒(由于攻击者攻陷了与互联网存在通信的B系统,以B系统作为跳板登录A系统,完成整个勒索过程,这里B系统日志分析与A系统相同,在此省略)。

四、总结

像极了走迷宫,如果你从开始方向往终点方向进行,则很大程度上会迷路,但是如果你从终点往开始方向走,则很简单。

*本文作者:bbbbbbig,转载请注明来自FreeBuf.COM

来源:freebuf.com 2020-05-19 09:00:22 by: bbbbbbig

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论