黑客爆破攻击Sql Server，已控制数百台企业服务器和网站
感谢腾讯御见威胁情报中心来稿！
原文：腾讯御见威胁情报中心
一、概述
SQL爆破、提权攻击已成攻击者惯用伎俩，但仍有部分企业网管使用弱口令导致服务器被黑客操控。近日，腾讯安全御见威胁情报中心发现一起针对SQL数据库的爆破攻击事件，攻击成功后会根据系统环境下发远控木马、植入Webshell、在目标服务器创建管理员用户。本次攻击的失陷服务器已达数百台之多，主要受害者位于陕西、山西、吉林等地。
该木马的攻击行动具有如下特点二、详细分析
攻击者在HFS上的工具列表
从HFS列表可以看出，该团伙主要通过Mssql&mysql爆破，3389爆破，攻击成功后再利用提权工具进行提权，以mssql爆破工具进行分析
Start.bat启动扫描任务,并根据扫描结果进行爆破
Dhls.exe根据ip.txt中的IP列表扫描主机是否开放sql相关端口，接着使用CSQL.exe尝试爆破，其中user.txt，pass.txt分别是用户名和密码，爆破成功的IP会输出到out.txt中，接着CSQL中会对out.txt中机器进行远程命令执行，sql命令保存在2018.sql
Sql命令结束杀软进程
向系统添加账户 SQLuser, *** $ *** 520
下载并执行team.exe
目前team.exe已经无法下载，无法得知里面具体功能，从攻击者的文件服务器上看，攻击者在爆破成功后会下发TeamView远程控制工具或webshell：hxxp://124.16.146.185:9000/tv.exe，并通过TVGET.exe程序获取到TeamView的用户ID和密码：
如果是web服务器，则会下发Webshell到c:/1.php,c:/1.asp,c:/1.aspx
Webshell经过简单加密混淆，base64及字符压缩
解密后联网下载404.gif
404.gif中是一段被加密shell，通过gzinflate&base64_decode解密后可以得到一个完整的反弹木马。
首先会添加一个账户envl到系统中，方便后续远程登录
反弹链接的C2从cookie中获取反弹链接的C2从cookie中获取
在shell中也包含了用于执行mysql语句的shell
木马可对服务器web页面进行批量挂马
木马功能
目前腾讯安全御见威胁情报中心已监测到有40多家网站，300多个页面被植入该后门。
三、关联分析
追溯攻击中使用的webshell来自webshell8.com，号称免杀主流web护盾。
Webshell的界面
在攻击者发现HFS服务器被盯上后，竟在服务器上放置联系方式。
四、解决方案
腾讯御界检测到服务器遭遇爆破攻击
IOCs
IP
124.218.92.68:9000
124.16.146.185:9000
123.15.33.19:9000
Domain
phpapi.info
tanlini.3322.org
MD5
f1c4842de714e7480e69f41540c3626b
e7c182ece6eceb6f89d6bd9a6d33c53e
5c0249cce6e5c500a54aa34ba2b8c282
c8a689d353b10ca90e88f3f7b4afa25f
78ff58ad4fe3c40e6f6945a2b0c79f36
a7419cf9e40501cfb2762623c5277857
f1f22dc294694ba7a727ea991f88c3a1
URL
hxxp://phpapi.info/404.gif
hxxp://123.15.33.19:9000/team.exe
hxxp://124.16.146.185:9000/CVE2018.exe
hxxp://124.16.146.185:9000/CVE-2018-8120.exe
hxxp://124.16.146.185:9000/freeSSHd.exe
hxxp://124.16.146.185:9000/go.bat
hxxp://124.16.146.185:9000/HAdmin.exe
hxxp://124.16.146.185:9000/K8UA.asxp
hxxp://124.16.146.185:9000/lcx.exe
hxxp://124.16.146.185:9000/mima.ps1
hxxp://124.16.146.185:9000/mimidrv.sys
hxxp://124.16.146.185:9000/mimikatz.exe
hxxp://124.16.146.185:9000/mimikatz_trunk.zip
hxxp://124.16.146.185:9000/mimilib.dll
hxxp://124.16.146.185:9000/nc.exe
hxxp://124.16.146.185:9000/she.aspx
hxxp://124.16.146.185:9000/she.php
hxxp://124.16.146.185:9000/shell.asp
hxxp://124.16.146.185:9000/task.exe
hxxp://124.16.146.185:9000/tcp.exe
hxxp://124.16.146.185:9000/team.exe
hxxp://124.16.146.185:9000/TV_pweg.exe
hxxp://124.16.146.185:9000/TVGET.exe
hxxp://124.16.146.185:9000/TVs.exe
hxxp://124.16.146.185:9000/wce.exe
hxxp://124.16.146.185:9000/Welcome.txt
hxxp://124.16.146.185:9000/x.mof
hxxp://124.16.146.185:9000/xx.jpg
“黑客爆破攻击Sql Server，已控制数百台企业服务器和网站” 的相关文章
区块链公司 Ronin 被黑 6.15亿美元加密货币被盗
视频链接：https://n.sinaimg.cn/sinakd20211219s/138/w600h338/20211219/9907-45d93401a89f40f888b22dc250f73fab.jpg 区块链项目Ronin发布消息称，黑客从该项目窃取价值6.15亿美元的加密货币。按照R...
不少 WordPress 网站被注入恶意脚本 对乌克兰网站发起 DDoS 攻击
不少 WordPress 网站正在遭受黑客们的攻击，通过注入的恶意脚本，利用访问者的浏览器对乌克兰网站进行分布式拒绝服务攻击。今天，MalwareHunterTeam 发现一个 WordPress 网站被入侵使用这个脚本，针对十个网站进行分布式拒绝服务（DDoS）攻击。 这些网站包括乌克兰政府机构、...
Google Project Zero 统计：大部分厂商能在 90 天内修复漏洞
Google 安全团队 Project Zero 近日分享了过去几年安全研究的统计数据，在 2019 年 1 月至 2021 年 12 月期间，团队共计报告了 376 个漏洞，期限为 90 天。其中 351 个（93.4%）已被修复，14 个（3.7%）被供应商标记为“WontFix”，11 个（2...
蓝牙两大规范被爆安全漏洞 可被黑客利用进行中间人攻击
蓝牙核心规范（Bluetooth Core）和蓝牙网状网络连接技术（Mesh Profile）规范近日被爆安全漏洞，可被网络犯罪分子利用进行中间人（man-in-the-middle）攻击。根据卡内基梅隆大学 CERT 协调中心的报告，“支持Bluetooth Core 和 Mesh 规范的设备存在...
窃取加密货币钱包：趋势科技曝光 Panda Stealer 恶意软件更多细节
本周，趋势科技（Trend Micro）安全研究人员分享了有关“Panda Stealer”恶意软件的详情。可知除了垃圾邮件、攻击者还选择了将它放入 Excel 文档并通过 Discord 渠道进行传播，以窃取用户的加密货币。由目前上传至 VirusTotal 的样本和调查分析可知，该恶意软件以波及...
报道称超 130 万 Clubhouse 用户的数据被发布在黑客论坛上
据外媒AppleInsider报道，约130万Clubhouse用户的数据被发布到了一个黑客论坛上，但iOS应用的开发者声称该平台并没有被黑客攻击，这些数据是公开的信息。发布到论坛上并公开可见的SQL数据库包括了这个基于音频的高人气社交网络用户的许多细节。约有130万用户的数据被获取并放入数据库中...
评论列表
发表评论
