WannaMiner挖矿木马不光擅长黑吃黑，最新变种还会过河拆桥

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

WannaMiner挖矿木马不光擅长黑吃黑，最新变种还会过河拆桥

2018-09-10 10:00:21

所属地广东省

一、概述

近日，腾讯御见威胁情报中心发现了WannaMiner的新变种，该挖矿木马在挖取XMR同时还会下载远控木马，和以往的版本类似，这个WannaMiner挖矿木马的最新变种会查杀其他挖矿木马，保证自己独享系统资源。同时，该变种在自身入侵成功后会关闭高危端口，避免其他挖矿木马入侵，其目的同样是保证独享挖矿资源。

此外，经过分析发现，该变种除了跟友商发布的MsraMiner家族在漏洞利用和恶意基础设施上高度一致，跟友商今年六月爆出的另一个家族HSMiner如出一辙。因此我们判断，WannaMiner、MsraMiner、HSMiner实际为同一家族的不同命名，背后为同一黑产团伙。

WannaMiner新变种具有如下特点：

1.冒充微软系统文件，关闭Windows防火墙，添加任务自启动。

2.释放NSA攻击工具套件（永恒之蓝），扫描内网445端口横向扩散。

3.释放远程控制木马java.exe(文件名伪装)，该远控木马具体系统最高权限，可实现窃取隐私及一切远程管理任务。

4.释放挖矿模块we32.exe，有意思的是，这个挖矿模块除了会结束其他挖矿木马进程，还会在安装好自身之后，会关闭系统的135、137、138、139、445端口，避免这台机器被其他入侵者控制。

5.通过同源性分析，发现该木马与HSMiner挖矿木马高度相似，该木马下载了和HSMiner挖矿木马一样的远程控制模块。

6.通过比对以往的威胁情报，发现该木马使用的C2服务器与HSMiner挖矿木马有相关性。

7.同样，通过溯源分析，发现WannaMiner挖矿木马与MsraMiner挖矿木马同样相似度级高，C2服务器也存在复用。

通过5，6，7的分析，御见威胁情报中心判断不同安全团队报告的WannaMiner、MsraMiner与HSMiner背后的控制者为同一团伙。

二、样本分析

WannaMiner木马依然分为三个部分：传播模块、挖矿模块、远控模块。

1、传播模块分析（32ja.exe）

32ja.exe为自解压SFX文件，执行脚本会解压释放到“%windir%\IME\Microsofts”文件夹下，关闭防火墙，并隐藏文件，设置任务启动。

以服务执行的spoolsv.exe会释放NSA利用组件，并且扫描内网445端口开放的主机写入配置文件中，并利用永恒之蓝进行攻击。并且spoolsv.exe执行步骤会发送回C2服务器d.drawal.dk。

释放的NSA漏洞利用组件：

发送执行信息到目标C2：

payload继续下载32ja.exe和we32.exe：

32ja.exe除了会释放漏洞利用部分spoolsv.exe外，同时还会释放一个远控java.exe。

2、远控模块分析（java.exe）

该远控和之前友商的HSMiner报告中的远控一致，不再继续展开。

如远控中遍历的安全软件：

3、挖矿模块分析（we32.exe）

We32.exe也是SFX自解压文件，解压后脚本执行cls.bat。

Cls.bat会将释放在同一文件夹下的的spoolsv.exe和windows.exe(矿机)启动，spoolsv.exe实际上为NSSM，NSSM是一个服务封装程序，它可以将普通exe程序封装成服务，使之像windows服务一样运行。脚本会利用spoolsv.exe（NSSM）安装windows.exe，让windows.exe以服务启动。启动后，脚本会继续关闭135，137，138，139，445等端口，避免被其他挖矿木马入侵占用。