飞客蠕虫（Conficker）

飞客蠕虫（Conficker）

1、病毒简介

1什么是飞客蠕虫Conficker

飞客蠕虫（国外常用叫法conficker, kido, downup，downadup）是利用微软MS08-067漏洞发起攻击的蠕虫病毒，常用端口是445、139，中毒症状包括请求解析随机域名、不能正常访问安全厂商的网站或服务器、下载木马。飞客蠕虫主要通过这些系统进程explorer.exe、services.exe、svchost.exe注入自己的病毒dll，此病毒dll的名字是随机值，一般为方便开机即运行该蠕虫，有其对应的开机启动服务项，一般也是一个随机值。 

2.MS08-067漏洞

如果用户在受影响的系统上收到特制的RPC(远程过程调用)请求，则该漏洞可能允许远程执行代码。攻击者可能未经身份验证即可利用此漏洞运行任意代码 此漏洞可能用于进行蠕虫攻击。受影响的系统包括Windows 2000、Windows XP、Windows Server 2003、Windows Vista、Windows Server 2008，此外Win7的一个测试版本（Win7 Pre Beta）也受到影响（正式版本没有问题）。详细介绍，可以参看微软安全公告KB958644。一般来讲，为提高安全性，受此漏洞影响的操作系统需要打上相应的漏洞补丁包。

2、病毒危害

1 阻塞安全类站点

中飞客蠕虫的一个最明显现象是，基本上，所有访问安全类站点的行为都被阻塞了，即受感染主机是无法更新漏洞补丁包或者更新杀毒工具病毒库。

飞客蠕虫内置如下的字典，用于阻塞安全类站点：

 virus

spyware

malware

rootkit

defender

microsoft

symantec

norton

mcafee

trendmicro

sophos

panda

etrust

networkassociates

computerassociates

f-secure

kaspersky

jotti

f-prot

nod32

eset

grisoft

drweb

centralcommand

ahnlab

esafe

avast

avira

quickheal

comodo

clamav

ewido

fortinet

gdata

hacksoft

hauri

ikarus

k7computing

norman

pctools

prevx

rising

securecomputing

sunbelt

emsisoft

arcabit

cpsecure

spamhaus

castlecops

threatexpert

wilderssecurity

windowsupdate

nai

ca

avp

avg

vet

bit9

sans

cert

实现方式主要是hook以下DNS相关的API调用：

DNS_Query_A

DNS_Query_UTF8

DNS_Query_W

Query_Main

sendto

2. 受感染的文件路径

飞客蠕虫会把复制病毒体到如下文件路径：

%System%/[Random].dll

%Program Files%/Internet Explorer/[Random].dll

%Program Files%/Movie Maker/[Random].dll

%All Users Application Data%/[Random].dll

%Temp%/[Random].dll

%System%/[Random].tmp

%Temp%/[Random].tmp

此外，以下文件也是飞客蠕虫所释放的：

%DriveLetter%/RECYCLER/S-%d-%d-%d-%d%d%d-%d%d%d-%d%d%d-%d/[...].[3 random characters]

%DriveLetter%/autorun.inf

3 受感染的进程

飞客蠕虫病毒体并不是exe，而是dll，它不是以独立进程存在的，其主要“寄生”在以下3种系统进程中。需要说明的是，不是感染svchost.exe等的文件，而是注入病毒体dll到svchost.exe等的进程空间模块中去。

svchost.exe

explorer.exe

services.exe

4 受影响的注册表

以下注册表项是飞客蠕虫所创建或者修改的：

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/Tcpip/Parameters'TcpNumConnections' = dword:0x00FFFFFE

HKLM/SYSTEM/CurrentControlSet/Services/SharedAccess/Parameters/FirewallPolicy/StandardProfile/GloballyOpenPorts/List, [PortNumber]:TCP = '[PortNumber]:TCP:*Enabled:[random]'

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/explorer/Advanced/Folder/Hidden/SHO WALLCheckedValue = dword:00000000

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/CurrentVersion/SvcHost, netsvcs = %Previous data% and %Random%

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/[random]Type = dword:00000001Start = dword:00000003ErrorControl = dword:00000000ImagePath = '/.../%MalwarePath%/[random].tmp'DisplayName = [Random]

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/ DisplayName = %ServiceName% Type = dword:00000020 Start = dword:00000002 ErrorControl = dword:00000000 ImagePath = '%SystemRoot%/system32/svchost.exe -k netsvcs' ObjectName = '/LocalSystem'/ Description = %description%

HKEY_LOCAL_MACHINE/SYSTEM/CurrentControlSet/Services/[random]/ParametersServiceDll = %MalwarePath%

5 网络行为

使用NetServerEnum、NetUserEnum等API进行网络共享弱密码破解，破解字典如下（部分）：

admin

admin1

admin12

admin123

adminadmin

administrator

anything

asddsa

asdfgh

……

破解成功，则复制病毒体到相应主机路径：

\[Server Host Name]/ADMIN$/System32/[random filename].[random extension]

再尝试执行如下命令：

rundll32.exe [random filename].[random extension], [random]

本地会创建服务端口，以提供病毒体的下载链接：

https://%ExternalIPAddress%:%RandomPort%

本地会访问如下形式的URL，以下载更多木马或病毒：

https://%PredictableDomainsIPAddress%/search?q=%d

此外，飞客蠕虫内置了一个DGA算法，会尝试链接DGA类域名。

3、检测与查杀

1 网络行为检测

目前一个比较简单通用的判断主机是否中了飞客蠕虫的方法，是基于飞客蠕虫会阻塞安全类站点的。在主机访问以下这个链接，根据阻塞结果来判断是否中了飞客蠕虫。

http://www.confickerworkinggroup.org/infection_test/cfeyechart.html

基本原理：安全类站点和非安全类站点各选1批，如果非安全类站点都能正常访问，安全类站点都不能访问，则认为中了飞客蠕虫。

另外，由于飞客蠕虫会hook DNS查询相关的API（DNS_Query_A、DNS_Query_UTF8、DNS_Query_W、Query_Main、sendto），如果我们能检测到这类hook，也可以做为中飞客蠕虫的依据。

此外，飞客蠕虫会在短时间内访问大量DGA类域名，多数是解析失败的，也是其重要网络特征。

在主机可上网的情况下，还可以通过检查主机是否开启了形如 https://%ExternalIPAddress%:%RandomPort% 类的服务，以及是否会访问形如 https://%PredictableDomainsIPAddress%/search?q=%d 类的URL来判断是否中了飞客蠕虫。

2 文件路径扫描

第2章节的2.2小节“受感染的文件路径”，基本上就是飞客蠕虫常见感染路径，因此直接对这些路径文件进行扫描，以判断是否中了飞客蠕虫。

文件路径参考2.2小节即可。

3 注册表检查

节的2.4小节“受影响的注册表”，基本上就是飞客蠕虫常见的会去创建或修改的注册表项。如果这类注册表项存在，则可认为已经中了飞客蠕虫。

详细注册表项参看2.2小节。

4 进程dll检测与脱离

飞客蠕虫并不是以独立进程（exe）形式存在的，它主要“寄生”在一些系统进程上，如svchost.exe、explorer.exe、services.exe，存在形式是注入飞客蠕虫dll到进程空间中去。

因此，专杀工具需要对以上3种进程进行模块空间遍历，发现隐藏在其中的dll，并且使该dll脱离进程空间。

5 漏洞补丁包

专杀工具最好带上MS08-067的补丁包，或者提醒客户打上补丁。因为即使专杀工具查杀了，但是没有及时补上漏洞，过不了多久，局域网内其它中了飞客蠕虫的主机仍然会使之感染。