首页 ›网络安全› 安全学院 › 查看内容

分享一次应急处置案例

2023-9-6 22:10 3962 0

摘要: 接收到了上级发来的通知说内网有服务器中了CS木马，经过排查是在2022年中的CS木马，红队通过钓鱼方式获取到了集团的用户主机权限，通过计划任务开机自启动方式将Windows白名单程序加载恶意DLL文件实现权限维持与免杀 ...

关键词： 文件木马腾讯排查恶意加载通过方式域名 DLL

接收到了上级发来的通知说内网有服务器中了CS木马，经过排查是在2022年中的CS木马，红队通过钓鱼方式获取到了集团的用户主机权限，通过计划任务开机自启动方式将Windows白名单程序加载恶意DLL文件实现权限维持与免杀天擎。

0x01 信息收集

因为我是第一次去受害者集团做应急处置，对集团内部的环境不太了解，所以在接收到应急处置电话后立即对集团开展了信息收集：

集团内部无安全设备，无态势感知与防火墙，所以只能选择上机排查；
接收到的CS木马外连是一个域名，这里看到的是一个腾讯域名，立马联想到了可能利用的是云函数+域前置技术隐匿C2地址；
受害机不是服务器而是办公用户笔记本，从这点可以主要排查应该是红队通过钓鱼拿到的主机权限；
受害机系统信息收集包括收集系统版本、系统架构等，为了应急处置工具的准备和流程；

0x02 现场排查与处置

异常现象确认
通过抓包分析主机被植入木马病毒，访问腾讯API域名，根据外连域名的主程序溯源为svchost.exe，继续分析最终为MpCmdRun.exe发起的，该文件会加载路径下的mpClient.dll文件，这个是最终的CS木马，下面会逐一进行分析。

通过WireShark抓包工作进行流量取证发现外连腾讯API域名，

恶意域名：service-baw5g4iz.1309608249.bj.apigw.tencentcs.com

继续使用火绒剑抓取流量查看是哪个程序发起的外连请求。

发现svchost.exe发起外连请求，联想一下红队可能利用钓鱼的方式构造恶意的exe文件后拿到权限后，再次通过其他的方式(无文件落地、DLL注入)进行权限维持。
利用这些方式进行权限维持大部分都离不开注册表+启动项+计划任务+服务这几种方式，按顺序逐步排查即可。最终在计划任务中发现了一个看似很正常的文件，而这个文件就是木马病毒的加载器。