「魔鬼」撒旦（Satan）利用「永恆之藍」漏洞捲土重來 主攻資料庫

導言：自2017年4月發生轟動全球的NSA黑客武器庫泄漏事件以來，「永恆之藍」漏洞攻擊工具帶來的網路安全威脅從未間斷。近日，騰訊御見威脅情報中心發現「魔鬼」撒旦（Satan）勒索病毒攜「永恆之藍」漏洞攻擊工具捲土重來。本文將對魔鬼撒旦（Satan）勒索病毒進行詳細分析。

目錄：

一、概述

二、威脅等級

三、影響面

四、樣本分析

五、解決方案

一、概述

騰訊御見威脅情報中心分析發現此次撒旦（Satan）勒索病毒攜手永恆之藍漏洞攻擊工具，利用NSA泄露的永恆之藍漏洞工具主動攻擊區域網內其他存在漏洞的系統，最終有選擇性的將伺服器資料庫進行高強度加密。

加密完成後，會用中英韓三國語言索取0.3個比特幣作為贖金，並威脅三天內不支付不予解密。

二、威脅等級（高危）

危害評估：☆

影響評估：☆☆

通過永恆之藍漏洞攻擊工具在區域網內橫向傳播，主動入侵未安裝補丁的伺服器。

技術評估：☆☆

雖然利用永恆之藍攻擊工具，只要安裝系統補丁就能防禦此類攻擊。

三、影響面

未安裝永恆之藍漏洞補丁的系統

四、樣本分析

st.exe首先會去C&C伺服器上下載ms.exe(永恆之藍工具)和Client.exe（Satan勒索病毒）並運行，運行後獲取本地IP網段，利用釋放的永恆之藍組件進行感染其他機器。

利用shellExecute運行cmd.exe,執行 「/c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp x.x.x.x & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp x.x.x.x 「

對永恆之藍組件分析，ms.exe(永恆之藍工具)是個SFX自解壓文件，解壓文件夾為 C:\Users\Alluse~1\，組件中注入lsass.exe程序中的down64.dll和down86.dll作用是下載運行st.exe。

Client.exe（Satan勒索病毒）運行後首先關閉sql相關服務：

MySQL、MySQLa、SQLWriter、SQLSERVERAGENT、MSSQLFDLauncher、MSSQLSERVER

結束資料庫相關進程

Sqlservr.exe、mysqld.exe、nmesrvc.exe、sqlagent.exe、fdhost.exe、fdlauncher.exe、reportingservicesservice.exe、omtsreco.exe、tnslsnr.exe、oracle.exe、emagent.exe、perl.exe、sqlwriter.exe、mysqld-nt.exe

釋放勒索信息ReadMe_@.TXT，比特幣錢包地址：1BEDcx8n4PdydUNC4gcwLSbUCVksJSMuo8，

聯繫郵箱：satan_pro@mail.ru

當文件在以下目錄時，不加密

windows、boot、i386、st_v2、intel、recycle、jdk、lib、lib、all users、360rec、360sec、360sand、favourites、common files、internet explorer、msbuild、public、360downloads

Satan勒索病毒主要針對伺服器的資料庫進行攻擊加密，當文件為如下後綴以及其他時，便會加密：

.mdf、.ldf、.myd、myi、frm、dbf、.bak、.sql、.rar、.zip、.dmp……

當為如下後綴時，不會加密

.cab、.dll、.msi、.exe、.lib、.iso、.bin、.bmp、.tmp、.log、.ocx、.chm、.dat、.sys、.wim、.dic、.sdi、.lnk、.gho、.pbk

之後創建線程對文件進行加密

向C&C上傳受害者機器信息

勒索信息提供3種語言：英語，漢語和韓語，根據提示，需要支付0.3個比特幣作為贖金，才會對文件進行解密，並且三天內沒有支付的話，電腦中的文件將無法解密。

最後會從http://61.xxx.x.151/data/notice.exe下載notice.exe，存放至C盤根目錄下運行，該exe同樣也是個撒旦（Satan）勒索病毒，或許這是為了在受害者機器上運行的是最新版本的撒旦（Satan）勒索病毒

五、解決方案

騰訊御見威脅情報中心提醒用戶注意以下幾點：

1、伺服器關閉不必要的埠，方法可參考：https://guanjia.qq.com/web_clinic/s8/585.html

2、使用騰訊御點（個人用戶可使用騰訊電腦管家）的漏洞修復功能，及時修復系統高危漏洞；

3、伺服器使用高強度密碼，切勿使用弱口令，防止黑客暴力破解；

4、推薦企業用戶使用騰訊御點（下載地址：https://s.tencent.com/product/yd/index.html），個人用戶使用騰訊電腦管家，攔截可能的病毒攻擊。

0x6 IOCs

C&C：

http://61.100.3.151/data/log/

http://61.100.3.151/data/count.php

MD5：

09B235C80EBF9BE8617B513B9A44BAD0

9B15411692E75F6B5A5DA0400231718A

A5B47EBB75F71F5B06A58D588018C241

06608546BB9E19D943DB948C667C4685

推薦閱讀：