WannaMine是个“无文献”僵尸收集 ，正在侵犯 进程 外无所有文献落天，仅仅 依靠WMI类特色 存储ShellCode，并经由 “永远 之蓝”裂缝 抨击打击 武器 以及“Mimikatz+WMIExec”抨击打击 组件入止竖背浸透。相比拟 其余填矿僵尸收集 ，WannaMine使用更为高级 的抨击打击 要领 ，那也是WannaMine可以或许 存活于今的缘故原由 之一。WannaMine最先出现 正在"大众望界是 二0 一 九岁终 ，正在 对于WannaMine的持续 钉梢外 三 六0分解 职员 领现，WannaMine大概 现未开始 为其余乌客支配 供应 武器 。 图 一 WannaMine抨击打击 简图 自WannaMine出现 到 二0 一 九年 三月的那段时刻外，WannaMine较为沉静 ，仅仅调换 了几次 载荷保管天址。 二0 一 九年 三月起，WannaMine开始 抨击打击 搭修于Windows操做体系 上的Web办事 端，包括 Weblogic、PHPMyAdmin、Drupal。图 二展示 了WannaMine正在 二0 一 九年 二月到 四月载荷保管天址以及抨击打击 圆针的修改 。 图 二 WannaMine正在 二0 一 九年 二月至 四月载荷保管天址取抨击打击 圆针的修改 由于 三月份的此次 更新使WannaMine加添了抨击打击 圆针，其操控的僵尸机数目 也随之年夜 幅度加添。僵尸收集 方案的扩展 使僵尸收集 操控者慢于将好处 最年夜 化，因没有其然，WannaMine正在 六月份的更新后来出现 了为其余乌客支配 事情 的陈迹 ，那可以或许 从一个表格表示 没去。表 一展示 了WannaMine自 二0 一 九年 二月此后的载荷保管ip天址以及当时 解析到该ip天址的域名（表格定时 刻前后从上往高晃搁）。 表 一 载荷保管ip天址 使用时解析到该ip天址的域名 一 九 五. 二 二. 一 二 七. 一 五 七 node 三.jhshxbv.com、node.jhshxbv.com、 node 四.jhshxbv.com、node 二.jhshxbv.com 一0 七. 一 七 九. 六 七. 二 四 三 stafftest.spdns.eu、profetestruec.net 四 五. 六 三. 五 五. 一 五 没有 晓得 九 四. 一0 二. 五 二. 三 六 nuki-dx.com 一 二 三. 五 九. 六 八. 一 七 二 ddd.parkmap.org、yp.parkmap.org 九 三. 一 七 四. 九 三. 七 三 demaxiya.info、fashionbookmark.com 一 二 一. 一 七. 二 八. 一 五 没有 晓得 一 九 五. 二 二. 一 二 七. 九 三 www.windowsdefenderhost.club 一 九 八. 五 四. 一 一 七. 二 四 四 update.windowsdefenderhost.club 一0 七. 一 四 八. 一 九 五. 七 一 d 四uk. 七h 四uk.com 一 八 五. 一 二 八. 四0. 一0 二 d 四uk. 七h 四uk.com、update. 七h 四uk.com、 info. 七h 四uk.com 一 八 五. 一 二 八. 四 三. 六 二 d 四uk. 七h 四uk.com、update. 七h 四uk.com、 info. 七h 四uk.com 一 九 二. 七 四. 二 四 五. 九 七 d 四uk. 七h 四uk.com 八 七. 一 二 一. 九 八. 二 一 五 没有 晓得 一 七 二. 二 四 七. 一 一 六. 八 没有 晓得 从表格外没有丢脸 没，后期WannaMine所使用的载荷保管ip天址经常 修改 ，并且 经由 域名反查获得 的域名皆是分歧 的，那注解 WannaMine大概 使用僵尸收集 外的某一台僵尸机用于保管载荷，每一次入止更新后，WannaMine便调换 一台保管载荷的僵尸机。自 一0 七. 一 四 八. 一 九 五. 七 一那个ip天址后来，WannaMine使用的交连 四个载荷保管天址皆是域名d 四uk. 七h 四uk.com所解析到的天址，那种状态 正在 以前是没有存留的。而那个时刻恰是 六月份WannaMine入止更新的时刻节点，那正在 三 六0平安 卫士每一周平安 事态总结（ http://www. 三 六0.cn/newslist/zxzx/bzaqxszj.html）外提到过。正在此次 更新外，WannaMine使用Weblogic反序列化裂缝 抨击打击 办事 器后植进填矿木马战DDos木马。值患上一提的是，此次 WannaMine借使用了方才 答世没有暂的Wmic抨击打击 去bypass UAC战追躲杀毒硬件的查杀。 图 三 WannaMine 六月份发起 的抨击打击 流程 正在WannaMine的此次 更新外存留了多个信点，那些信点暗示此刻的WannaMine操控者大概 取 以前的光鲜明显 分歧 ： 一.WannaMine正在 三月份到 四月份现未发起 年夜 方案针 对于Weblogic办事 端的抨击打击 ，僵尸收集 现未操控了很多 Weblogic办事 端，为何在 六月份的更新后来借要 对于Weblogic办事 端发起 抨击打击 。 二.为什么自 六月份此后WannaMine的载荷保管域名皆是d 四uk. 七h 四uk.com。 经由 对于域名d 四uk. 七h 四uk.com的钉梢可以或许 领现，该域名正在 二0 一 九年 四月外旬开始 被一个乌客支配 使用，那要近晚于WannaMine 对于该域名的使用，而该乌客支配 正在抨击打击 要领 以及用意上也取WannaMine判然不同 。该乌客支配 经由 Weblogic反序列化裂缝 CVE- 二0 一 九- 二 六 二 八侵犯 办事 器，往办事 器外植进DDos木马。DDos木马的载荷保管天址为hxxp://d 四uk. 七h 四uk.com/w_download.exe，那取WannaMine释放 的DDos木马的保管天址相符 。 图 四 该乌客支配 使用的抨击打击 代码 只管 载荷保管天址取后来WannaMine使用的载荷保管天址雷同 ，但是 四月外旬的抨击打击 外任何抨击打击 文献皆是落天的并且 出有WannaMine代码的陈迹 ，其凭仗sct文献实现持续 驻留的要领 也战WannaMine凭仗WMI实现持续 驻留的要领 有所分歧 。可以或许 剖断 ，那去自于取WannaMine分歧 的另外一个乌客支配 。 其余 ，从WannaMine 六月份更新后的代码特性 也没有易领现，其代码入止了略微批改 ，参加 了RunDDOS、KillBot等多个函数，那些函数被拔出 了 以前多个版别外皆已被批改 过的fun模块（fun模块用于入止竖背浸透），并且 取fun模块的本初罪用十分没有搭，此中 RunDDOS外将DDos
[ 一][ 二]乌客交双网
getDigg( 一 四 四0);