一、简介
近期，腾讯安全御见威胁情报中心监测到团伙利用phpStudy RCE（远程代码执行）后门批量抓“肉鸡”，该团伙手握四大远控木马：Nitol、大灰狼、魑魅魍魉、Gh0st，入侵后完全控制采用phpStudy搭建的服务器，并下发DDoS攻击指令，对目标计算机进行网络攻击。
监测数据表明，受该病毒团伙影响的受害服务器数量正在增加，受害服务器主要位于广东（24.9%）、四川（8.1%）、山东（6.8%）。有多个企业租用的云服务器因phpStudy组件后门被入侵控制。
二、详细分析
黑客入侵成功后下发后门
Nitol远控：fuck.exe、0.exe
木马除了会上报电脑基本信息外，还会上报用户当前的活动进程，比如游戏进程、杀软进程，以便攻击者更了解受害机器当前活动情况。
木马内置三个C&C地址，明文存放一个: tmh5201314520344837.top，堆栈串存放一个: qlsb.f3322.net
加密存放一个:114.67.65.156:8081，仍然使用Nitol经典的加密方式base64+凯撒移位算法
该变种与同类家族相比缺少了LPK劫持功能，也许是由于该技术在高版本(Vista及以上)中已经不奏效，攻击者去掉了该功能， 同类家族中的资源中会包含lpk劫持模块。
只保留的IPC感染功能
该版本Nitol协议值未发生变化
大灰狼远控：360.exe
入口处下载大灰狼核心dll，该dll地址用base64+凯撒移位+RC4加密存放，密匙“Getong538”
解密dll地址后开始下载
样本存放在C:\ProgramFiles\AppPatch\NetSyst96.dll，下载回来的dll同样使用了RC4解密，密匙“Kother599”。
解密后加载Netsyst96，并调用导出函数
DllFuUpgradrs第三个参数，包含了大灰狼的上线信息，同样被加密（base64+凯撒以为+RC4）存放，密匙“Strong798”
解密后可以看到包含了多种上线方式，ip138上线方式，aizhan上线，C&C：s.aitianxin.cn:9091
魑魅魍魉DDos压测工具：Server.exe
C&C：s.aitianxin.cn:1989
Gh0st远控：cf.exe
包含了键盘记录、屏幕操控等常见远控功能，C&C: s.aitianxin.cn:7777
三、安全建议
1.因phpStudy遭遇供应链攻击一事已完全曝光，有关技术报告十分详尽，如果企业没有积极采取措施补救，反而可能被黑灰产业抢行一步实施攻击行动，针对PhpStudy组件后门的攻击已存在较长时间。
我们建议相关企业尽快修补安全风险，根据phpStudy官方网站的指引将服务器组件升级到最新版本。
企业托管在云服务的系统也需要升级更新。
2.服务器管理员应使用复杂密码，避免使用弱口令，以免服务器被黑客入侵；
3.企业可以部署腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统，是基于腾讯反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。
IOCs
MD5
a0da340014f9c1480857b3492b576383
f2ec33ffa633175a31384de5bba105aa
8c19d83ff359a1b77cb06939c2e5f0cb
cb8b0e791d8b411e736aed1952ba9df7
a4f612dc16a76b278aa2cd0513affab7
f0e87e22e3667b4772d069414f5fac36
9d0c9f276ee612d84af6113c7c89976a
3b6fa4f91c38a39da2c2fcb86f37ff06
1df747270afd1eaef5c8dea8aa338af6
URL
hxxp://qundem585.mf.lgx6.shop/360.exe
hxxp://qundem585.mf.lgx6.shop/cf.exe
hxxp://qundem585.mf.lgx6.shop/fuck.exe
http://qundem585.mf.lgx6.shop/NetSyst96.dll
hxxp://s.aitianxin.cn/fuck.exe
hxxp://s.aitianxin.cn/1.exe
hxxp://s.aitianxin.cn/360.exe
hxxp://s.aitianxin.cn/cf.exe
hxxp://xiaokantv.com/0.exe
hxxp://xiaokantv.com/Server.exe
Domain
s.aitianxin.cn
qundem585.mf.lgx6.shop
qlsb.f3322.net
tmh5201314520344837.top
pubgfuzhu.cn
zheliw.top
tian988.top
Lyzywl.cn
453m.cn
xiaokantv.com
IP
114.67.65.156
103.123.161.156
声明：本文来自腾讯御见威胁情报中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
