由SQLserver数据库弱口令拿到系统权限发现勒索病毒

本帖最后由 tony1990 于 2019-7-12 16:56 编辑

由于数据库给的权限太高,导致可以进行服务器命令执行查看服务器端口的连接状态:

创建服务器账号并加到管理员组:


用创建的账号登录服务器:

查看服务器外连的进程情况,发现大量的异常外连尝试:  


经排查未发现可疑用户、计划任务,但是发现异常进程:



病毒分析过程发现的病毒文件,该文件是mssecsvc.exe,经分析该文件是病毒木马的母体:



病毒执行后,会启动线程,循环向局域网的随机ip发送SMB漏洞利用代码



病毒文件相关逻辑分析



在虚拟机启动病毒文件后,监控到的进程:1) 创建多个执行文件2) 加载动态链接库3) 创建socket连接4) 尝试打开链接地址5) 移动及重命名敲诈加密程序tasksche.exe

最终选择重装系统。

THE END
喜欢就支持以下吧
点赞0
分享
评论 抢沙发
  • 管埋员的头像-小北的自留地

    昵称

  • 取消
    昵称