FreeBuf|“黑球”攻击仍在行动：从检测杀软到安装挖矿

事件概述
开源情报曾在上月初发布了永恒之蓝下载器挖矿木马的更新攻击事件—“黑球”行动，其中就有提到它利用带有Office漏洞CVE-2017-8570漏洞的doc文档作为附件的垃圾邮件进行攻击，然后通过执行PowerShell命令下载和安装挖矿相关的恶意计划任务，相关的垃圾邮件具体信息如下：

本文插图

近期，马莲发现有很多用户收到相关的钓鱼垃圾邮件，并且恶意的邮件附件样本检测率很低，如果有用户不谨慎点击邮件附件，则系统会被安装挖矿程序，造成系统卡顿等异常现象。钓鱼攻击的垃圾邮件样例如下（邮件主题是告别信 618），建议广大计算机用户在查看邮件时，需要留意其安全性。

本文插图

事件分析我们都知道， “黑球”行动的钓鱼邮件附件是利用Office漏洞CVE-2017-8570漏洞的doc文档。早在2018年，海莲花组织也曾使用过该漏洞的样本进行攻击。附件readme.doc是一个RTF文档，其使用漏洞触发执行JS脚本，脚本进一步通过PowerShell命令从远端服务器下载恶意的PS脚本在内存中执行，达到“无文件”的效果。

本文插图

CVE-2017-8570RTF中内嵌了一个名QBNLaW1s7vq5bki.sct为package对象。如下图所示：

本文插图

还有一个包含了CVE-2017-8570漏洞的OLE2Link对象，具体信息如下：

本文插图

漏洞触发后会执行QBNLaW1s7vq5bki.sct文件，该脚本的作用是通过CMD命令执行恶意的PowerShell命令，在目标设备中植入挖矿程序。

本文插图

我们也可以工具分析此文档，同时也可以看到该文档具体包含的对象信息。

本文插图

恶意的PS脚本分析通过漏洞触发的JS脚本我们知道它下载了2个PS脚本，分别是7p.php和mail.jsp 。具体调用逻辑是通过7p.php中的bpu函数执行恶意的mail.jsp脚本内容。

本文插图

7p.php分析7p.php的内容是一个混淆的PS脚本，具体信息如下：

本文插图

我们通过几轮去混淆后，我们可以发现bpu函数的具体内容：

本文插图

bpu函数的具体作用就是执行它的参数payload内容。
【FreeBuf|“黑球”攻击仍在行动：从检测杀软到安装挖矿】

本文插图

本文插图

mail.jsp分析此文件也是一个混淆的PS脚本，具体内容如下：

本文插图

经过4轮的去混淆后，我们可以看到具体的明显的恶意内容。

FreeBuf|“黑球”攻击仍在行动：从检测杀软到安装挖矿

推荐阅读

袋泡红茶怎么样泡才好喝

【潇湘名医】遏制关键通路才是制胜关键，治疗类风湿关节炎

宝宝几岁分房睡比较好呢?

上海市闵行区人民政府网站|区人社局联合云南省保山市开展“网络直播”技能培训

怎么样选购一台存储照片和视频为主的电脑

大连|大连小伙笑对再进隔离区热出花癣斑：打败我的是天真热！

装修工16楼作业不慎弄脏业主衣服被对方割断安全绳

少年的你经典句子，写进作文加10分少年的你经典短句

「黄磊」原来，孙红雷和黄磊对《极限挑战》造成的伤害这么大！

三弄车汇|15万选什么车？哈弗F7x还是领克02？读完你就清楚了

山东鲁能■前鲁能队长仅比郑智小1岁，辗转效力7队，曾被汪嵩索要15元快递费

[走私]警方突袭走私仓库，发现10架共轴旋翼直升机，居然是纯手工打造

医院|女子花6万做隆胸，结果“像放了两块石头”！美容医院：不退钱

作者1047841▲快讯！广东省气象台发布明（27日）起未来三天天气预报

女人戴手表的3大禁忌女生的手表应该戴在左手还是右手

台湾地区流■被造谣患新冠肺炎，台北市长柯文哲今正常工作并直率回呛

「钢铁侠」漫威：毁灭地球需要用多久？美国队长用1个月，钢铁侠用1天，他仅用1秒！

[辅助训练]分清主次，辅助训练只能是辅助！

欢愉驿站|发现规律后，粉丝笑了，《月上重火》罗云熙哭戏太虐人

名字中逸的寓意逸的寓意