铭说｜一个小时攻陷计算机—家族勒索软件NetWalker分析

近期发现有黑客通过RDP登录，运行类似Cobalt Strike家族的勒索软件。大致的过程为：首先入侵域控服务器，然后使用Prodump和Mimikatz进行内存转储，再利用PsExec在所有加入域的系统上运行NetWalker勒索软件的有效载荷感染域内所有计算机。

通过观察，在攻击的前几分钟内攻击者就能进入域控制器，并且整个入侵大约仅花费1个小时左右。

在整个攻击过程中，黑客使用c37.ps1作为命令和控制的工具。在初始登录后大约16分钟运行，此脚本就被删除。通过运行此脚本并抓包分析，似乎它没有发起任何 络连接，所以该脚本是否有效仍存在疑问。

从图1看此脚本被严重混淆，但看起来与Cobalt Strike非常类似。当把脚本上传到相关检测 站时，有分析者认为它可能包含Windshield或SplinterRAT，如下：

图1：经过混淆的c37.ps1脚本截图

需要说明的是，虽然攻击已经过了10天，但使用主流恶意软件进行扫描后发现，检测率还是较低，说明曝光率不是太高。

几分钟后，被攻击的计算机运行执行程序c37.exe，它将自身复制到临时目录中，然后停止运行。此二进制文件包括Neshta以及许多功能，如下所示：

图2：c37.exe的主要功能

经过仔细地分析，可以确定这个恶意软件就是隶属于Cobalt Strike家族的，以下是回连信息：

图3：回连信息

然后在一些沙盒中运行c37.ps1和c37.exe这两个程序，但都没有捕获到 络流量，这表明它们包括了沙箱规避技术。

经过分析，c37.exe二进制文件包括来自Neshta、poison、BazarBackdoor、XMRig的共享代码以及来自Cobalt Strike的大部分原生代码：

图4：分析结果示意

图5：adf.bat脚本内容

在AdFind运行几分钟后，一个命令窗口被打开，执行以下命令（要么被缓慢地复制粘贴，要么被手动键入）：

nltest /dclist:

net group “Domain Computers” /DOMAIN

net groups “Enterprise Admins” /domain

net user Administrator

之后不久，一个名为pcr.bat文件被释放并执行：

图6：pcr.bat示意

稍后Mimikatz被删除，一分钟后procdump64.exe也被删除。然后攻击者使用Procdump命令转储lsass：

procdump64.exe -ma lsass.exe lsass.dmp

这个procdump64二进制文件似乎是用Delphi编译的，与已知的文件值摘要情 均不匹配。看来是攻击者对原生代码进行了修改，但包括了部分原始程序。

攻击者在转储凭据后进入域控制器（DC），在进入域控服务器不久后释放了ip.list.txt文件、P100119.ps1文件和PsExec程序。

攻击者用PsExec作为域管理员在所有系统上挂载一个共享，然后使用PowerShell执行勒索软件有效负载。NetWalker通过以下命令发送到所有在线加入域的系统：

C:psexec.exe @ip-list.txt -d cmd /c “(net use q: /delete /y &; net use q: \DomainControllerDomainName /user:DomainNameadministrator ThisWasThePassword &; powershell -ExecutionPolicy ByPass -NoLogo -NoProfile -windowstyle hidden -NoExit -File q:P100119.ps1”

运行PowerShell脚本后，将显示如下勒索通知：

图7：勒索信息

NetWalker的使用者要求在指定的期限内交纳高达数万美元的赎金。