一、简介

近期，腾讯安全御见威胁情报中心监测到团伙利用phpStudy RCE（远程代码执行）漏洞批量抓“肉鸡”，该团伙手握四大远控木马：Nitol、大灰狼、魑魅魍魉、Gh0st，入侵后完全控制采用phpStudy搭建的服务器，并下发DDoS攻击指令，对目标计算机进行网络攻击。

监测数据表明，受该病毒团伙影响的受害服务器数量正在增加，受害服务器主要位于广东（24.9%）、四川（8.1%）、山东（6.8%）。有多个企业租用的云服务器因phpStudy组件漏洞被入侵控制。 

二、详细分析

黑客入侵成功后下发后门

Nitol远控：fuck.exe、0.exe

木马除了会上报电脑基本信息外，还会上报用户当前的活动进程，比如游戏进程、杀软进程，以便攻击者更了解受害机器当前活动情况。 

木马内置三个C&C地址，明文存放一个: tmh5201314520344837.top，堆栈串存放一个: qlsb.f3322.net 

加密存放一个:114.67.65.156:8081，仍然使用Nitol经典的加密方式base64+凯撒移位算法 

该变种与同类家族相比缺少了LPK劫持功能，也许是由于该技术在高版本(Vista及以上)中已经不奏效，攻击者去掉了该功能， 同类家族中的资源中会包含lpk劫持模块。 

只保留的IPC感染功能

该版本Nitol协议值未发生变化 

大灰狼远控：360.exe

入口处下载大灰狼核心dll，该dll地址用base64+凯撒移位+RC4加密存放，密匙“Getong538” 

解密dll地址后开始下载 

样本存放在C:\ProgramFiles\AppPatch\NetSyst96.dll，下载回来的dll同样使用了RC4解密，密匙“Kother599”。 

解密后加载Netsyst96，并调用导出函数 

DllFuUpgradrs第三个参数，包含了大灰狼的上线信息，同样被加密（base64+凯撒以为+RC4）存放，密匙“Strong798”

解密后可以看到包含了多种上线方式，ip138上线方式，aizhan上线，C&C：s.aitianxin.cn:9091

魑魅魍魉DDos压测工具：Server.exe

C&C：s.aitianxin.cn:1989

Gh0st远控：cf.exe

包含了键盘记录、屏幕操控等常见远控功能，C&C: s.aitianxin.cn:7777

三、安全建议

1.因phpStudy遭遇供应链攻击一事已完全曝光，有关技术报告十分详尽，如果企业没有积极采取措施补救，反而可能被黑灰产业抢行一步实施攻击行动，针对PhpStudy组件漏洞的攻击已存在较长时间。

我们建议相关企业尽快修补安全漏洞，根据phpStudy官方网站的指引将服务器组件升级到最新版本。

企业托管在云服务的系统也需要升级更新。

2.服务器管理员应使用复杂密码，避免使用弱口令，以免服务器被黑客入侵。

IOCs

MD5

a0da340014f9c1480857b3492b576383

f2ec33ffa633175a31384de5bba105aa

8c19d83ff359a1b77cb06939c2e5f0cb

cb8b0e791d8b411e736aed1952ba9df7

a4f612dc16a76b278aa2cd0513affab7

f0e87e22e3667b4772d069414f5fac36

9d0c9f276ee612d84af6113c7c89976a

3b6fa4f91c38a39da2c2fcb86f37ff06

1df747270afd1eaef5c8dea8aa338af6

URL

hxxp://qundem585.mf.lgx6.shop/360.exe

hxxp://qundem585.mf.lgx6.shop/cf.exe

hxxp://qundem585.mf.lgx6.shop/fuck.exe

http://qundem585.mf.lgx6.shop/NetSyst96.dll

hxxp://s.aitianxin.cn/fuck.exe

hxxp://s.aitianxin.cn/1.exe

hxxp://s.aitianxin.cn/360.exe

hxxp://s.aitianxin.cn/cf.exe

hxxp://xiaokantv.com/0.exe

hxxp://xiaokantv.com/Server.exe

Domain

s.aitianxin.cn

qundem585.mf.lgx6.shop

qlsb.f3322.net

tmh5201314520344837.top

pubgfuzhu.cn

zheliw.top

tian988.top

Lyzywl.cn

453m.cn

xiaokantv.com

IP

114.67.65.156

103.123.161.156:660