导语：近来，腾讯游戏安全中心捕获一款网吧内传达的歹意软件。原以为是惯例的网吧盗号木马，但详细剖析之后发现并非如此。经证明该歹意软件是现在发现的首款运用Windows SMB缝隙传达，开释虚拟钱银矿机ku的肉鸡集群。
0×01 来历
2019年7月10日左右，由腾讯网吧看护TSPN和顺网联合团队在某网吧内发现异常的svchost.exe进程，以及与之相关spoolsv.exe进程，遂提取样本到安全中心进行人工核实。
0×02 真身
拿到样本后从外观看与体系自带的进程无异，但查看特点发现spoolsv.exe是一个压缩文件，所以开端发生警惕。

测验运用7zip解压此文件后，发现了惊天大隐秘——NSA 进犯东西包。从字面上咱们能够看到永久之蓝、永久冠军字样的进犯配置文件。一同咱们在解压之后的文件中也找到了与样本同名的两个可执行 体，以及同名的xml配置文件。

翻开svchost.xml查看一下，发现正是永久之蓝的进犯配置文件。

翻开spoolsv.xml查看一下，发现了另一个NSA东西DoublePulsar的进犯配置文件。

所以猜想压缩包内的 svchost.exe 是 EternalBlue 进犯程序，压缩包内的 spoolsv.exe 则是 DoublePulsar 后门。
测验手艺运转这两个可执行文件，发现的确是命令行东西，只是配置文件不正确，无法完结进犯。

0×03 棘手
了解到样本的真身之后，咱们开端以为这是一个和WannaCry相同的勒索病毒，可是细心想一下发现样本并没有形成网吧电脑的大规模迸发，也没有业主有反应，所以置疑这并非是一同简略的勒索病毒工作。
深入剖析后发现初始的spoolsv.exe（咱们称之为母体）并非简简略单的开释进犯包，其自身在开释进犯载荷之后，还会敞开对局域网络445端口的张狂扫描，一旦发现局域网内敞开的445端口，就会将方针IP地址及端口写入EternalBlue的配置文件中，然后发动svchost.exe进行第1步溢出进犯。第1步进犯的成果会记录在stage1.txt中，进犯完结后，母领会查看进犯是否成功，若进犯成功，则持续修正DoublePulsar的配置文件，并发动spoolsv.exe（压缩包内的DoublePulsar，并非母体）在方针核算机装置后门，此称之为第2步进犯，成果会记录在stage2.txt中。





这就完了吗？仅此而已吗？那这玩意儿究竟是为了啥？这不科学，没有病毒只是是为了传达儿传达，可是此刻咱们的样本在试验室内现已不再持续工作了。所以咱们在网吧中持续抓取到这东西的精彩后续：被装置了DoublePulsar后门的核算机中lsass.exe进程被注入了一段shellcode，这和外网发布的DoublePulsar的行为一模相同，但样本中的这段shellcode运用lsass.exe进程在局域网被感染的其他核算机上下载了另一个奥秘的可执行文件，而这个文件正是咱们样本中一向没有说到的svchost.exe（与母体在同一目录下）。


而这个svchost.exe可不是EternalBlue。那么它是啥？经过细心的剖析，咱们发现它会做三件工作：
榜首，先把自己添加到计划使命的一个不起眼的当地，让人感觉是一个合法的使命，然后到达自发动的意图。

第二，在局域网其他电脑上下载一个母体文件，以便于二次传达。

[1] [2]  黑客接单网