用DNS发现未知威胁，恶意程序基础设施迭代更新
<!--kg-card-begin: markdown--><h2 id="">之发现</h2>
<p>360Netlab的DNSMon利用海量的多维度数据以及大网的DNS数据，对异常的域名进行监控判定，如果定性为恶意域名会自动生成IOC并在一定范围内进行拦截。</p>
<p>在12.8，DNSMon在无规则的情况下拦截了一个异常的二级域名 xiaoniu321[.]com及其子域名www2.xiaoniu321[.]com 。</p>
<img src = '/content/images/2021/12/xiaoniu321.png' width="860px" />
<img src = "/content/images/2021/12/www2.xiaoniu321.com.png" width = "860px" />
<p>在12.10针对样本数据的分析中，发现样本 65982deb6ac30b9f1f4dab1aa26a0d0e 在大量扩散并且和之前拦截的域名有着密切的关系，同时注意到www2的子域名上存在如下的URL链接。</p>
<pre><code>http://www2.xiaoniu321[.]com:9002/1vv/ii7.exe
http://www2.xiaoniu321[.]com:9002/1vv/Nidispla2.exe
http://www2.xiaoniu321[.]com:9002/111/Nidispla2.exe
</code></pre>
<ol>
<li>首先从xiaoniu321.com以及其对应的样本65982deb6ac30b9f1f4dab1aa26a0d0e 在迅速的扩散</li>
<li>其次xiaoniu321.com 的域名注册很新</li>
<li>从样本出发，发现若干近似样本与域名www1.jincc.cc有关联，并且xiaoniu321.com和jincc.cc的子域名结构很像。并且有段时间共享一个IP103.142.8.74。并且他们的URL结构很像，都包含nidisplay字样。 在10.19的时候已经被我们block了。</li>
<li>从流量图上来看，也存在此起彼伏的特征。</li>
<li>从xiaoniu123的IP上也可以关联出 7yx77.com，猜测是恶意程序运行过程中的配置文件</li>
<li>通过查询文件名nidisplay.exe，发现是激活工具在传播hpaccess病毒。主要是做ddos功能。</li>
<li>通过图系统关联，发现跟独狼有关。</li>
<li>通过对比配置文件，发现和独狼有关，</li>
</ol>
<h2 id="ioc">IOC</h2>
<pre><code>7yx77.com

</code></pre>
<h2 id="">参考文档</h2>
<ol>
<li><a href="https://www.bilibili.com/video/av969086155/">https://www.bilibili.com/video/av969086155/</a></li>
<li><a href="https://bbs.huorong.cn/archiver/?tid-76990.html">https://bbs.huorong.cn/archiver/?tid-76990.html</a></li>
<li><a href="https://mp.weixin.qq.com/s/-Pg-4MoD9LyQN5hmS-HOow">https://mp.weixin.qq.com/s/-Pg-4MoD9LyQN5hmS-HOow</a></li>
<li><a href="https://graph.netlab.qihoo.net/#/explorer?snapshot=61c5970a21addfb5089292ea">https://graph.netlab.qihoo.net/#/explorer?snapshot=61c5970a21addfb5089292ea</a></li>
<li><a href="https://www.freebuf.com/articles/system/218191.html">https://www.freebuf.com/articles/system/218191.html</a></li>
</ol>
<!--kg-card-end: markdown-->
之发现


360Netlab的DNSMon利用海量的多维度数据以及大网的DNS数据，对异常的域名进行监控判定，如果定性为恶意域名会自动生成IOC并在一定范围内进行拦截。


在12.8，DNSMon在无规则的情况下拦截了一个异常的二级域名 xiaoniu321[.]com及其子域名www2.xiaoniu321[.]com 。




在12.10针对样本数据的分析中，发现样本 65982deb6ac30b9f1f4dab1aa26a0d0e 在大量扩散并且和之前拦截的域名有着密切的关系，同时注意到www2的子域名上存在如下的URL链接。


http://www2.xiaoniu321[.]com:9002/1vv/ii7.exe
http://www2.xiaoniu321[.]com:9002/1vv/Nidispla2.exe
http://www2.xiaoniu321[.]com:9002/111/Nidispla2.exe



 1. 首先从xiaoniu321.com以及其对应的样本65982deb6ac30b9f1f4dab1aa26a0d0e 在迅速的扩散
 2. 其次xiaoniu321.com 的域名注册很新
 3. 从样本出发，发现若干近似样本与域名www1.jincc.cc有关联，并且xiaoniu321.com和jincc.cc的子域名结构很像。并且有段时间共享一个IP103.142.8.74。并且他们的URL结构很像，都包含nidisplay字样。 在10.19的时候已经被我们block了。
 4. 从流量图上来看，也存在此起彼伏的特征。
 5. 从xiaoniu123的IP上也可以关联出 7yx77.com，猜测是恶意程序运行过程中的配置文件
 6. 通过查询文件名nidisplay.exe，发现是激活工具在传播hpaccess病毒。主要是做ddos功能。
 7. 通过图系统关联，发现跟独狼有关。
 8. 通过对比配置文件，发现和独狼有关，



IOC


7yx77.com





参考文档


 1. https://www.bilibili.com/video/av969086155/
 2. https://bbs.huorong.cn/archiver/?tid-76990.html
 3. https://mp.weixin.qq.com/s/-Pg-4MoD9LyQN5hmS-HOow
 4. https://graph.netlab.qihoo.net/#/explorer?snapshot=61c5970a21addfb5089292ea
 5. https://www.freebuf.com/articles/system/218191.html

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"## 之发现\n360Netlab的DNSMon利用海量的多维度数据以及大网的DNS数据，对异常的域名进行监控判定，如果定性为恶意域名会自动生成IOC并在一定范围内进行拦截。\n\n在12.8，DNSMon在无规则的情况下拦截了一个异常的二级域名 xiaoniu321[.]com及其子域名www2.xiaoniu321[.]com 。\n\n<img src = '/content/images/2021/12/xiaoniu321.png' width=\"860px\" />\n<img src = \"/content/images/2021/12/www2.xiaoniu321.com.png\" width = \"860px\" />\n\n在12.10针对样本数据的分析中，发现样本 65982deb6ac30b9f1f4dab1aa26a0d0e 在大量扩散并且和之前拦截的域名有着密切的关系，同时注意到www2的子域名上存在如下的URL链接。\n\n```\nhttp://www2.xiaoniu321[.]com:9002/1vv/ii7.exe\nhttp://www2.xiaoniu321[.]com:9002/1vv/Nidispla2.exe\nhttp://www2.xiaoniu321[.]com:9002/111/Nidispla2.exe\n```\n\n\n1. 首先从xiaoniu321.com以及其对应的样本65982deb6ac30b9f1f4dab1aa26a0d0e 在迅速的扩散\n2. 其次xiaoniu321.com 的域名注册很新\n3. 从样本出发，发现若干近似样本与域名www1.jincc.cc有关联，并且xiaoniu321.com和jincc.cc的子域名结构很像。并且有段时间共享一个IP103.142.8.74。并且他们的URL结构很像，都包含nidisplay字样。 在10.19的时候已经被我们block了。\n4. 从流量图上来看，也存在此起彼伏的特征。\n5. 从xiaoniu123的IP上也可以关联出 7yx77.com，猜测是恶意程序运行过程中的配置文件\n6. 通过查询文件名nidisplay.exe，发现是激活工具在传播hpaccess病毒。主要是做ddos功能。\n7. 通过图系统关联，发现跟独狼有关。\n8. 通过对比配置文件，发现和独狼有关，\n\n## IOC\n```\n7yx77.com\n\n```\n\n## 参考文档\n1. https://www.bilibili.com/video/av969086155/\n2. https://bbs.huorong.cn/archiver/?tid-76990.html\n3. https://mp.weixin.qq.com/s/-Pg-4MoD9LyQN5hmS-HOow\n4. https://graph.netlab.qihoo.net/#/explorer?snapshot=61c5970a21addfb5089292ea\n5. https://www.freebuf.com/articles/system/218191.html"}]],"markups":[],"sections":[[10,0],[1,"p",[]]],"ghostVersion":"3.0"}