搜索

[14292] 2019-06-30_一起XMR门罗币挖矿变种分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-30_一起XMR门罗币挖矿变种分析 一 起 X M R 门 罗 币 挖 矿 变 种 分 析 S a m p s o n   F r e e B u f   2 0 1 9 - 0 6 - 3 0 近 期 观 测 到 ， 近 期 观 测 到 ， L i n u x 下 下 D D G 变 种 挖 矿 病 毒 又 在 全 国 范 围 内 大 规 模 爆 发 ， 该 样 本 通 过 变 种 挖 矿 病 毒 又 在 全 国 范 围 内 大 规 模 爆 发 ， 该 样 本 通 过 S S H 爆 破 进 行 攻 击 ， 执 行 恶 意 程 序 ， 下 爆 破 进 行 攻 击 ， 执 行 恶 意 程 序 ， 下 载 伪 装 成 图 片 的 门 罗 币 挖 矿 木 马 ， 设 置 为 开 机 启 动 并 在 后 台 运 行 ， 木 马 在 入 侵 计 算 机 之 后 ， 以 该 计 算 机 本 地 密 钥 登 录 载 伪 装 成 图 片 的 门 罗 币 挖 矿 木 马 ， 设 置 为 开 机 启 动 并 在 后 台 运 行 ， 木 马 在 入 侵 计 算 机 之 后 ， 以 该 计 算 机 本 地 密 钥 登 录 k n o w n _ h o s t s 文 件 中 的 服 务 器 进 行 横 向 渗 透 ， 攻 击 局 域 网 中 的 其 他 机 器 并 控 制 这 些 机 器 ， 使 得 这 些 无 法 正 常 提 供 业 务 ， 对 文 件 中 的 服 务 器 进 行 横 向 渗 透 ， 攻 击 局 域 网 中 的 其 他 机 器 并 控 制 这 些 机 器 ， 使 得 这 些 无 法 正 常 提 供 业 务 ， 对 该 样 本 进 行 深 入 分 析 。 该 样 本 进 行 深 入 分 析 。 0 x 0 0   样 本 介 绍 样 本 介 绍 样 本 基 本 信 息 ： 样 本 样 本 M D 5 内 容 内 容 x v f x p r t b e 6 3 7 e 3 2 5 2 f 4 5 2 2 2 6 c 6 4 6 0 7 9 f c b 6 a c 1 0 1 脚 本 下 载 图 片 样 本 1 4 1 4 2 9 7 5 7 1 . j p g 3 5 a d c f b 6 3 0 1 7 1 5 8 c 1 f 1 0 0 2 0 1 f 8 5 0 e 8 b d 伪 装 成 图 片 ， 包 含 挖 矿 程 序 和 配 置 文 件 m y s q l c _ i 6 8 6 1 8 5 7 6 0 5 1 1 2 7 a c 0 c c 1 4 6 6 4 b a 9 6 c 9 0 1 d c b 3 2 位 远 控 木 马 m y s q l c x 8 6 6 4 2 b 9 5 c 8 9 6 b e a 3 5 4 a 5 a 6 7 c f c b d 8 4 f b b 7 6 5 6 4 位 远 控 木 马 m y s q l i _ i 6 8 6 0 c 3 d c 9 a 6 7 f 8 7 9 e 5 c c 9 8 4 9 d 1 2 8 b 1 6 b 8 6 6 3 2 位 挖 矿 程 序 m y s q l i x 8 6 6 4 7 8 4 3 7 4 9 9 2 b d d b 9 c f 3 5 a a 9 2 f 0 9 8 e c 7 8 b 2 6 4 位 挖 矿 程 序 0 x 0 1   详 细 分 析 详 细 分 析 x v f x p r t b 实 际 上 是 一 个 s h e l l 脚 本 ， 它 是 经 过 b a s e 6 4 加 密 后 的 结 果 。 解 密 后 得 到 s h e l l 脚 本 ， 该 脚 本 的 功 能 是 下 载 1 4 1 4 2 9 7 5 7 1 . j p g 样 本 ， 并 将 该 图 片 样 本 重 命 名 为 m y s q l i . t a r . g z ， 解 压 挖 矿 程 序 和 程 序 的 配 置 脚 本 ， 执 行 i n 脚 本 开 始 挖 矿 。 解 压 m y s q l i . t a r . g z 后 目 录 结 构 ：
执 行 i n 脚 本 ， 定 时 下 载 挖 矿 木 马 任 务 ， 每   1 5   分 钟 从   p a s t e b i n   上 下 载 经 过   b a s e 6 4   编 码 的 脚 本 自 身 并 执 行 ， 并 设 置 成 开 机 启 动   。 还 包 含 了 k i l l s u s p r o c ( ) 函 数 ， 清 理 自 身 挖 矿 进 程   ， 并 杀 掉 C P U 大 于 3 0 % 的 进 程 。 该 病 毒 通 过 识 别 内 核 版 本 ， 执 行 对 应 版 本 的 病 毒 。
判 断 挖 矿 程 序 的 配 置 是 否 存 在 。 读 取 . s s h 目 录 下 k n o w n _ h o s t s 中 的 服 务 器 地 址 ， 尝 试 使 用 密 钥 登 录 后 横 向 传 播 ， 攻 击 局 域 网 中 的 其 他 机 器 并 控 制 这 些 机 器 。 查 杀 S t r a t u m 矿 池 协 议 的 挖 矿 进 程 ， 使 得 自 己 独 占 C P U 资 源 。 清 除 历 史 命 令 、 除 日 志 、 邮 件 和 服 务 器 登 陆 行 为 。 矿 机 配 置 文 件 c o n f i g . j s o n 如 下 ： {         " a l g o " :   " c r y p t o n i g h t " ,         " a p i " :   {                 " p o r t " :   0 ,                 " a c c e s s - t o k e n " :   n u l l ,                 " i d " :   n u l l ,                 " w o r k e r - i d " :   n u l l ,                 " i p v 6 " :   f a l s e ,                 " r e s t r i c t e d " :   t r u e
                " r e s t r i c t e d " :   t r u e         } ,         " a u t o s a v e " :   t r u e ,         " a v " :   0 ,         " b a c k g r o u n d " :   t r u e ,         " c o l o r s " :   f a l s e ,         " c p u - a f f i n i t y " :   n u l l ,         " c p u - p r i o r i t y " :   n u l l ,         " d o n a t e - l e v e l " :   1 ,         " h u g e - p a g e s " :   t r u e ,         " h w - a e s " :   n u l l ,         " l o g - f i l e " :   n u l l ,         " m a x - c p u - u s a g e " :   7 5 ,         " p o o l s " :   [                 {                         " u r l " : " x m r . p o o l . m i n e r g a t e . c o m : 4 5 7 0 0 " ,                         " u s e r " : " n i d a y e 2 2 2 @ p r o t o n m a i l . c o m " ,                         " p a s s " :   " x " ,                         " r i g - i d " :   n u l l ,                         " n i c e h a s h " :   f a l s e ,                         " k e e p a l i v e " :   f a l s e ,                         " v a r i a n t " :   - 1 ,                         " e n a b l e d " :   t r u e ,                         " t l s " :   f a l s e ,                         " t l s - f i n g e r p r i n t " :   n u l l                 } ,                 {                         " u r l " : " x m r - e u 1 . n a n o p o o l . o r g : 1 4 4 4 4 " ,                         " u s e r " : " 4 8 9 N 5 A A Y 5 i g K m c D 7 g f Y x m g 6 G r G J E X y 4 6 H b X 2 3 X R T H e 1 J Y i S g 4 y o 9 i w B W 9 X c o C K a J 9 x X b w B V S n d K e r b M v Z d w o H M b 2 3 Q y A F t z " ,                         " p a s s " :   " x " ,                         " r i g - i d " :   n u l l ,                         " n i c e h a s h " :   f a l s e ,                         " k e e p a l i v e " :   t r u e ,                         " v a r i a n t " :   - 1 ,                         " e n a b l e d " :   t r u e ,                         " t l s " :   f a l s e ,                         " t l s - f i n g e r p r i n t " :   n u l l                 } ,                 {                         " u r l " : " x m r - a s i a 1 . n a n o p o o l . o r g : 1 4 4 4 4 " ,                         " u s e r " : " 4 8 9 N 5 A A Y 5 i g K m c D 7 g f Y x m g 6 G r G J E X y 4 6 H b X 2 3 X R T H e 1 J Y i S g 4 y o 9 i w B W 9 X c o C K a J 9 x X b w B V S n d K e r b M v Z d w o H M b 2 3 Q y A F t z " ,                         " p a s s " :   " x " ,                         " r i g - i d " :   n u l l ,                         " n i c e h a s h " :   f a l s e ,                         " k e e p a l i v e " :   t r u e ,                         " v a r i a n t " :   - 1 ,                         " e n a b l e d " :   t r u e ,                         " t l s " :   f a l s e ,                         " t l s - f i n g e r p r i n t " :   n u l l                 }         ] ,         " p r i n t - t i m e " :   6 0 ,         " r e t r i e s " :   1 1 ,         " r e t r y - p a u s e " :   5 ,         " s a f e " :   f a l s e ,         " t h r e a d s " :   [
矿 池 地 址 ： x m r . p o o l . m i n e r g a t e . c o m : 4 5 7 0 0 用 户 名 ： n i d a y e 2 2 2 @ p r o t o n m a i l . c o m 密 码 ： x 矿 池 地 址 ： x m r - e u 1 . n a n o p o o l . o r g : 1 4 4 4 4 用 户 名 ： 4 8 9 N 5 A A Y 5 i g K m c D 7 g f Y x m g 6 G r G J E X y 4 6 H b X 2 3 X R T H e 1 J Y i S g 4 y o 9 i w B W 9 X c o C K a J 9 x X b w B V S n d K e r b M v Z d w o H M b 2 3 Q y A F t z 密 码 ： x 矿 池 地 址 ： x m r - a s i a 1 . n a n o p o o l . o r g : 1 4 4 4 4 用 户 名 ： 4 8 9 N 5 A A Y 5 i g K m c D 7 g f Y x m g 6 G r G J E X y 4 6 H b X 2 3 X R T H e 1 J Y i S g 4 y o 9 i w B W 9 X c o C K a J 9 x X b w B V S n d K e r b M v Z d w o H M b 2 3 Q y A F t z 密 码 ： x 通 过 挖 矿 钱 包 地 址 发 现 P o o l :   n a n o p o o l P a i d :   0   X M R ， 目 前 挖 的 门 罗 币 为 0 。         " t h r e a d s " :   [                 {                         " l o w _ p o w e r _ m o d e " :   1 ,                         " a f f i n e _ t o _ c p u " :   f a l s e                 } ,                 {                         " l o w _ p o w e r _ m o d e " :   1 ,                         " a f f i n e _ t o _ c p u " :   f a l s e                 } ,                 {                         " l o w _ p o w e r _ m o d e " :   1 ,                         " a f f i n e _ t o _ c p u " :   f a l s e                 }         ] ,         " u s e r - a g e n t " :   n u l l ,         " s y s l o g " :   f a l s e ,         " w a t c h " :   t r u e }
0 x 0 2   解 决 方 案 解 决 方 案 1 、 手 动 清 除 挖 矿 木 马 ， 删 除 病 毒 体 r m - r f   / t m p / . m y s q l i / , r m   / t m p / m y s q l i . t a r . g z 2 、 清 理 定 时 任 务 / v a r / s p o o l / c r o n / c r o n t a b s 3 、 查 杀 挖 矿 进 程 ， p s a u x f | g r e p   - v   g r e p | g r e p   " m y s q l i " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 ， p s   a u x f | g r e p   - v   g r e p | g r e p   "   m y s q l c " | a w k ' { p r i n t $ 2 } ' | x a r g s   k i l l   - 9 4 、 清 除 开 启 自 启 动 服 务 c h k c o n f i g - - d e l   i n 5 、 采 用 高 强 度 的 密 码 ， 定 期 更 换 服 务 器 密 码 。 0 x 0 3   相 关 相 关 I O C M D 5 C 2 U R L s * 本 文 作 者 ： 本 文 作 者 ： S a m p s o n ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 e 6 3 7 e 3 2 5 2 f 4 5 2 2 2 6 c 6 4 6 0 7 9 f c b 6 a c 1 0 1 3 5 a d c f b 6 3 0 1 7 1 5 8 c 1 f 1 0 0 2 0 1 f 8 5 0 e 8 b d 1 8 5 7 6 0 5 1 1 2 7 a c 0 c c 1 4 6 6 4 b a 9 6 c 9 0 1 d c b 2 b 9 5 c 8 9 6 b e a 3 5 4 a 5 a 6 7 c f c b d 8 4 f b b 7 6 5 0 c 3 d c 9 a 6 7 f 8 7 9 e 5 c c 9 8 4 9 d 1 2 8 b 1 6 b 8 6 6 7 8 4 3 7 4 9 9 2 b d d b 9 c f 3 5 a a 9 2 f 0 9 8 e c 7 8 b 2 1 2 2 . 1 1 4 . 1 9 6 . 3 8 : 4 3 1 0 0 h t t p s : / / p a s t e b i n . c o m / r a w / x v f x p r t b   h t t p : / / m . j i a n l i s t o r e . c o m / i m a g e s / q r c o d e / 1 4 1 4 2 9 7 5 7 1 . j p g
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理