搜索

[14341] 2019-07-13_2019上半年恶意挖矿趋势报告

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2019-07-13_2019上半年恶意挖矿趋势报告 2 0 1 9 上 半 年 恶 意 挖 矿 趋 势 报 告 深 信 服   F r e e B u f   2 0 1 9 - 0 7 - 1 3 上 一 期 ， 深 信 服 安 全 团 队 对 勒 索 病 毒 进 行 上 一 期 ， 深 信 服 安 全 团 队 对 勒 索 病 毒 进 行 2 0 1 9 半 年 度 总 结 ， 主 要 盘 点 了 高 发 勒 索 家 族 、 受 灾 区 域 分 布 、 勒 索 病 半 年 度 总 结 ， 主 要 盘 点 了 高 发 勒 索 家 族 、 受 灾 区 域 分 布 、 勒 索 病 毒 发 展 走 向 等 。 本 期 深 信 服 安 全 团 队 对 另 一 流 行 病 毒 类 型 毒 发 展 走 向 等 。 本 期 深 信 服 安 全 团 队 对 另 一 流 行 病 毒 类 型 — — 挖 矿 木 马 进 行 深 入 分 析 ， 给 大 家 揭 秘 挖 矿 木 马 进 行 深 入 分 析 ， 给 大 家 揭 秘 2 0 1 9 上 半 年 上 半 年 挖 矿 木 马 的 所 作 所 为 。 挖 矿 木 马 的 所 作 所 为 。 一 、 一 、 2 0 1 9 上 半 年 恶 意 挖 矿 数 据 统 计 上 半 年 恶 意 挖 矿 数 据 统 计 近 来 加 密 货 币 价 格 走 势 如 过 山 车 般 跌 宕 起 伏 ， 截 至 6 月 比 特 币 成 功 翻 身 ， 价 格 重 返 五 位 数 ， 几 人 欢 喜 几 人 悲 伤 ， 这 其 中 最 欢 喜 莫 过 于 恶 意 挖 矿 黑 产 从 业 者 ， 由 于 其 隐 匿 性 、 低 成 本 、 无 中 间 商 赚 差 价 ， 导 致 挖 矿 木 马 是 近 年 来 最 流 行 的 病 毒 类 型 之 一 ， 而 企 业 的 服 务 器 则 成 为 黑 产 眼 中 的 盛 宴 。 1 . 1   恶 意 挖 矿 活 跃 度 呈 增 长 趋 势 恶 意 挖 矿 活 跃 度 呈 增 长 趋 势 据 深 信 服 安 全 云 脑 统 计 ， 2 0 1 9 上 半 年 里 挖 矿 木 马 拦 截 数 达 到 5 4 亿 次 ， 整 体 呈 增 长 的 趋 势 ， 三 月 份 拦 截 数 达 到 峰 值 1 0 亿 次 ， 之 后 维 持 在 9 亿 以 上 ， 具 体 分 布 数 据 如 图 1 所 示 。 其 中 ， 三 月 份 出 现 多 起 安 全 事 件 如 3 月 2 0 号 W a n n a m i n e 4 . 0 变 种 来 袭 等 ， 导 致 挖 矿 木 马 拦 截 数 骤 增 。 图 1   挖 矿 流 量 拦 截 次 数 图 2   捕 获 挖 矿 木 马 样 本 数 量 2 0 1 9 上 半 年 T o p 1 0 活 跃 挖 矿 木 马 家 族 包 括 w a n n a m i n e 、 x m r i g 、 c o i n m i n e r 、 b i t c o i n m i n e r 、 t a n l a n g 、 s h a d o w m i n e r 、 z o m b i e b o y m i n e r 、 m y k i n g 、 m a l x m r 和 b l u e h e r o ， 分 布 比 例 如 图 3 所 示 。
图 3   2 0 1 9 上 半 年 T o p 挖 矿 木 马 家 族 挖 矿 木 马 通 过 与 矿 池 建 立 通 信 ， 进 而 加 入 矿 池 参 与 挖 矿 活 动 。 矿 池 的 目 的 为 降 低 开 采 门 槛 ， 据 统 计 最 受 挖 矿 黑 产 欢 迎 的 矿 池 服 务 器 位 于 法 国 ， 其 次 为 美 国 、 中 国 ， T o p 1 0 矿 池 域 名 区 域 分 布 如 图 4 所 示 。 图 4   T o p 1 0 矿 池 域 名 区 域 分 布 1 . 2   广 东 地 区 恶 意 挖 矿 拦 截 量 位 列 第 一 广 东 地 区 恶 意 挖 矿 拦 截 量 位 列 第 一 在 挖 矿 木 马 危 害 地 域 分 布 上 ， 广 东 省 （ 挖 矿 木 马 拦 截 量 ） 位 列 全 国 第 一 ， 占 T O P 2 0 总 量 的 1 9 . 5 8 % ， 其 次 为 浙 江 省 和 北 京 市 ， 具 体 数 据 如 图 5 所 示 。 图 5   T o p 2 0 恶 意 挖 矿 拦 截 量 地 域 分 布 1 . 3   企 业 、 政 府 和 教 育 行 业 为 挖 矿 黑 产 主 要 攻 击 目 标 企 业 、 政 府 和 教 育 行 业 为 挖 矿 黑 产 主 要 攻 击 目 标 从 挖 矿 木 马 攻 击 的 行 业 分 布 来 看 ， 黑 产 更 倾 向 于 攻 击 企 业 、 政 府 、 教 育 行 业 。 企 业 的 拦 截 数 量 占 拦 截 总 量 的 3 7 . 8 7 % ， 具 体 感 染 行 业 分 布 如 下 图 所 示 ：
图 6   受 害 行 业 分 布 二 、 二 、 2 0 1 9 上 半 年 恶 意 挖 矿 典 型 特 征 上 半 年 恶 意 挖 矿 典 型 特 征 2 . 1   弱 口 令 爆 破 、 社 会 工 程 为 主 要 威 胁 弱 口 令 爆 破 、 社 会 工 程 为 主 要 威 胁 安 全 对 抗 的 本 质 是 成 本 对 抗 ， 投 入 产 出 比 是 黑 产 团 伙 首 要 考 虑 的 因 素 。 出 于 成 本 和 效 率 的 考 虑 ， 黑 产 常 常 通 过 弱 口 令 爆 破 、 钓 鱼 邮 件 等 方 式 对 服 务 器 攻 击 ， 随 后 对 渗 透 成 功 的 服 务 器 做 标 记 、 留 后 门 ， 最 终 长 期 控 制 服 务 器 。 案 例 案 例 1 2 0 1 9 年 1 月 某 客 户 中 了 挖 矿 病 毒 ， 经 分 析 黑 产 从 2 0 1 8 年 1 2 月 2 8 号 对 客 户 进 行 密 集 远 程 爆 破 攻 击 ， 如 下 图 所 示 ： 远 程 爆 破 成 功 后 ， 释 放 病 毒 ， 该 病 毒 内 置 门 罗 币 挖 矿 程 序 并 伪 装 成 系 统 程 序 R e g e d i t . e x e ， 紧 接 着 执 行 如 下 命 令 开 始 挖 矿 ：
其 中 黑 产 所 使 用 矿 池 为 b . s a n t a n a n b . i n f o ， 且 钱 包 已 收 到 1 3 1 个 门 罗 币 ， 如 下 图 所 示 ： 2 . 2   利 用 通 用 漏 洞 进 行 横 向 渗 透 日 益 严 重 利 用 通 用 漏 洞 进 行 横 向 渗 透 日 益 严 重 2 0 1 9 年 多 个 安 全 漏 洞 被 曝 光 ， 如 C V E - 2 0 1 9 - 0 7 8 6 等 重 大 漏 洞 。 漏 洞 细 节 、 利 用 代 码 大 部 分 可 以 从 网 上 获 取 ， 虽 然 漏 洞 补 丁 已 发 布 但 仍 有 诸 多 用 户 没 有 及 时 进 行 更 新 ， 从 而 使 得 黑 客 有 机 可 乘 。 案 例 案 例 2 2 0 1 9 年 4 月 深 信 服 捕 获 到 到 一 款 新 型 L i n u x 挖 矿 木 马 ， 该 病 毒 利 用 C o n f l u e n c e 漏 洞 传 播 ， 通 过 定 时 下 载 对 病 毒 体 进 行 保 活 ， 同 时 由 于 病 毒 会 杀 掉 包 含 “ h t t p s : / / ” 、 “ h t t p : / / ” 的 进 程 ， 将 导 致 用 户 无 法 下 载 文 件 及 访 问 网 页 ， 挖 矿 进 程 会 导 致 服 务 器 出 现 卡 顿 等 异 常 现 象 。 详 细 分 析 见 h t t p : / / s e c . s a n g f o r . c o m . c n / e v e n t s / 2 3 1 . h t m l 。 案 例 案 例 3 2 0 1 9 年 4 月 深 信 服 捕 获 到 挖 矿 木 马 D D G 的 最 新 变 种 ， 自   2 0 1 7   年 底 至 今 D D G   挖 矿 僵 尸 网 络 已 更 新 多 个 变 种 版 本 并 一 直 保 持 着 极 高 的 活 跃 度 。 在 此 之 前 D D G 主 要 通 过 扫 描 S S H 、 R e d i s 数 据 库 和 O r i e n t D B 数 据 库 服 务 器 进 行 门 罗 币 挖 矿 行 为 ， 在 最 新 变 种 中 发 现 其 包 含 m s s q l 、 r e d i s   t h i n k p h p 、 w e b l o g i c 等 多 个 漏 洞 探 测 模 块 ， 如 下 图 所 示 。 详 细 分 析 见 h t t p : / / s e c . s a n g f o r . c o m . c n / e v e n t s / 2 2 6 . h t m l 。
案 例 案 例 4
2 0 1 9 年 7 月 ， 深 信 服 安 全 团 队 监 测 到 一 款 名 为 Z o m b i e B o y 的 木 马 悄 然 感 染 国 内 外 多 个 行 业 的 数 万 设 备 。 该 木 马 包 含 内 网 扫 描 、 “ 永 恒 之 蓝 ” 漏 洞 利 用 、 “ 双 脉 冲 星 ” 后 门 、 挖 矿 工 具 等 多 个 恶 意 模 块 ， 是 一 款 集 传 播 、 远 控 、 挖 矿 功 能 为 一 体 的 混 合 型 木 马 。 从 深 信 服 的 云 脑 监 测 数 据 来 看 ， 近 期 该 木 马 利 用 通 用 漏 洞 在 各 个 行 业 迅 速 扩 散 ， 全 国 各 省 以 及 国 外 用 户 均 存 在 感 染 现 象 ， 其 中 感 染 量 T O P 5 区 域 分 别 为 广 东 省 、 浙 江 省 、 北 京 市 、 上 海 市 、 江 西 省 。 详 细 分 析 见 h t t p s : / / m p . w e i x i n . q q . c o m / s / u w u 5 A m L F V 0 B b 9 e G C - 7 l 3 u w 。 2 . 3   隐 蔽 性 强 、 集 成 模 块 多 、 对 抗 检 测 手 段 多 隐 蔽 性 强 、 集 成 模 块 多 、 对 抗 检 测 手 段 多 纵 观 终 端 安 全 发 展 史 ， 实 际 可 以 归 纳 为 “ 反 恶 意 程 序 的 对 抗 史 ” 。 早 期 的 挖 矿 进 程 行 为 比 较 “ 粗 暴 ” ， 用 户 中 挖 矿 木 马 时 能 明 显 察 觉 到 “ 卡 顿 ” “ 机 箱 风 扇 声 音 大 ” 等 ， 这 时 更 多 的 是 “ 就 是 干 、 一 把 梭 ” 谋 取 短 期 收 益 。 但 随 着 与 杀 软 的 对 抗 ， 如 今 挖 矿 木 马 更 倾 向 于 可 持 续 发 展 、 长 期 潜 伏 、 横 向 传 播 能 力 强 。 案 例 案 例 5 2 0 1 9 年 6 月 ， 深 信 服 安 全 团 队 捕 获 到 B l u e h e r o 挖 矿 蠕 虫 最 新 变 种 ， 该 挖 矿 蠕 虫 集 多 种 功 能 为 一 体 ， 释 放 后 门 程 序 窃 取 主 机 信 息 ， 释 放 M i m i k a t z 模 块 、 嗅 探 模 块 、 “ 永 恒 之 蓝 ” 攻 击 模 块 、 L N K 漏 洞 利 用 模 块 （ C V E - 2 0 1 7 - 8 4 6 4 ） 进 行 传 播 和 反 复 感 染 ， 最 终 释 放 挖 矿 模 块 进 行 挖 矿 ； 该 挖 矿 蠕 虫 对 抗 检 测 手 段 包 括 释 放 的 样 本 采 用 随 机 生 成 名 字 ， 关 闭 主 机 防 火 墙 、 网 络 共 享 、 杀 毒 软 件 ， 创 建 计 划 任 务 、 启 动 项 、 服 务 实 现 自 启 动 ； 更 替 C & C 域 名 ， 如 a 4 6 . b u l e h e r o . i n 、 a 4 7 . b u l e h e r o . i n 、 a 8 8 . h e r o h e r o h e r o . i n f o 、 f i d . h o g n o o b . s e 、 q 1 a . h o g n o o b . s e 、 u i o . h o g n o o b . s e 等 ； B l u e h e r o 挖 矿 蠕 虫 变 种 流 程 如 下 图 ， 详 细 分 析 见 h t t p : / / s e c . s a n g f o r . c o m . c n / e v e n t s / 2 4 8 . h t m l 。 2 . 4   公 有 云 服 务 器 遭 渗 透 ， 挖 矿 木 马 呈 现 蠕 虫 化 趋 势 公 有 云 服 务 器 遭 渗 透 ， 挖 矿 木 马 呈 现 蠕 虫 化 趋 势 黑 产 为 了 将 利 益 最 大 化 ， 常 常 通 过 批 量 远 程 爆 破 、 漏 洞 利 用 、 病 毒 木 马 方 式 等 达 到 控 制 公 有 云 服 务 器 ， 最 终 形 成 挖 矿 僵 尸 网 络 。 这 种 做 法 成 本 低 且 能 获 取 大 量 算 力 ， 导 致 企 业 公 有 云 服 务 器 成 了 黑 产 主 要 攻 击 目 标 。 案 例 案 例 6 2 0 1 9 年 2 月 ， 深 信 服 安 全 团 队 追 踪 到 公 有 云 上 及 外 部 L i n u x 服 务 器 存 在 大 量 被 入 侵 ， 表 现 为 / t m p 临 时 目 录 存 在 w a t c h d o g s 文 件 ， 出 现 了 c r o n t a b 任 务 异 常 、 网 络 异 常 、 系 统 文 件 被 删 除 、 C P U 异 常 卡 顿 等 情 况 ， 严 重 影 响 用 户 业 务 。 最 终 经 过 分 析 确 认 ， 用 户 L i n u x 服 务 器 被 植 入 新 型 恶 意 挖 矿 蠕 虫 ， 并 将 其 命 名 为 W a t c h D o g s M i n e r ， 该 病 毒 基 于 R e d i s 未 授 权 访 问 、 集 成 S S H 爆 破 实 现 内 外 网 的 蠕 虫 式 传 播 。 该 病 毒 流 程 如 下 图 所 示 ， 详 细 分 析 见 h t t p : / / s e c . s a n g f o r . c o m . c n / e v e n t s / 2 0 5 . h t m l 。
三 、 防 护 建 议 三 、 防 护 建 议 2 0 1 9 上 半 年 挖 矿 木 马 攻 击 数 量 呈 增 长 趋 势 ， 捕 获 的 样 本 种 类 也 日 益 增 多 ， 且 近 几 个 月 比 特 币 价 格 一 路 高 涨 ， 故 预 测 下 半 年 挖 矿 黑 产 活 跃 度 会 增 加 ， 社 会 工 程 、 弱 口 令 、 漏 洞 利 用 等 方 式 是 主 要 攻 击 手 段 ， 黑 产 所 使 用 的 挖 矿 木 马 也 将 更 隐 蔽 、 横 向 渗 透 更 强 、 集 成 模 块 更 多 ， 安 全 对 抗 也 愈 发 激 烈 。 对 于 有 效 预 防 和 对 抗 海 量 威 胁 ， 需 要 选 择 更 强 大 和 更 智 能 的 防 护 体 系 。 杜 绝 使 用 弱 口 令 ， 避 免 一 密 多 用 ； 及 时 更 新 重 要 补 丁 和 升 级 组 件 ； 部 署 加 固 软 件 ， 关 闭 非 必 要 端 口 ； 对 来 历 不 明 的 程 序 、 文 档 、 邮 件 等 需 提 高 警 戒 ， 切 勿 随 意 打 开 ； 主 动 进 行 安 全 评 估 ， 加 强 人 员 安 全 意 识 。 * 本 文 作 者 ： 本 文 作 者 ： 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 深 信 服 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理