搜索

[28055] 2020-01-13_全勤矿工systeMiner最新变种利用暗网代理下载恶意模块

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-01-13_全勤矿工systemdMiner最新变种利用暗网代理下载恶意模块 全 勤 矿 工 s y s t e m d M i n e r 最 新 变 种 利 用 暗 网 代 理 下 载 恶 意 模 块 O t s 安 全   2 0 2 0 - 0 1 - 1 3 近 日 ， 深 信 服 安 全 团 队 捕 获 到 一 款 新 型 的 L i n u x 挖 矿 木 马 ， 该 木 马 通 过 b a s h 命 令 下 载 执 行 多 个 功 能 模 块 ， 通 过 S S H 暴 力 破 解 、 S S H 免 密 登 录 利 用 、 H a d o o p   Y a r n 未 授 权 访 问 漏 洞 和 自 动 化 运 维 工 具 内 网 扩 散 ， 且 该 木 马 的 文 件 下 载 均 利 用 暗 网 代 理 ， 感 染 后 会 清 除 主 机 上 的 其 他 挖 矿 木 马 ， 以 达 到 资 源 独 占 的 目 的 。 感 染 现 象 感 染 现 象 被 感 染 的 L i n u x 服 务 器 上 ， 可 以 明 显 看 到 一 个 C P U 占 用 率 很 高 的 进 程 ， 名 字 为 随 机 字 符 ： 查 看 进 程 对 应 的 可 执 行 文 件 ， 是 以 一 串 疑 似 M D 5 的 字 符 命 名 （ 并 非 文 件 真 实 M D 5 ） ， 但 已 经 被 删 除 ： 通 过 c r o n t a b   – l 命 令 可 以 看 到 可 疑 的 定 时 任 务 ：
定 时 任 务 对 应 的 s h 脚 本 内 容 为 b a s e 6 4 编 码 过 的 命 令 ： 病 毒 母 体 病 毒 母 体 - i n t 该 E L F 文 件 是 作 为 病 毒 的 母 体 和 守 护 进 程 ， 运 行 后 会 将 自 身 进 程 名 重 命 名 为 一 个 随 机 的 字 符 串 ： 删 除 自 身 对 应 的 可 执 行 文 件 ： 解 码 并 创 建 目 录 / t m p / . X 1 1 - u n i x ， 检 测 目 录 中 是 否 存 在 0 0 文 件 ， 该 文 件 是 用 于 记 录 进 程 的 p i d ：
创 建 子 进 程 通 过 s e t s i d ， 将 子 进 程 脱 离 当 前 会 话 并 且 创 建 新 的 会 话 并 将 新 的 会 话 进 程 I D 写 入 / t m p / . X 1 1 - u n i x / 0 0 文 件 ： 执 行 b a s e 6 4 编 码 的 b a s h 命 令 ， 共 有 5 个 不 同 的 b a s h 命 令 ， 分 别 用 于 下 载 不 同 模 块 和 执 行 不 同 的 功 能 ： b a s h - 0 1   本 机 持 久 化 本 机 持 久 化
解 码 后 的 内 容 如 下 ， 功 能 是 用 于 创 建 定 时 任 务 . x z f i x . s h ： 定 时 任 务 的 内 容 解 码 后 如 下 ， 功 能 为 下 载 i n t 文 件 ： b a s h - 0 2   内 网 传 播 内 网 传 播 主 要 功 能 为 下 载 脚 本 卸 载 安 防 产 品 （ 其 中 阿 里 云 的 安 骑 士 、 腾 讯 云 的 云 镜 等 产 品 ） ：
下 载 可 执 行 文 件 t r c 和 b o t ： 其 中 t r c 文 件 用 于 H a d o o p   Y a r n 未 授 权 访 问 漏 洞 利 用 ， 运 行 时 会 将 自 身 进 程 I D 写 入 / t m p / . X 1 1 - u n i x / 2 文 件 中 ： 获 取 当 前 所 有 的 节 点 ， 并 且 对 本 地 网 络 进 行 漏 洞 攻 击
其 漏 洞 执 行 命 令 如 下 ， 该 命 令 会 下 载 病 毒 程 序 h d 进 行 进 一 步 感 染 ： 除 漏 洞 利 用 外 ， 该 挖 矿 木 马 还 会 通 过 s s h 暴 力 破 解 进 行 内 网 传 播 ：
利 用 运 维 工 具 （ a n s i b l e 、 k n i f e 、 s a l t ） 对 内 网 服 务 器 进 行 批 量 感 染 ， 利 用 s s h 远 程 执 行 命 令 ， 命 令 通 过 b a s e 6 4 解 码 后 是 下 载 病 毒 母 体 i n t ： b a s h - 0 3   竞 争 对 手 清 理 竞 争 对 手 清 理 清 除 服 务 器 上 其 他 的 挖 矿 木 马 ， 改 写 h o s t s 文 件 让 其 他 挖 矿 无 法 访 问 对 应 的 域 名 ， 以 达 到 独 占 的 目 的 ： b a s h - 0 4   下 载 挖 矿 下 载 挖 矿 下 载 可 执 行 文 件 c p u ：
该 文 件 为 挖 矿 程 序 ： b a s h - 0 5   状 态 控 制 状 态 控 制 下 载 c m d 脚 本 ：
c m d 脚 本 中 的 命 令 功 能 是 当 主 机 网 络 无 法 连 接 到 矿 池 时 ， 会 结 束 掉 自 身 的 挖 矿 进 程 ， 增 强 隐 蔽 性 ： 原 文 链 接 ： 全 勤 矿 工 s y s t e m d M i n e r 最 新 变 种 利 用 暗 网 代 理 下 载 恶 意 模 块 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理