搜索

[12376] 2018-02-19_SSH僵尸主机挖矿木马预警

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2018-02-19_SSH僵尸主机挖矿木马预警 S S H 僵 尸 主 机 挖 矿 木 马 预 警 瀚 思 科 技   F r e e B u f   2 0 1 8 - 0 2 - 1 9 X M R （ 门 罗 币 ） 是 目 前 比 特 币 等 电 子 货 币 的 一 种 ， 以 其 匿 名 性 ， 支 持 （ 门 罗 币 ） 是 目 前 比 特 币 等 电 子 货 币 的 一 种 ， 以 其 匿 名 性 ， 支 持 C P U 挖 矿 ， 以 及 不 菲 的 价 格 等 特 点 ， 得 挖 矿 ， 以 及 不 菲 的 价 格 等 特 点 ， 得 到 了 到 了 “ 黑 产 黑 产 ” 的 青 睐 。 瀚 思 科 技 挖 掘 出 黑 产 利 用 互 联 网 服 务 器 进 行 挖 矿 的 通 用 模 式 ， 以 及 多 个 挖 矿 后 台 更 新 服 务 的 青 睐 。 瀚 思 科 技 挖 掘 出 黑 产 利 用 互 联 网 服 务 器 进 行 挖 矿 的 通 用 模 式 ， 以 及 多 个 挖 矿 后 台 更 新 服 务 器 。 攻 击 和 挖 矿 方 式 显 示 黑 产 组 织 在 相 互 竞 争 、 木 马 更 新 等 方 面 较 去 年 又 上 了 一 个 台 阶 。 器 。 攻 击 和 挖 矿 方 式 显 示 黑 产 组 织 在 相 互 竞 争 、 木 马 更 新 等 方 面 较 去 年 又 上 了 一 个 台 阶 。 门 罗 币 价 格 走 势 图 事 件 描 述 事 件 描 述 近 日 ， 黑 客 利 用 S S H 暴 力 破 解 服 务 器 后 种 植 挖 矿 木 马 ， 我 们 追 踪 到 了 其 多 个 后 台 更 新 服 务 器 。 黑 客 攻 击 服 务 器 与 种 植 挖 矿 木 马 过 程 包 括 三 个 步 骤 ： 1 .   攻 击 者 探 测 S S H 服 务 2 .   攻 击 者 对 S S H 服 务 账 户 和 密 码 进 行 暴 力 破 解 3 .   一 旦 暴 力 破 解 成 功 ， 攻 击 者 远 程 下 载 并 运 行 挖 矿 程 序 下 图 是 一 个 挖 矿 木 马 后 台 服 务 器 的 截 图 ， 从 图 中 可 以 看 出 1 1 6 . 1 9 6 . 1 2 0 . 2 0 这 台 服 务 器 从 2 0 1 8 年 1 月 2 6 日 1 4 点 开 始 ， x m . s h ( 下 载 器 程 序 ) 已 经 被 下 载 过 1 2 7 7 次 。 在 对 其 监 控 的 过 程 中 ， 发 现 各 个 程 序 也 在 做 频 繁 的 更 新 。
其 中 ： 1 .   程 序 C a r b o n 是 实 际 使 用 的 挖 矿 程 序 。 2 .   文 件 x m . s h 是 在 成 功 登 录 服 务 器 后 执 行 的 s h e l l 程 序 。 这 段 代 码 包 括 了 三 部 分 ： ·   攻 击 者 首 先 杀 掉 其 他 的 挖 矿 程 序 ， 来 保 证 自 身 的 收 益 。 注 ： 黑 产 中 的 竞 争 也 是 越 来 越 激 烈 了 。 ·   远 程 下 载 服 务 器 上 对 应 的 挖 矿 程 序 。 ·   配 置 好 矿 池 以 及 钱 包 地 址 ， 执 行 挖 矿 程 序 。 3 . 文 件 x m m . s h 是 更 新 后 的 s h e l l 程 序 ， 与 x m . s h 相 比 ， 修 改 了 矿 池 链 接 。 目 的 是 选 择 更 高 算 力 的 矿 池 。
  4 . 程 序 1 . p s 1 是 w i n d o w s 平 台 下 类 似 x m . s h 的 脚 本 程 序 ， 同 样 实 现 类 似 的 三 个 功 能 ， 首 先 k i l l 其 他 的 挖 矿 程 序 ， 然 后 远 程 下 载 服 务 器 上 对 应 的 的 挖 矿 程 序 ， 最 后 配 置 好 矿 池 以 及 钱 包 地 址 ， 执 行 挖 矿 程 序 。 5 . 程 序 S e r v e r . e x e 是 一 个 远 控 木 马 程 序 ， 在 执 行 后 连 接 d x . 7 7 7 c r a f t . c o m : 7 7 7 7 。 挖 矿 黑 客 之 间 的 竞 争 愈 发 激 烈 挖 矿 黑 客 之 间 的 竞 争 愈 发 激 烈 对 比 之 前 发 现 的 同 类 型 挖 矿 木 马 ， 本 次 发 现 的 挖 矿 木 马 在 代 码 上 已 经 有 了 进 一 步 的 提 升 ， 之 前 发 现 的 挖 矿 脚 本 ， 主 要 杀 掉 具 体 进 程 名 ， 目 前 主 要 根 据 矿 池 信 息 杀 掉 挖 矿 进 程 ， 扩 大 了 有 效 范 围 。 下 图 是 两 种 类 型 挖 矿 木 马 杀 掉 其 他 木 马 的 方 式 比 较 ： 黑 客 的 获 利 估 计 黑 客 的 获 利 估 计 从 目 前 的 样 本 获 取 的 钱 包 地 址 来 看 ， 之 前 的 挖 矿 币 池 已 经 向 攻 击 者 的 钱 包 提 交 了 3 4 个 X M R （ 约 合 8 5 0 0 美 元 ， 以 当 天 价 格 $ 2 5 0 计 算 ） 。 但 由 于 被 矿 池 判 定 为 僵 尸 网 络 非 法 挖 矿 ， 该 钱 包 剩 余 的 7 个 X M R 已 被 冻 结 ：
因 此 ， 攻 击 者 通 过 杀 掉 了 自 己 之 前 的 挖 矿 程 序 ， 再 次 注 册 了 新 的 钱 包 地 址 进 行 挖 矿 ， 目 前 新 地 址 钱 包 的 金 额 如 下 图 ， 可 以 看 出 1 5 天 前 已 经 修 改 了 新 的 挖 矿 地 址 。 从 目 前 掌 握 的 情 报 ， 综 合 溯 源 到 的 1 0 多 台 服 务 器 访 问 信 息 、 钱 包 地 址 ， 该 攻 击 者 目 前 至 少 已 经 控 制 了 3 万 多 台 主 机 ， 获 取 了 约 3 0 0 多 个 门 罗 币 ， 以 目 前 的 X M R （ 门 罗 币 ） 价 格 已 近 1 0 万 美 元 。 挖 矿 相 关 挖 矿 相 关 I o C ： ： I P 地 址 ： d o m a i n ： 钱 包 地 址 ： * 本 文 作 者 ： 瀚 思 科 技 ， 转 载 请 注 明 来 自 本 文 作 者 ： 瀚 思 科 技 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 1 1 6 . 1 9 6 . 8 6 . 2 4 6 : 7 8 0 0 1 1 6 . 1 9 6 . 1 2 0 . 2 0 : 7 8 0 0 2 1 0 . 7 6 . 6 3 . 2 0 7 : 3 7 2 1 1 8 2 . 1 8 . 2 2 . 7 1 : 8 0 d x . 7 7 7 c r a f t . c o m : 7 7 7 7 4 6 S D R 7 6 r J 2 J 6 M t m P 3 Z Z K i 9 c E A 5 R Q C r Y g a g 7 L a 3 C x E o o t Q e A Q U L P E 2 C H J Q 4 M R Z 5 w Z 1 T 7 3 K w 6 K x 4 L a i 2 d F L A a c j e r b P z b 5 U f g 4 7 X 8 k n n X f d 2 W W r 7 q 3 D i g P T T S i A t p q a w V m h Q u C G z T B m m U L y 7 5 u 7 K y Z M Z P z n 1 r 2 3 o H n 3 Q U J F c w B q p 6 r b a J A z i g r 9 U 5 S s c p V W 8
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理