搜索

[14233] 2019-06-15_黑客利用SSH弱密码攻击控制Linux服务器，潜在目标约十万IP天

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-15_黑客利用SSH弱密码攻击控制Linux服务器，潜在目标约十万IP天 黑 客 利 用 S S H 弱 密 码 攻 击 控 制 L i n u x 服 务 器 ， 潜 在 目 标 约 十 万 I P 天 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 9 - 0 6 - 1 5 一 、 概 述 一 、 概 述 本 周 腾 讯 安 全 服 务 中 心 接 到 客 户 求 助 ， 客 户 部 署 的 腾 讯 御 界 高 级 威 胁 检 测 系 统 发 现 本 周 腾 讯 安 全 服 务 中 心 接 到 客 户 求 助 ， 客 户 部 署 的 腾 讯 御 界 高 级 威 胁 检 测 系 统 发 现 S S H 服 务 失 陷 感 知 信 息 ， 该 公 司 安 全 管 理 服 务 失 陷 感 知 信 息 ， 该 公 司 安 全 管 理 人 员 及 时 联 络 腾 讯 安 全 专 家 协 助 分 析 威 胁 来 源 。 人 员 及 时 联 络 腾 讯 安 全 专 家 协 助 分 析 威 胁 来 源 。 腾 讯 安 全 工 程 师 在 征 得 客 户 同 意 后 对 客 户 机 器 进 行 远 程 取 证 ， 客 户 机 部 署 在 客 户 的 私 有 云 上 ， 结 合 御 界 的 关 键 日 志 ， 我 们 发 现 这 是 一 起 针 对 S S H 服 务 器 弱 口 令 爆 破 攻 击 事 件 ， 由 于 发 现 及 时 ， 工 程 师 及 时 协 助 客 户 进 行 隔 离 及 杀 毒 ， 并 未 造 成 损 失 。 根 据 这 一 线 索 ， 腾 讯 安 全 御 见 威 胁 情 报 中 心 展 开 事 件 调 查 ， 结 果 发 现 ， 这 是 一 起 专 业 黑 客 组 织 发 起 的 攻 击 事 件 ： 攻 击 者 利 用 S S H 弱 口 令 爆 破 成 功 后 会 植 入 S S H 后 门 以 及 I R C b o t 后 门 程 序 ， 并 通 过 S S H 弱 口 令 在 内 网 横 向 传 播 ， 受 害 机 器 接 收 远 程 指 令 安 装 （ 包 括 但 不 限 于 ） 挖 矿 、 D D o S 攻 击 模 块 。 该 黑 客 组 织 使 用 的 基 础 设 施 分 布 于 多 个 国 家 ， 包 括 俄 罗 斯 、 美 国 、 法 国 、 罗 马 尼 亚 、 荷 兰 、 新 加 坡 等 ， 该 组 织 的 攻 击 目 标 同 样 遍 布 世 界 各 地 ， 潜 在 的 攻 击 目 标 每 天 约 十 万 个 I P 的 量 级 。 该 组 织 控 制 的 一 个 门 罗 币 钱 包 已 挖 到 近 2 0 0 个 门 罗 币 ， 市 值 约 1 2 万 元 人 民 币 。 二 、 详 细 分 析 二 、 详 细 分 析 根 据 腾 讯 御 界 日 志 记 录 ， 该 黑 客 团 伙 在 对 目 标 S S H 服 务 器 进 行 多 达 4 千 次 连 接 尝 试 ， 最 终 爆 破 弱 密 码 成 功 。 由 于 受 害 S S H 服 务 器 使 用 了 较 弱 的 密 码 ， 在 1 7 点 2 3 分 ， 黑 客 爆 破 成 功
我 们 从 受 害 机 器 提 取 了 两 个 病 毒 文 件 / d e v / s h m / . s a t a n 及 / d e v / s h m / r p , 经 分 析 . s a t a n   下 载 5 4 . 3 7 . 7 0 . 2 4 9 / p s 并 执 行 ， p s 是 一 款 s s h 服 务 端 ， 程 序 启 动 后 会 监 控 本 机 2 2 端 口 ， 修 改 S S H 授 权 ， 允 许 黑 客 远 程 免 密 登 录 ， 需 要 在 受 害 机 器 上 存 储 黑 客 公 匙 。 添 加 成 功 后 把 本 机 信 息 发 送 到 黑 客 服 务 器 ， 共 内 置 三 个 服 务 器 地 址 。 z e r g b a s e . m o o o . c o m 5 . 2 5 5 . 8 6 . 1 2 9   （ 荷 兰 ） m a g e . i g n o r e l i s t . c o m   （ 美 国 ） r p 是 一 段 加 密 的 p e r l 代 码 解 密 后 可 以 看 到 是 p e r l 版 的 i r c b o t 后 门
C & C ： 1 4 6 . 1 8 5 . 1 7 1 . 2 2 7 （ 荷 兰 ） 后 门 功 能 包 括 f l o o d 攻 击 以 及 云 执 行 代 码 。 经 分 析 发 现 ， 黑 客 目 前 会 下 发 挖 矿 的 s h e l l 程 序 ， s h e l l 首 先 下 载 5 4 . 3 7 . 7 0 . 2 4 9 / d o t a . t a r . g z   （ 该 I P 位 于 法 国 ）
解 压 后 d o t a 目 录 结 构 执 行 d o t a / . r s y n c / i n i t a l l ， I n s t a l l 做 一 些 清 理 准 备 工 作 后 ， 执 行 i n i t 功 能 I n i t 中 清 理 自 身 挖 矿 进 程 ， 并 设 置 启 动 项 d o t a / . r s y n c / a 目 录 结 构
接 着 执 行 d o t a / . r s y n c / a / a ， a 脚 本 执 行 i n i t 0 ， i n i t 0 是 专 门 结 束 竞 品 的 s h e l l 程 序 挖 矿 程 序 启 动 后 会 结 束 大 部 分 挖 矿 软 件 的 进 程 , 并 删 除 其 他 挖 矿 软 件 相 关 文 件 ， 独 占 资 源 。 继 续 执 行 a n a c r o n ， a n a c r o n 是 基 于 x m r i g 2 . 1 4 修 改 的 l i n u x 平 台 挖 矿 木 马 矿 池 ： 5 . 2 5 5 . 8 6 . 1 2 9 : 8 0   （ 荷 兰 ） 1 0 7 . 1 9 1 . 9 9 . 2 2 1 : 8 0 （ m o n e r o h a s h . c o m ， 美 国 ） w o r k f o r c e . i g n o r e l i s t . c o m 目 前 该 钱 包 已 经 挖 到 1 9 5 X M R ， 按 2 0 1 9 0 6 0 5 均 价 来 算 ， 市 值 约 1 2 万 人 民 币 执 行 d o t a / . r s y n c / b / a ， b / a 最 终 执 行 p s ， p s 是 上 面 讲 的 s s h 后 门 服 务 端 ， 方 便 黑 客 远 程 免 密 s s h 登 录 。
接 着 执 行 c 目 录 的 s t a r t ， 联 网 下 载 要 爆 破 的 服 务 器 地 址 ， 端 口 ， 以 及 一 些 字 典 三 个 服 务 器 轮 询 下 载 ： 4 6 . 1 0 1 . 1 1 3 . 2 0 6 （ 俄 罗 斯 ） 1 4 1 . 8 5 . 2 4 1 . 1 1 3 （ 罗 马 尼 亚 ） s e z . s t r a n g l e d . n e t   （ 美 国 ） 三 个 服 务 器 上 ， 路 径 / a /   x t r 存 放 的 是 字 典 服 务 器 地 址 ， 当 前 为 2 0 2 . 1 3 6 . 1 7 0 . 2 7 （ 新 加 坡 ） ， 这 个 地 址 每 隔 几 天 都 会 更 新 。 2 0 2 . 1 3 6 . 1 7 0 . 2 7 / a / a 存 放 的 是 将 要 爆 破 的 服 务 器 地 址 和 端 口 ， 目 前 列 表 中 被 攻 击 的 I P 超 过 3 万 个 ， 爆 破 成 功 的 ， 或 爆 破 不 成 功 的 I P 均 会 从 列 表 中 删 除 ， 被 攻 击 的 目 标 I P 仍 在 不 断 更 换 和 增 加 中 。 我 们 推 测 ， 每 天 潜 在 的 攻 击 I P 约 为 十 万 量 级 。 2 0 2 . 1 3 6 . 1 7 0 . 2 7 / a / b 存 放 的 是 弱 口 令 字 典
执 行 目 录 下 的 t s m 传 入 要 爆 破 的 I P 和 字 典 爆 破 成 功 后 远 程 执 行 s h e l l 脚 本 下 载 执 行 5 4 . 3 7 . 7 0 . 2 4 9 / r p 以 及 5 4 . 3 7 . 7 0 . 2 4 9 / . s a t a n   （ 5 4 . 3 7 . 7 0 . 2 4 9 位 于 法 国 ） ， 在 新 受 害 机 器 上 重 复 以 上 动 作 。 三 、 安 全 建 议 三 、 安 全 建 议 本 次 事 件 由 于 发 现 及 时 ， 部 署 腾 讯 御 界 高 级 威 胁 检 测 系 统 的 客 户 并 未 遭 遇 损 失 ， 但 溯 源 发 现 每 天 约 十 万 台 S S H 服 务 器 被 列 入 攻 击 目 标 。 腾 讯 安 全 专 家 建 议 企 业 用 户 高 度 警 惕 ， 采 取 以 下 措 施 防 止 企 业 S S H 服 务 器 被 该 团 伙 入 侵 控 制 。 1 、   用 密 钥 登 录 ， 不 要 用 密 码 登 录 2 、 使 用 安 全 的 密 码 策 略 ， 使 用 高 强 度 密 码 ， 切 勿 使 用 弱 口 令 ， 防 止 黑 客 暴 力 破 解 3 、 开 S S H 只 监 听 本 地 内 网 I P 4 、 尽 量 不 给 服 务 器 外 网 I P 5 、 推 荐 部 署 腾 讯 御 界 高 级 威 胁 检 测 系 统 。 御 界 高 级 威 胁 检 测 系 统 ， 是 基 于 腾 讯 反 病 毒 实 验 室 的 安 全 能 力 、 依 托 腾 讯 安 全 在 云 和 端 的 海 量 数 据 ， 研 发 出 的 独 特 威 胁 情 报 和 恶 意 检 测 模 型 系 统 。 企 业 管 理 员 也 可 手 动 清 除 该 病 毒 ： 删 除 以 下 文 件 & 目 录 ： / d e v / s h m / . s a t a n / d e v / s h m / r p / t m p / . X 1 3 - u n i x
/ t m p / d o t a 删 除 启 动 项 ： / t m p / d a t a / . r s y n c / a / u p d / t m p / d a t a / . r s y n c / b / s y n c I O C s D o m a i n z e r g b a s e . m o o o . c o m s e z . s t r a n g l e d . n e t m a g e . i g n o r e l i s t . c o m w o r k f o r c e . i g n o r e l i s t . c o m I P 4 6 . 1 0 1 . 1 1 3 . 2 0 6 1 4 1 . 8 5 . 2 4 1 . 1 1 3 2 0 2 . 1 3 6 . 1 7 0 . 2 7 1 0 3 . 2 4 8 . 2 1 1 . 1 9 8 5 4 . 3 7 . 7 0 . 2 4 9 5 . 2 5 5 . 8 6 . 1 2 9 1 4 6 . 1 8 5 . 1 7 1 . 2 2 7 U R L s h t t p [ : ] / / 5 5 4 . 3 7 . 7 0 . 2 4 9 / r p h t t p [ : ] / / 5 5 4 . 3 7 . 7 0 . 2 4 9 / d o t a . t a r . g z h t t p [ : ] / / 5 5 4 . 3 7 . 7 0 . 2 4 9 / p s h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / a n a c r o n h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / c r o n h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / d o t a 2 . t a r . g z h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / p 1 h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / r s y n c h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / s s l m . t a r . g z h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / . x 1 5 c a c h e h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / t d d w r t 7 s . s h h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / l a n . s h h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / . s a t a n h t t p [ : ] / / 5 4 . 3 7 . 7 0 . 2 4 9 / m i n l o c . s h h t t p [ : ] / / 2 0 2 . 1 3 6 . 1 7 0 . 2 7 / a / b h t t p [ : ] / / 2 0 2 . 1 3 6 . 1 7 0 . 2 7 / a / a
h t t p [ : ] / / 4 6 . 1 0 1 . 1 1 3 . 2 0 6 / a / x t r h t t p [ : ] / / 1 4 1 . 8 5 . 2 4 1 . 1 1 3 / a / x t r h t t p [ : ] / / s e z . s t r a n g l e d . n e t / a / x t r h t t p [ : ] / / z e r g b a s e . m o o o . c o m / d o t a . t a r . g z h t t p [ : ] / / z e r g b a s e . m o o o . c o m / h e l l o h t t p [ : ] / / z e r g b a s e . m o o o . c o m / t h t t p [ : ] / / 5 . 2 5 5 . 8 6 . 1 2 9 / s s l m . t a r . g z h t t p [ : ] / / 5 . 2 5 5 . 8 6 . 1 2 9 / d o t a . t a r . g z h t t p [ : ] / / 5 . 2 5 5 . 8 6 . 1 2 9 / l a n . s h h t t p [ : ] / / 5 . 2 5 5 . 8 6 . 1 2 9 / m l . t a r . g z h t t p [ : ] / / 5 . 2 5 5 . 8 6 . 1 2 9 / h u b b l e . t a r . g z h t t p [ : ] / / 5 . 2 5 5 . 8 6 . 1 2 9 / m i n l o c . s h 钱 包 钱 包 4 5 U c b v L N a y e f q N a d 3 t G p H K P z v i Q U Y H F 1 m C a p M h g R u i i A J P Y X 4 K y R C V g 9 v e T m c k P N 7 b D e b x 5 1 L C u D Q Y y h F g V b U M h c 4 q Y 1 4 C Q * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理