搜索

[16959] 2021-06-27_防火墙捕获僵尸网络木马对云主机的攻击，作者自称“无所不能”

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2021-06-27_防火墙捕获僵尸网络木马对云主机的攻击，作者自称“无所不能” 防 火 墙 捕 获 僵 尸 网 络 木 马 对 云 主 机 的 攻 击 ， 作 者 自 称 “ 无 所 不 能 ” 腾 讯 电 脑 管 家   F r e e B u f   2 0 2 1 - 0 6 - 2 7 摘 要 摘 要 本 次 攻 击 具 备 以 下 特 点 ： 1 . 攻 击 者 通 过 S h i r o 1 . 2 . 4 反 序 列 化 漏 洞 攻 击 云 主 机 ； 2 . S a t a n   D D o S 僵 尸 网 络 木 马 具 备 D D o S 、 挖 矿 、 后 门 能 力 ； 3 . 作 者 自 称 支 持 可 攻 击 多 平 台 ， 木 马 支 持 多 架 构 ， 可 利 用 多 个 漏 洞 攻 击 传 播 ， 包 括 通 过 F T P 、 I P C 、 S M B 、 W M I 、 M S S Q L 、 E t e r n a l B l u e 、 E t e r n a l r o m a n c e 、 C V E - 2 0 1 7 - 8 4 6 4 、 T h i n k p h p 、 H F S 、 p h p s t u d y 、 L a r a v e l 、 d u r p a l 、 S h a r e d d i s k 、 s h a r e d i r e c t o r y … … … … 等 等 多 种 漏 洞 利 用 方 式 攻 击 传 播 。 相 关 能 力 已 被 国 外 安 全 厂 商 证 实 ； 4 . 挖 矿 时 会 清 除 竞 品 木 马 ； 5 . 具 备 t c p ， u d p ， h t t p ， i c m p ， s y n 等 多 种 流 量 攻 击 模 式 。 一 、 概 述 一 、 概 述 腾 讯 安 全 威 胁 情 报 中 心 发 现 ， 有 攻 击 者 通 过 S h i r o 1 . 2 . 4 反 序 列 化 漏 洞 对 云 主 机 发 起 攻 击 活 动 ， 意 图 植 入 名 为 S a t a n   D D o S 的 僵 尸 网 络 木 马 程 序 。 该 僵 尸 网 络 木 马 此 前 主 要 攻 击 W i n d o w s 系 统 ， 作 者 在 恶 意 代 码 中 自 称 “ 可 攻 击 多 平 台 ， 木 马 支 持 多 架 构 ， 可 利 用 多 个 漏 洞 攻 击 传 播 ” 。 已 安 装 腾 讯 云 防 火 墙 的 云 主 机 成 功 拦 截 此 轮 攻 击 ， 而 未 部 署 云 防 火 墙 系 统 的 则 可 能 失 陷 。 分 析 其 L i n u x 版 本 的 E L F 格 式 x 8 6 - 6 4 指 令 集 木 马 样 本 可 知 ， S a t a n   D D o S 僵 尸 网 络 木 马 除 进 行 D D o S 攻 击 以 外 ， 还 会 同 时 下 载 执 行 X M R （ 门 罗 币 ） 矿 工 。 S a t a n   D D o S 僵 尸 网 络 木 马 同 时 具 备 文 件 执 行 、 命 令 执 行 等 系 统 后 门 能 力 。
S a t a n   D D o S 僵 尸 网 络 木 马 去 年 5 月 被 国 外 安 全 厂 商 关 注 ， 为 与 S a t a n 勒 索 病 毒 区 分 ， 国 外 厂 商 将 其 命 名 为 “ L u c i f e r ” 木 马 ， 当 时 主 要 利 用 多 个 高 危 漏 洞 攻 击 W i n d o w s 系 统 。 从 目 前 的 发 现 看 ， 该 团 伙 已 转 向 对 云 主 机 的 进 攻 ， 其 牟 利 方 式 为 ： 控 制 目 标 主 机 组 建 僵 尸 网 络 ， 进 行 门 罗 币 挖 矿 和 D D o S 攻 击 。 清 理 清 理 & 加 固 加 固 腾 讯 安 全 专 家 建 议 企 业 运 维 人 员 使 用 腾 讯 主 机 安 全 对 云 主 机 进 行 文 件 扫 描 ， 亦 可 排 查 以 下 条 目 ， 以 检 测 清 除 威 胁 。 进 程 ： 进 程 ： 排 查 以 下 可 疑 进 程 ： L i n u x * s p r e a d M v w x y a * 文 件 ： 文 件 ： 排 查 以 下 可 疑 文 件 ： / t m p / l i n u x * / t m p / s p r e a d M v w x y a * 启 动 项 ： 启 动 项 ： 排 查 以 下 位 置 是 否 存 在 可 疑 启 动 项 ： / e t c / r c . l o c a l
/ e t c / c r o n t a b 加 固 建 议 ： 加 固 建 议 ： 腾 讯 安 全 专 家 建 议 企 业 运 维 人 员 升 级 s h i r o   组 件 到 无 漏 洞 版 本 （ 高 于 1 . 2 . 4 ） 。 二 、 样 本 分 析 二 、 样 本 分 析 腾 讯 云 防 火 墙 拦 截 到 有 攻 击 者 利 用 s h i r o 1 . 2 . 4 反 序 列 化 漏 洞 攻 击 云 上 主 机 ， 传 播 S a t a n   D D o S 僵 尸 网 络 木 马 （ 载 荷 地 址 ： h x x p : / / 1 1 6 . 2 0 2 . 2 5 1 . 1 2 / l i n u x 6 4 ） 分 析 恶 意 载 荷 为 E L F 文 件 格 式 ， 基 于 x 8 6 - 6 4 指 令 集 ， 分 析 其 代 码 发 现 ， 该 僵 尸 网 络 木 马 自 称 为 “ S a t a n   D D o s 木 马 ” ， 自 称 支 持 可 攻 击 多 平 台 ， 木 马 支 持 多 架 构 ， 可 利 用 多 个 漏 洞 攻 击 传 播 ， 包 括 通 过 F T P 、 I P C 、 S M B 、 W M I 、 M S S Q L 、 E t e r n a l B l u e 、 E t e r n a l r o m a n c e 、 C V E - 2 0 1 7 - 8 4 6 4 、 T h i n k p h p 、 H F S 、 p h p s t u d y 、 L a r a v e l 、 d u r p a l 、 S h a r e d d i s k 、 s h a r e d i r e c t o r y … … … … 等 等 多 种 漏 洞 利 用 方 式 攻 击 传 播 。
进 一 步 分 析 可 知 S a t a n   D D o s 木 马 通 过 设 置 / e t c / r c . l o c a l 、 c r o n t a b 两 种 方 式 实 现 持 久 化 。 S a t a n   D D o s 僵 尸 网 络 用 的 一 些 关 键 配 置 信 息 经 加 密 存 储 ， 对 其 进 行 解 密 后 可 知 其 中 包 含 了 一 系 列 挖 矿 所 需 配 置 ， 配 置 相 关 信 息 如 下 ： 僵 尸 网 络 C 2 ： 1 1 6 . 2 0 2 . 2 5 1 . 1 2 矿 工 使 用 配 置 信 息 ： 矿 池 & 钱 包 ： - o   s t r a t u m + t c p : / / p o o l . s u p p o r t x m r . c o m : 5 5 5 5   - u 4 4 y g o 7 V f w E Y d E b e 1 r u y Z N L f r V 1 9 s n k 3 R E Q p f b 5 L U 9 Y x f 9 8 z 7 W s 9 E Z P P b U g v o z Z y f Y X C b 3 v s R J R T 8 w T G e 3 F i p s L b 9 3 N a D U L N - p   X - o   s t r a t u m + t c p : / / p o o l . s u p p o r t x m r . c o m : 5 5 5 5   - a   c n / r   - u 4 4 y g o 7 V f w E Y d E b e 1 r u y Z N L f r V 1 9 s n k 3 R E Q p f b 5 L U 9 Y x f 9 8 z 7 W s 9 E Z P P b U g v o z Z y f Y X C b 3 v s R J R T 8 w T G e 3 F i p s L b 9 3 N a D U L N - p   X 矿 工 保 存 路 径 ： / t m p / s p r e a d M v w x y a 矿 工 恶 意 载 荷 下 载 地 址 ： h x x p : / / 1 1 6 . 2 0 2 . 2 5 1 . 1 2 / X 6 4
同 时 S a t a n   D D o S 僵 尸 网 络 会 创 建 线 程 作 为 M i n e r 的 守 护 进 程 ， 当 检 测 到 矿 工 文 件 或 进 程 不 存 在 时 ， 会 重 新 下 载 、 执 行 ， 以 保 护 挖 矿 模 块 正 常 运 转 。
同 时 也 会 创 建 线 程 结 束 一 些 疑 似 和 自 己 同 名 ， 或 疑 似 为 挖 矿 相 关 的 进 程 ， 以 清 除 竞 品 挖 矿 木 马 ， 独 占 系 统 资 源 。 作 为 D D o S 木 马 ， S a t a n   同 时 具 备 t c p ， u d p ， h t t p ， i c m p ， s y n 等 多 种 流 量 攻 击 模 式 ， 攻 击 方 式 丰 富 齐 全 。
除 D D o S 攻 击 外 ， S a t a n 僵 尸 网 络 木 马 同 时 具 备 一 系 列 的 后 门 指 令 相 关 功 能 ， 包 括 了 下 载 执 行 、 命 令 执 行 、 矿 工 配 置 等 操 作 功 能 。 收 包 前 4 字 节 为 指 令 控 制 码 ， 无 加 密 。 涉 及 指 令 具 体 功 能 信 息 如 下 ： 控 制 码 控 制 码 功 能 功 能 0 x 4 开 启 D D o S 攻 击 0 x 5 停 止 D D o S 攻 击 0 x 6 下 载 执 行 0 x 7 命 令 执 行 0 x 8 矿 工 运 行 状 态 暂 停 C 2 更 新 0 x 9 矿 工 运 行 状 态 开 始 C 2 更 新 0 x A 矿 工 配 置 （ 矿 池   钱 包 ） 更 新 0 x B 开 始 挖 矿 0 x C 停 止 挖 矿 四 、 威 胁 视 角 看 攻 击 行 为 四 、 威 胁 视 角 看 攻 击 行 为 A T T & C K 阶 阶 段 段 行 为 行 为 侦 察 侦 察 扫 描 端 口 ， 确 认 可 攻 击 目 标 存 在 的 S h i r o 等 服 务 资 源 开 发 资 源 开 发 注 册 C 2 服 务 器 初 始 访 问 初 始 访 问 利 用 对 外 开 放 的 S h i r o 服 务 ， 植 入 恶 意 命 令 执 行 恶 意 命 令 进 而 入 侵 系 统 执 行 执 行 利 用 漏 洞 植 入 恶 意 命 令 ， 随 后 下 载 植 入 S a t a n   D D o S 木 马 ， X M R 挖 矿 矿 工 持 久 化 持 久 化 通 过 写 / e t c / r c . l o c a l 和 c r o n t a b 实 现 持 久 化 驻 留 防 御 规 避 防 御 规 避 通 过 僵 尸 进 程 作 为 G u a r d e r ， 监 控 矿 工 M i n e r 意 外 终 止 情 况 下 对 其 下 载 再 次 拉 起 ， 保 护 顺 利 挖 矿 不 中 断 。 发 现 发 现 通 过 扫 描 目 标 开 放 S h i r o 服 务 确 认 后 续 漏 洞 攻 击 方 式 影 响 影 响 驻 留 的 僵 尸 木 马 具 备 下 载 执 行 ， 命 令 执 行 等 后 门 功 能 。 将 给 服 务 器 带 来 不 可 预 料 的 各 类 型 网 络 风 险 。 门 罗 币 矿 机 模 块 不 间 断 的 工 作 ， 会 导 致 系 统 C P U 负 载 过 大 ， 大 量 消 耗 主 机 C P U 资 源 ， 严 重 影 响 主 机 正 常 服 务 运 行 ， 导 致 主 机 有 系 统 崩 溃 风 险 。
I O C s M D 5 : b 8 f 0 f 2 6 2 9 6 f 4 1 a 5 a 7 9 9 5 f e b b c a 9 0 c 5 f 1 2 e f 2 a 3 3 9 9 5 c 2 9 9 e 3 b b 5 1 a 7 f 3 f 4 c a b 0 1 0 C 2 : 1 1 6 . 2 0 2 . 2 5 1 . 1 2 U R L : h x x p : / / 1 1 6 . 2 0 2 . 2 5 1 . 1 2 / X 6 4 h x x p : / / 1 1 6 . 2 0 2 . 2 5 1 . 1 2 / l i n u x 6 4 矿 池 矿 池 & 钱 包 钱 包 p o o l . s u p p o r t x m r . c o m 4 4 y g o 7 V f w E Y d E b e 1 r u y Z N L f r V 1 9 s n k 3 R E Q p f b 5 L U 9 Y x f 9 8 z 7 W s 9 E Z P P b U g v o z Z y f Y X C b 3 v s R J R T 8 w T G e 3 F i p s L b 9 3 N a D U L N 参 考 链 接 ： 参 考 链 接 ： h t t p s : / / u n i t 4 2 . p a l o a l t o n e t w o r k s . c o m / l u c i f e r - n e w - c r y p t o j a c k i n g - a n d - d d o s - h y b r i d - m a l w a r e / h t t p s : / / d i g i t a l . n h s . u k / c y b e r - a l e r t s / 2 0 2 0 / c c - 3 5 2 6 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理