搜索

[11454] 2017-06-13_SambaCry真的来了，利用CVE-2017-7494漏洞来挖矿

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2017-06-13_SambaCry真的来了，利用CVE-2017-7494漏洞来挖矿 S a m b a C r y 真 的 来 了 ， 利 用 C V E - 2 0 1 7 - 7 4 9 4 漏 洞 来 挖 矿 S p h i n x   F r e e B u f   2 0 1 7 - 0 6 - 1 3 两 周 前 我 们 曾 经 预 警 过 一 个 两 周 前 我 们 曾 经 预 警 过 一 个 S a m b a 远 程 代 码 执 行 漏 洞 ， 这 款 漏 洞 能 够 影 响 影 响 远 程 代 码 执 行 漏 洞 ， 这 款 漏 洞 能 够 影 响 影 响 7 年 前 的 年 前 的 S a m b a 版 本 ， 黑 客 可 以 利 用 漏 洞 进 行 版 本 ， 黑 客 可 以 利 用 漏 洞 进 行 远 程 代 码 执 行 。 更 多 漏 洞 原 理 及 利 用 细 节 可 以 参 考 我 们 远 程 代 码 执 行 。 更 多 漏 洞 原 理 及 利 用 细 节 可 以 参 考 我 们 之 前 的 之 前 的 报 道 报 道 < 点 击 阅 读 原 文 查 看 链 接 点 击 阅 读 原 文 查 看 链 接 > 。 。 由 于 具 备 与 永 恒 之 蓝 相 似 的 传 播 性 ， 大 家 调 侃 地 模 仿 W a n n a C r y 病 毒 ， 把 漏 洞 取 名 为 S a m b a C r y 。 果 然 ， 最 近 两 拨 研 究 人 员 纷 纷 表 示 他 们 发 现 了 针 对 这 个 漏 洞 的 攻 击 。 攻 击 详 情 攻 击 详 情 独 立 研 究 员 O m r i   B e n   B a s s a t 将 攻 击 命 名 为 ” E t e r n a l M i n e r ” 。 因 为 在 感 染 l i n u x 主 机 后 它 会 利 用 主 机 资 源 进 行 挖 矿 。
卡 巴 斯 基 的 研 究 人 员 则 搭 建 了 蜜 罐 观 察 网 络 环 境 中 的 S a m b a C r y 攻 击 情 况 。 研 究 人 员 发 现 ， 一 伙 黑 客 在 漏 洞 公 布 后 的 一 周 就 开 始 攻 击 L i n u x 电 脑 ， 利 用 S a m b a 漏 洞 入 侵 主 机 后 ， 攻 击 者 会 通 过 上 传 恶 意 的 链 接 库 文 件 ， 实 现 远 程 代 码 执 行 ， 攻 击 者 会 安 装 “ 升 级 版 ” C P U m i n e r ， 这 是 一 款 挖 矿 软 件 ， 用 来 挖 取 M o n e r o 数 字 货 币 。 所 谓 的 “ 升 级 ” 就 是 攻 击 将 参 数 和 自 己 的 钱 包 放 在 了 软 件 的 硬 编 码 中 。 漏 洞 检 测 漏 洞 检 测 为 了 检 测 目 标 主 机 是 否 含 有 漏 洞 ， 攻 击 者 会 进 行 一 系 列 测 试 。 首 先 他 们 会 向 主 机 写 入 一 个 含 有 八 个 随 机 符 号 的 文 本 文 件 ， 以 确 认 他 们 是 否 具 有 写 入 权 限 。 确 认 权 限 后 ， 他 们 会 上 传 两 个 p a y l o a d 文 件 ， 此 时 攻 击 者 需 要 解 决 的 问 题 是 猜 解 文 件 上 传 后 的 路 径 。 通 过 观 察 蜜 罐 捕 捉 的 流 量 ， 我 们 可 以 看 到 他 们 从 根 目 录 开 始 猜 ， 会 用 到 各 种 配 置 说 明 书 中 提 到 的 路 径 。
找 到 路 径 后 ， 黑 客 就 可 以 利 用 S a m b a 漏 洞 执 行 刚 才 上 传 的 两 个 p a y l o a d 文 件 了 ： I N A e b s G B . s o   —   一 个 反 弹 s h e l l c b l R W u o C c . s o   —   包 含 C P U m i n e r   的 后 门 软 件 I N A e b s G B . s o 这 个 链 接 库 文 件 中 包 含 一 个 非 常 简 单 的 反 弹 s h e l l ， 它 会 连 接 到 攻 击 者 指 定 的 I P 地 址 ， 然 后 反 弹 / b i n / s h 的 s h e l l 。 攻 击 者 可 以 借 此 执 行 任 何 命 令 ， 下 载 运 行 软 件 ， 或 者 删 除 主 机 上 的 任 何 信 息 。
我 们 之 前 提 到 过 < 点 击 阅 读 原 文 查 看 链 接 > ， m s f 已 经 新 增 了 专 门 针 对 这 个 S a m b a 漏 洞 的 模 块 。 研 究 人 员 发 现 这 个 文 件 跟 m s f 生 成 的 文 件 很 相 似 。   “ 通 过 系 统 中 的 反 弹 s h e l l ， 黑 客 可 以 更 改 挖 矿 软 件 的 配 置 ， 或 者 安 装 其 他 的 恶 意 软 件 。 ” c b l R W u o C c . s o 文 件 的 主 要 功 能 是 下 载 执 行 c p u m i n e r ， 其 实 这 是 由 一 条 硬 编 码 的 s h e l l 命 令 执 行 的 ， 如 下 图 所 示 ： 下 载 的 文 件 为 m i n e r d 6 4 _ s ， 存 储 在 / t m p / m 目 录 下 。
黑 客 月 入 黑 客 月 入 4 万 万 前 文 说 到 ， 攻 击 者 把 自 己 的 钱 包 地 址 写 在 了 软 件 中 。 事 实 上 除 了 钱 包 地 址 ， 数 字 货 币 池 的 地 址 ( x m r . c r y p t o - p o o l . f r : 3 3 3 3 ) 也 写 在 了 软 件 中 ， 这 个 货 币 池 就 是 给 开 源 货 币 m o n e r o 使 用 的 。 通 过 这 些 信 息 ， 卡 巴 斯 基 的 研 究 人 员 获 取 到 了 黑 客 的 资 金 收 入 ： 根 据 转 账 记 录 ， 黑 客 在 4 月 3 0 日 挖 到 了 第 一 笔 m o n e r o 货 币 。 第 一 天 他 们 共 获 得 1   X M R （ 约 4 0 0 人 民 币 ） ， 上 个 礼 拜 他 们 每 天 获 得 5 X M R （ 约 1 6 2 5 人 民 币 ） 。 随 着 攻 陷 的 主 机 越 来 越 多 ， 黑 客 能 够 赚 的 钱 也 越 来 越 多 。 经 过 一 个 月 他 们 已 经 获 得 了 9 8   X M R ， 按 现 在 的 汇 率 大 约 近 4 万 人 民 币 。 漏 洞 修 复 漏 洞 修 复 S a m b a 的 维 护 人 员 已 经 在 4 . 6 . 4 / 4 . 5 . 1 0 / 4 . 4 . 1 4 版 本 中 修 复 了 相 关 漏 洞 。 如 果 暂 时 不 能 升 级 版 本 或 安 装 补 丁 ， 可 以 使 用 临 时 解 决 方 案 ： 在 s m b . c o n f 的 [ g l o b a l ] 板 块 中 添 加 参 数 ： n t   p i p e   s u p p o r t   =   n o 然 后 重 启 s m b d 服 务 。 I o C
I N A e b s G B . s o   3 4 9 d 8 4 b 3 b 1 7 6 b b c 9 8 3 4 2 3 0 3 5 1 e f 3 b c 2 a c b l R W u o C c . s o   2 0 0 9 a f 3 f e d 2 a 4 7 0 4 c 2 2 4 6 9 4 d f c 4 b 3 1 d c m i n e r d 6 4 _ s   8 d 8 b d b 5 8 c 5 e 5 7 c 5 6 5 5 4 2 0 4 0 e d 1 9 8 8 a f 9 * 参 考 来 源 ： T H N ， 本 文 作 者 ： S p h i n x ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理