搜索

[12253] 2018-01-18_RubyMiner挖矿程序24小时内影响全球30%的网络

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-01-18_RubyMiner挖矿程序24小时内影响全球30%的网络 R u b y M i n e r 挖 矿 程 序 2 4 小 时 内 影 响 全 球 3 0 % 的 网 络 A n g e l a Y   F r e e B u f   2 0 1 8 - 0 1 - 1 8 近 日 ， 近 日 ， C h e c k   P o i n t   的 安 全 研 究 人 员 发 现 了 的 安 全 研 究 人 员 发 现 了   R u b y M i n e r   恶 意 软 件 家 族 ， 针 对 全 球 的 恶 意 软 件 家 族 ， 针 对 全 球 的   w e b   服 务 器 发 起 攻 击 ， 并 服 务 器 发 起 攻 击 ， 并 试 图 利 用 这 些 服 务 器 挖 掘 门 罗 币 。 试 图 利 用 这 些 服 务 器 挖 掘 门 罗 币 。 2 4   小 时 内 ， 全 球 小 时 内 ， 全 球   3 0 %   的 网 络 都 受 到 影 响 。 的 网 络 都 受 到 影 响 。 上 周 ， 全 球   w e b   服 务 器 遭 遇 了 一 场 大 规 模 攻 击 ， 就 在 那 时   R u b y M i n e r   首 次 进 入 大 众 视 野 。 专 家 认 为 ， 此 次 攻 击 背 后 的 主 要 操 控 者 只 有 一 个 人 ， 尽 在 一 天 之 内 就 尝 试 入 侵 了 全 球 近 三 分 之 一 的 网 络 。 在 过 去 的 2 4 小 时 内 ， 全 球   3 0 ％   的 网 络 都 遭 遇 了 针 对   w e b   服 务 器 的 加 密 货 币 挖 矿 攻 击 。 在 此 期 间 ， 该 攻 击 者 试 图 扫 描 全 球 网 络 ， 从 中 找 到 易 受 攻 击 的   w e b   服 务 器 用 于 挖 矿 。 主 要 受 影 响 的 国 家 是 美 国 、 德 国 、 英 国 、 挪 威 和 瑞 典 ， 但 全 球 其 他 国 家 也 未 能 幸 免 。 意 大 利 安 全 公 司   C e r t e g o   也 注 意 到   R u b y M i n e r   从   1   月   1 0   日 就 开 始 发 起 攻 击 ： 从 昨 天 （ 1 月 1 0 日 ） 2 3 : 0 0 开 始 ， 我 们 的 威 胁 情 报 平 台 就 已 经 开 始 大 规 模 报 告 关 于   r u b y   h t t p   的 利 用 。 令 人 惊 讶 的 是 ， 黑 客 大 量 使 用   2 0 1 2   年 和   2 0 1 3   年 发 布 和 修 补 的 旧 漏 洞 ， 而 且 似 乎 并 不 打 算 隐 藏 自 己 的 踪 迹 ， 而 是 打 算 在 最 短 的 时 间 内 感 染 大 量 的 服 务 器 。 攻 击 者 选 择 利 用   H T T P   W e b   服 务 器 中 的 多 个 漏 洞 ， 分 发 开 源 的   M o n e r o 挖 矿 程 序   X M R i g 。 X M R i g   在   2 0 1 7   年   9   月 利 用   M i c r o s o f t   I I S   6 . 0 （ W i n d o w s   S e r v e r   2 0 0 3   R 2   中 的   W e b   服 务 器 ） 中 的 漏 洞 进 行 攻 击 。 X M R i g   通 常 会 向 开 源 代 码 的 作 者 捐 赠   5 ％   的 挖 矿 所 得 。 然 而 ， 攻 击 者 可 能 觉 得   5 % 也 还 是 太 多 ， 因 此 从 代 码 中 删 除 了 “ 捐 赠 元 素 ” ， 将 所 有 利 润 据 为 己 有 。 R u b y M i n e r   影 响 范 围 包 括   W i n d o w s   服 务 器 也 包 括   L i n u x   服 务 器 ， 主 要 利 用   P H P 、   M i c r o s o f t   I I S   和   R u b y   o n   R a i l s   中 的 漏 洞 来 部 署 挖 矿 软 件 。 C e r t e g o   的 分 析 报 告 显 示 ， 恶 意 程 序 一 直 在 利 用   R u b y   o n   R a i l s   中 一 个 可 造 成 远 程 代 码 执 行 的 古 老   C V E （ C V E - 2 0 1 3 - 0 1 5 6 ） 漏 洞 。
P H P   服 务 器 攻 击 向 量 R u b y   o n   R a i l s   攻 击 向 量 R u b y M i n e r   的 具 体 攻 击 过 程 如 下 ： 攻 击 者 在   P O S T   请 求 内 发 送 一 个   b a s e 6 4   编 码 的 有 效 载 荷 ， 并 诱 导 解 释 器 执 行 该 有 效 载 荷 。 这 个 恶 意 的 有 效 载 荷 是 一 个   b a s h   脚 本 ， 其 中 添 加 了 一 个 每 小 时 运 行 一 次 的 定 时 任 务   c r o n j o b ， 同 时 还 下 载 了 一 个 包 含   s h e l l   脚 本 的   r o b o t s . t x t   文 件 ， 用 于 获 取 并 执 行 挖 矿 软 件 。 随 后 调 度 程 序 执 行 命 令 ， 运 行 整 个 过 程 （ 包 括 每 小 时 从 服 务 器 下 载 文 件 ） 。 c r o n   是 一 个 基 于   U N I X   的 调 度 程 序 ， 可 以 通 过 自 己 的 语 法 在 固 定 的 时 间 运 行 计 划 好 的 任 务 。   使 用   - r   参 数 运 行   c r o n t a b   命 令 将 删 除 现 有   c r o n t a b   中 的 所 有 现 有 任 务 ， 并 允 授 予 矿 工 全 部 优 先 级 。 攻 击 者 可 以 使 用 ” 1   “ 将 新 任 务 注 入 到 干 净 的   c r o n t a b   文 件 中 ， 进 而 命 令 调 度 器 每 小 时 无 限 运 行 一 分 钟 。 新 任 务 将 下 载 并 执 行 “ i n t e r n e t r e s e a r c h . i s ” 上 托 管 的 “ r o b o t s . t x t ” 文 件 ， 进 而 开 始 挖 掘 。 正 常 的 r o b o t s . t x t
攻 击 活 动 中 的   r o b o t s . t x t 专 家 认 为 ， r o b o t s . t x t   文 件 也 可 以 用 作   R u b y M i n e r   的   k i l l   开 关 ， 修 改 受 感 染   w e b   服 务 器 上 的   r o b o t s . t x t   文 件 ， 进 而 关 停   R u b y M i n e r 。 （ 关 闭 开 关 后 ） 一 分 钟 之 内 ， 所 有 重 新 下 载 文 件 的 计 算 机 都 将 收 到 没 有 加 密 挖 矿 软 件 信 息 的 文 件 。 此 外 ， 攻 击 者 所 使 用 的 一 个 域 名 “ l o c h j o l . c o m ” 在   2 0 1 3   年 也 涉 及 到   R u b y   o n   R a i l s   漏 洞 相 关 的 攻 击 。 文 章 发 布 时 ， 全 球 大 约 有   7 0 0   台 服 务 器 在   2 4   小 时 的 攻 击 中 彻 底 中 招 。 以 下 是   C h e c k P o i n t   发 布 的   R u b y M i n e r   的   I O C   等 相 关 信 息 ： I o C 攻 击 服 务 器 及 攻 击 服 务 器 及   D r o p z o n e s ： ： 2 0 3 . 2 4 . 1 8 8 [ . ] 2 4 2 I n t e r n e t r e s e a r c h [ . ] i s d g n f d 5 6 4 s d f [ . ] c o m l o c h j o l [ . ] c o m P a y l o a d s ： ： a 6 a 5 7 e 6 a 2 1 6 d f f 3 4 6 a 2 2 f 5 1 6 3 9 c 4 b 9 9 c 9 1 d 3 1 e d 8 e 5 6 9 c 0 0 8 9 f a 0 7 0 e d 1 2 5 e 1 f c 5 7 6 1 f 5 c f d 0 a 3 c d d b 4 8 c 7 3 b c 3 4 1 a 4 d 0 7 a 9 I P S   及 反 僵 尸 网 络 防 护 及 反 僵 尸 网 络 防 护 我 们 的   I P S   和   A B   保 护 已 经 成 功 地 阻 止 了 从 第   0   天 开 始 的 相 关 攻 击 。 我 们 将 继 续 监 视 和 研 究 任 何 额 外 的 野 外 攻 击 。 I P S   防 护 ： 防 护 ： P H P   p h p - c g i   查 询 字 符 串 参 数 代 码 执 行 R u b y   o n   R a i l s   X M L   处 理 器   Y A M L   反 序 列 化 代 码 执 行 M i c r o s o f t   I I S   A S P   脚 本 源 代 码 泄 露
A B   防 护 ： 防 护 ： L i n u x . R u b y M i n e r . A 点 击 阅 读 原 文 可 以 获 取   C h e c k P o i n t     的 完 整 分 析 内 容 。 * 参 考 来 源 ： S e c u r i t y A f f a i r s ， A n g e l a Y   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理