搜索

[13669] 2019-01-19_2018年Windows服务器挖矿木马报告

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-01-19_2018年Windows服务器挖矿木马报告 2 0 1 8 年 W i n d o w s 服 务 器 挖 矿 木 马 报 告 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 9 - 0 1 - 1 9 摘 要 摘 要 2 0 1 8 年 ， 挖 矿 木 马 已 经 成 为 年 ， 挖 矿 木 马 已 经 成 为 W i n d o w s 服 务 器 遭 遇 的 最 严 重 的 安 全 威 胁 之 一 。 这 一 年 ， 在 挖 矿 木 马 攻 击 趋 势 由 爆 发 式 增 长 逐 渐 服 务 器 遭 遇 的 最 严 重 的 安 全 威 胁 之 一 。 这 一 年 ， 在 挖 矿 木 马 攻 击 趋 势 由 爆 发 式 增 长 逐 渐 转 为 平 稳 发 展 的 同 时 ， 挖 矿 木 马 攻 击 技 术 提 升 明 显 ， 恶 意 挖 矿 产 业 也 趋 于 成 熟 ， 恶 意 挖 矿 家 族 通 过 相 互 之 间 的 合 作 使 受 害 计 转 为 平 稳 发 展 的 同 时 ， 挖 矿 木 马 攻 击 技 术 提 升 明 显 ， 恶 意 挖 矿 产 业 也 趋 于 成 熟 ， 恶 意 挖 矿 家 族 通 过 相 互 之 间 的 合 作 使 受 害 计 算 机 和 网 络 设 备 的 价 值 被 更 大 程 度 压 榨 ， 合 作 带 来 的 技 术 升 级 也 给 安 全 从 业 者 带 来 更 大 挑 战 。 算 机 和 网 络 设 备 的 价 值 被 更 大 程 度 压 榨 ， 合 作 带 来 的 技 术 升 级 也 给 安 全 从 业 者 带 来 更 大 挑 战 。 2 0 1 9 年 ， 挖 矿 木 马 攻 击 将 继 续 年 ， 挖 矿 木 马 攻 击 将 继 续 保 持 平 稳 ， 但 黑 产 家 族 间 的 合 作 将 更 加 普 遍 ， 保 持 平 稳 ， 但 黑 产 家 族 间 的 合 作 将 更 加 普 遍 ， “ 闷 声 发 大 财 闷 声 发 大 财 ” 可 能 是 新 一 年 挖 矿 木 马 的 主 要 目 标 。 可 能 是 新 一 年 挖 矿 木 马 的 主 要 目 标 。 前 言 前 言 挖 矿 木 马 是 一 类 通 过 入 侵 计 算 机 系 统 并 植 入 挖 矿 机 赚 取 加 密 数 字 货 币 获 利 的 木 马 ， 被 植 入 挖 矿 木 马 的 计 算 机 会 出 现 C P U 使 用 率 飙 升 、 系 统 卡 顿 、 部 分 服 务 无 法 正 常 使 用 等 情 况 。 挖 矿 木 马 最 早 在 2 0 1 2 年 出 现 ， 并 在 2 0 1 7 年 开 始 大 量 传 播 。 2 0 1 8 年 ， 挖 矿 木 马 已 经 成 为 服 务 器 遭 遇 的 最 严 重 的 安 全 威 胁 之 一 。 3 6 0 互 联 网 安 全 中 心 对 挖 矿 木 马 进 行 了 深 入 研 究 分 析 和 长 期 攻 防 对 抗 ， 在 这 一 年 ， 3 6 0 安 全 卫 士 平 均 每 日 拦 截 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 攻 击 超 过 十 万 次 ， 时 刻 守 卫 W i n d o w s 服 务 器 安 全 。 本 文 将 依 据 我 们 掌 握 的 数 据 ， 总 结 2 0 1 8 年 W i n d o w s 服 务 器 遭 遇 的 挖 矿 木 马 威 胁 ， 并 对 2 0 1 9 年 W i n d o w s 服 务 器 下 挖 矿 木 马 发 展 趋 势 进 行 分 析 评 估 （ 注 ： 下 文 提 到 的 “ 挖 矿 木 马 ” 均 指 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 ） 。 第 一 章 第 一 章   2 0 1 8 年 攻 击 趋 势 概 览 年 攻 击 趋 势 概 览 2 0 1 8 年 ， W i n d o w s 服 务 器 遭 到 的 挖 矿 木 马 攻 击 呈 现 先 扬 后 抑 再 扬 的 趋 势 。 2 0 1 8 年 上 半 年 ， 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 呈 现 稳 步 上 升 趋 势 ， 并 在 2 0 1 8 年 7 月 左 右 达 到 顶 峰 。 之 后 挖 矿 木 马 攻 击 强 度 减 弱 ， 部 分 挖 矿 木 马 家 族 更 新 停 滞 ， 直 到 2 0 1 8 年 1 2 月 ， W a n n a M i n e 、 M y k i n g s 等 大 型 挖 矿 僵 尸 网 络 再 次 发 起 大 规 模 攻 击 ， 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 攻 击 才 再 次 出 现 上 升 趋 势 。 2 0 1 8 年 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 攻 击 趋 势 如 图 1 所 示 。 图 1   2 0 1 8 年 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 攻 击 趋 势 在 2 0 1 8 年 初 ， 挖 矿 木 马 攻 击 的 上 升 趋 势 是 2 0 1 7 年 末 挖 矿 木 马 爆 发 的 延 续 。 2 0 1 7 年 1 2 月 ， “ 8 2 2 0 ” 组 织 使 用 当 时 还 是 0 d a y 状 态 的 W e b l o g i c 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 1 0 2 7 1 ） 入 侵 服 务 器 并 植 入 挖 矿 木 马 ， 引 起 一 波 不 小 的 轰 动 。 之 后 ， 更 多 黑 产 从 业 者 将 目 光 投 向 服 务 器 挖 矿 领 域 。 据 3 6 0 互 联 网 安 全 中 心 统 计 ， 2 0 1 8 年 上 半 年 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 家 族 呈 逐 月 上 升 趋 势 ， 最 高 时 每 月 有 2 0 余 个 成 规 模 的 挖 矿 木 马 家 族 。
图 2   2 0 1 8 年 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 家 族 数 量 变 化 不 过 到 了 2 0 1 8 年 下 半 年 ， 挖 矿 攻 击 趋 势 有 所 下 降 ， 挖 矿 木 马 家 族 数 量 也 仅 仅 保 持 稳 定 ， 不 再 呈 现 类 似 于 上 半 年 的 增 长 趋 势 。 出 现 这 种 情 况 的 原 因 之 一 ， 在 于 2 0 1 8 年 下 半 年 披 露 的 W e b 应 用 远 程 代 码 执 行 漏 洞 相 比 较 上 半 年 要 少 得 多 ， 挖 矿 木 马 缺 少 新 的 攻 击 入 口 ； 另 外 由 于 虚 拟 货 币 的 破 洞 ， 下 半 年 针 对 服 务 器 的 挖 矿 木 马 家 族 格 局 基 本 定 型 ， 没 有 新 的 大 家 族 产 生 。 从 图 2 可 以 看 出 2 0 1 8 年 下 半 年 成 规 模 挖 矿 木 马 家 族 数 量 一 直 保 持 3 0 个 左 右 的 ， 并 未 出 现 太 大 增 长 。 直 到 2 0 1 8 年 年 底 ， 各 大 挖 矿 木 马 家 族 才 再 次 活 跃 ， 挖 矿 木 马 攻 击 在 沉 寂 将 近 半 年 之 后 再 次 呈 现 上 升 趋 势 。 其 中 ， “ M y k i n g s ” 家 族 、 “ 8 2 2 0 ” 组 织 与 “ W a n n a M i n e ” 家 族 无 疑 是 攻 击 趋 势 上 升 的 “ 主 力 ” 。 2 0 1 8 年 ， 这 三 个 家 族 攻 击 计 算 机 数 量 占 据 所 有 家 族 攻 击 计 算 机 总 量 的 8 7 % ， 到 了 1 2 月 ， 这 个 数 值 上 升 到 了 可 怕 的 9 2 % 。 图 4 展 示 了 2 0 1 8 年 这 三 个 家 族 攻 击 计 算 机 数 量 与 其 他 家 族 攻 击 计 算 机 数 量 总 和 的 比 较 。 关 于 这 几 个 活 跃 挖 矿 家 族 的 细 节 将 在 第 三 章 提 及 。 图 4   2 0 1 8 年 “ M y k i n g s ” 、 “ 8 2 2 0 ” 组 织 与 “ W a n n a M i n e ” 三 个 家 族 攻 击 计 算 机 数 量 与 其 他 家 族 对 比 因 此 ， 2 0 1 8 年 成 为 针 对 W i n d o w s 服 务 器 挖 矿 木 马 最 为 鼎 盛 的 一 年 ， 进 入 进 入 2 0 1 9 年 ， 如 果 加 密 数 字 货 币 继 续 保 持 目 前 下 滑 状 态 ， 挖 年 ， 如 果 加 密 数 字 货 币 继 续 保 持 目 前 下 滑 状 态 ， 挖 矿 木 马 可 能 也 将 随 之 降 温 ， 攻 击 者 也 会 在 更 多 盈 获 利 方 式 中 寻 求 平 衡 。 矿 木 马 可 能 也 将 随 之 降 温 ， 攻 击 者 也 会 在 更 多 盈 获 利 方 式 中 寻 求 平 衡 。 第 二 章 第 二 章   2 0 1 8 年 挖 矿 木 马 详 解 年 挖 矿 木 马 详 解 一 、 挖 矿 木 马 攻 击 目 标 分 布 一 、 挖 矿 木 马 攻 击 目 标 分 布 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 除 少 部 分 利 用 W i n d o w s 自 身 漏 洞 外 ， 更 多 的 是 利 用 搭 建 在 W i n d o w s 平 台 上 的 W e b 应 用 或 数 据 库 的 漏 洞 入 侵 服 务 器 。 图 5 展 示 了 2 0 1 8 年 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 攻 击 目 标 分 布 。 其 中 ， M s S Q L 是 挖 矿 木 马 的 最 大 攻 击 目 标 ， W e b l o g i c 、 J B o s s 、 D r u p a l 、 T o m c a t 等 W e b 应 用 也 是 挖 矿 木 马 重 灾 区 。
图 5   2 0 1 8 年 针 对 W i n d o w s 服 务 器 挖 矿 木 马 攻 击 目 标 分 布 二 、 挖 矿 木 马 使 用 漏 洞 一 览 二 、 挖 矿 木 马 使 用 漏 洞 一 览 正 所 谓 “ 工 欲 善 其 事 ， 必 先 利 其 器 ” — — 利 用 成 功 率 高 、 操 作 简 便 、 适 用 于 大 规 模 攻 击 的 漏 洞 往 往 受 到 攻 击 者 青 睐 。 表 1 展 示 了 2 0 1 8 年 挖 矿 木 马 入 侵 W i n d o w s 服 务 器 所 使 用 的 漏 洞 。 攻 击 者 手 里 往 往 持 有 一 个 能 够 针 对 多 个 平 台 的 漏 洞 武 器 库 和 一 个 保 存 有 存 在 漏 洞 计 算 机 的 I P 地 址 的 列 表 ， 具 有 僵 尸 网 络 性 质 的 挖 矿 木 马 会 将 这 个 漏 洞 武 器 库 集 成 到 挖 矿 木 马 中 ， 使 挖 矿 木 马 实 现 “ 自 力 更 生 ” ， 不 具 有 僵 尸 网 络 性 质 的 挖 矿 木 马 则 会 定 期 对 列 表 中 的 I P 地 址 发 起 攻 击 。 一 些 频 繁 更 新 的 挖 矿 木 马 更 是 在 漏 洞 P O C 公 开 后 的 极 短 时 间 内 将 其 运 用 在 实 际 攻 击 中 。 攻 击 平 台 攻 击 平 台 漏 洞 编 号 漏 洞 编 号 P O C * * 公 开 与 首 次 出 现 利 用 时 间 差 公 开 与 首 次 出 现 利 用 时 间 差 * * W e b l o g i c C V E - 2 0 1 7 - 3 2 4 8 6 个 月 C V E - 2 0 1 7 - 1 0 2 7 1 0   天 （ 0 d a y ） C V E - 2 0 1 8 - 2 6 2 8 1 0 天 - 2 0 天 C V E - 2 0 1 8 - 2 8 9 4 5 个 月 J B o s s C V E - 2 0 1 0 - 0 7 3 8 未 知 C V E - 2 0 1 7 - 1 2 1 4 9 2 0 天 - 3 0 天 S t r u t s 2 C V E - 2 0 1 7 - 5 6 3 8 < 1 个 月 C V E - 2 0 1 7 - 9 8 0 5 未 知 C V E - 2 0 1 8 - 1 1 7 7 6 4 个 月 D r u p a l C V E - 2 0 1 8 - 7 6 0 0 2 个 月 C V E - 2 0 1 8 - 7 6 0 2 2 个 月 T h i n k P H P - (   T h i n k P H P v 5   G e t S h e l l ) 1 0 天 - 1 5 天 P H P M y A d m i n - ( 弱 口 令 爆 破 ) - P H P S t u d y - ( 弱 口 令 爆 破 ) - S p r i n g   D a t a   C o m m o n s C V E - 2 0 1 8 - 1 2 7 3 未 知 T o m c a t - ( 弱 口 令 爆 破 ) - C V E - 2 0 1 7 - 1 2 6 1 5 未 知 M s S Q L - ( 弱 口 令 爆 破 ) - M y S Q L - ( 弱 口 令 爆 破 ) - W i n d o w s   S e r v e r - ( 弱 口 令 爆 破 ) - C V E - 2 0 1 7 - 0 1 4 3 < 1 个 月 表 1   2 0 1 8 年 挖 矿 木 马 入 侵 W i n d o w s 服 务 器 所 使 用 的 漏 洞 三 、 挖 矿 木 马 使 用 的 攻 击 技 术 三 、 挖 矿 木 马 使 用 的 攻 击 技 术 （ 一 ） 横 向 移 动 （ 一 ） 横 向 移 动 横 向 移 动 指 的 是 ： 木 马 在 入 侵 计 算 机 之 后 ， 以 该 计 算 机 作 为 傀 儡 机 ， 攻 击 局 域 网 中 的 其 他 机 器 并 控 制 这 些 机 器 。 具 有 僵 尸 网 络 性 质 的 挖 矿 木 马 家 族 常 会 利 用 W i n d o w s 系 统 自 身 漏 洞 攻 击 局 域 网 中 的 其 他 机 器 ， 并 在 其 他 机 器 中 植 入 挖 矿 木 马 。 在 横 向 移 动 攻 击 武 器 的
选 择 上 ， “ 永 恒 之 蓝 ” 漏 洞 攻 击 武 器 是 大 部 分 挖 矿 木 马 家 族 的 首 选 ， 而 横 向 渗 透 神 器 M i m i k a t z 也 被 W a n n a M i n e 等 挖 矿 木 马 家 族 所 使 用 。 在 这 些 家 族 的 横 向 渗 透 中 ， M i m i k a t z 只 是 作 为 “ 永 恒 之 蓝 ” 漏 洞 攻 击 武 器 的 备 选 方 案 ， 可 见 攻 击 者 更 追 求 稳 定 性 和 使 用 上 的 简 便 ， 而 不 愿 将 上 手 难 度 高 的 M i m i k a t z 放 在 首 位 。 图 6   使 用 “ 永 恒 之 蓝 ” 漏 洞 攻 击 武 器 与 使 用 M i m i k a t z 的 挖 矿 木 马 家 族 数 量 对 比 （ 二 ） （ 二 ） L i v i n g   o f f   t h e   l a n d L i v i n g o f f   t h e   l a n d 直 译 是 “ 靠 山 吃 山 ， 靠 水 吃 水 ” ， 在 恶 意 攻 击 中 指 的 是 借 助 系 统 中 已 存 在 的 应 用 程 序 或 工 具 完 成 攻 击 。 上 文 提 到 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 大 多 数 通 过 W e b 应 用 或 系 统 的 缺 陷 入 侵 计 算 机 ， 而 这 些 缺 陷 大 多 数 只 允 许 在 远 程 计 算 机 上 执 行 任 意 命 令 而 非 任 意 代 码 ， 因 此 攻 击 者 需 要 借 助 系 统 中 已 存 在 的 应 用 程 序 或 工 具 下 载 载 荷 ， 实 现 挖 矿 木 马 的 植 入 。 表 2 展 示 了 被 挖 矿 木 马 借 力 的 合 法 应 用 程 序 。 应 用 程 序 名 称 应 用 程 序 名 称 被 挖 矿 木 马 滥 用 的 功 能 被 挖 矿 木 马 滥 用 的 功 能 c m d . e x e 执 行 载 荷 P o w e r S h e l l . e x e 下 载 载 荷 ， 执 行 载 荷 R e g s v r 3 2 . e x e 执 行 载 荷 C e r t u t i l . e x e 下 载 载 荷 ， 解 码 载 荷 b i t s a d m i n . e x e 下 载 载 荷 ， 执 行 载 荷 ， 持 续 驻 留 w s c r i p t . e x e 下 载 载 荷 ， 执 行 载 荷 c s c r i p t . e x e 下 载 载 荷 ， 执 行 载 荷 m s h t a . e x e 执 行 载 荷 w m i c . e x e 执 行 载 荷 表 2   被 挖 矿 木 马 借 力 的 合 法 应 用 程 序 图 7 则 展 示 了 针 对 W i n d o w s 平 台 挖 矿 木 马 家 族 对 这 些 合 法 应 用 程 序 的 使 用 情 况 。 P o w e r s h e l l 这 个 功 能 强 大 的 工 具 是 攻 击 者 最 青 睐 的 ， 而 诸 如 R e g s v r 3 2 . e x e 、 m s h t a . e x e 这 类 能 够 执 行 存 放 在 攻 击 者 服 务 器 的 恶 意 代 码 的 应 用 程 序 也 被 大 量 挖 矿 木 马 所 使 用 。 图 7   针 对 W i n d o w s 平 台 挖 矿 木 马 家 族 滥 用 合 法 应 用 程 序 的 情 况
（ 三 ） （ 三 ） F i l e l e s s F i l e l e s s 也 叫 “ 无 文 件 攻 击 ” 技 术 ， 即 攻 击 者 在 不 释 放 文 件 的 情 况 下 实 施 攻 击 。 攻 击 者 一 般 通 过 在 内 存 中 加 载 恶 意 代 码 实 现 “ 无 文 件 攻 击 ” 。 F i l e l e s s 本 身 是 在 L i v i n g o f f   t h e   l a n d 的 范 畴 中 ， 由 于 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 频 繁 使 用 该 技 术 ， 故 此 在 文 章 中 将 其 提 取 出 来 另 外 讨 论 。 在 针 对 W i n d o w s 服 务 器 的 挖 矿 木 马 家 族 中 ， W a n n a M i n e 是 “ 无 文 件 攻 击 ” 技 术 的 集 大 成 者 。 W a n n a M i n e 利 用 漏 洞 入 侵 服 务 器 后 ， 会 借 助 P o w e r S h e l l 应 用 程 序 在 内 存 中 完 成 挖 矿 木 马 运 行 、 横 向 渗 透 、 更 新 自 身 等 多 项 工 作 。 图 8 是 W a n n a M i n e 家 族 所 使 用 的 无 文 件 攻 击 技 术 图 解 。 图 8   W a n n a M i n e 家 族 所 使 用 的 无 文 件 攻 击 技 术 图 解 2 0 1 8 年 1 1 月 ， M y k i n g s 僵 尸 网 络 使 用 C V E - 2 0 1 5 - 7 7 6 8 攻 击 K O N I C A   M I N O L T A F T P 时 也 使 用 了 “ 无 文 件 ” 攻 击 技 术 。 M y k i n g s 将 加 密 后 的 载 荷 隐 藏 在 P o w e r S h e l l 内 存 中 ， 当 扫 描 到 存 在 漏 洞 的 K O N I C A   M I N O L T A F T P 时 就 解 密 载 荷 并 向 其 发 送 带 有 载 荷 的 漏 洞 利 用 代 码 。 图 9   M y k i n g s 家 族 攻 击 K O N I C A   M I N O L T A   F T P 时 所 使 用 的 无 文 件 攻 击 技 术 图 解 “ 无 文 件 攻 击 ” 技 术 的 优 势 在 于 能 够 躲 避 杀 毒 软 件 的 静 态 扫 描 ， 劣 势 在 于 现 阶 段 过 分 依 赖 P o w e r S h e l l 强 大 的 功 能 ， 一 旦 P o w e r S h e l l 被 封 锁 ， 攻 击 者 将 很 难 找 到 替 代 品 。 （ 四 ） 代 码 混 淆 技 术 （ 四 ） 代 码 混 淆 技 术 代 码 混 淆 的 目 的 是 为 了 逃 避 杀 毒 软 件 的 静 态 扫 描 ， 并 增 加 样 本 分 析 人 员 的 分 析 难 度 。 对 P E 文 件 格 式 的 木 马 加 上 诸 如 V M P 这 类 的 强 壳 已 经 是 老 生 常 谈 了 。 2 0 1 8 年 挖 矿 木 马 将 混 淆 魔 爪 伸 向 了 P o w e r S h e l l 脚 本 、 J S 脚 本 、 h t a 文 件 等 非 P E 文 件 ， 这 些 文 件 不 一 定 会 在 受 害 机 器 上 出 现 ， 更 多 的 是 在 内 存 中 执 行 ， 攻 击 者 此 举 纯 粹 是 为 了 给 样 本 分 析 人 员 增 加 难 度 。 I n v o k e - D O S f u s c a t i o n 项 目 最 受 挖 矿 木 马 青 睐 ， 图 1 0 和 图 1 1 分 别 是 W a n n a M i n e 家 族 和 M y k i n g s 家 族 使 用 I n v o k e - D O S f u s c a t i o n 对 P o w e r S h e l l 代 码 进 行 混 淆 的 例 子 。 这 类 连 编 辑 器 都 无 法 正 常 高 亮 的 混 淆 代 码 给 样 本 分 析 人 员 带 来 极 大 的 挑 战 。 图 1 0   W a n n a M i n e 家 族 使 用 I n v o k e - D O S f u s c a t i o n 进 行 混 淆 的 例 子
图 1 1   M y k i n g s 家 族 使 用 I n v o k e - D O S f u s c a t i o n 进 行 混 淆 的 例 子 四 、 挖 矿 木 马 收 益 分 析 及 未 来 获 利 方 式 预 测 四 、 挖 矿 木 马 收 益 分 析 及 未 来 获 利 方 式 预 测 2 0 1 8 年 全 球 加 密 数 字 货 币 价 格 呈 现 走 跌 的 趋 势 ， 大 部 分 挖 矿 木 马 选 择 的 币 种 — — 门 罗 币 ， 在 2 0 1 8 年 缩 水 了 超 过 九 成 。 从 最 高 时 的 1 个 门 罗 币 兑 3 5 0 0 元 人 民 币 降 到 现 在 的 1 个 门 罗 币 兑 3 0 0 元 人 民 币 。 图 1 2   门 罗 币 价 格 走 势 ， 红 框 中 为 2 0 1 8 年 门 罗 币 价 格 走 势 挖 矿 是 一 种 几 乎 零 成 本 的 获 利 方 式 ， 因 此 门 罗 币 价 格 的 大 幅 缩 水 对 挖 矿 木 马 攻 击 趋 势 的 影 响 有 限 。 表 3 展 示 了 各 个 针 对 W i n d o w s 服 务 器 的 成 规 模 挖 矿 家 族 钱 包 地 址 和 获 利 情 况 。 可 以 看 出 ， 即 使 加 密 数 字 货 币 价 格 狂 跌 ， 一 些 大 型 挖 矿 家 族 仍 然 能 够 获 得 不 错 的 收 益 。 以 W a n n a M i n e 家 族 为 例 ， 若 该 家 族 以 当 前 价 格 将 持 有 的 门 罗 币 兑 换 成 人 民 币 ， 依 然 可 以 收 益 将 近 1 5 0 万 人 民 币 ， 而 实 际 收 益 必 然 大 于 1 5 0 万 人 民 币 。 钱 包 地 址 钱 包 地 址 加 密 数 字 货 币 加 密 数 字 货 币 数 量 数 量 家 族 家 族 4 3 Q o f 2 i F 1 Q V 8 N u G E D h x U 3 v B a p o v c x G V r Y a N u 3 5 o M A 5 8 J X x 1 w x 5 n w E d Z M e 2 D E s R V M 1 D V 3 v j 5 p r S 9 m o K 8 h A e b H 4 e w g V 7 J D m D b 2 8 7 9 X M R W a n n a M i n e 4 4 X Y T P b E G 7 p g 1 7 g r F s F d d 3 K d P a i J z N B N C Z X 1 R q k v D u B m K w c L q 1 Q V w h a C z r Z c t w 1 5 z r D P G F h Q W V A W s i 4 7 g 3 p 5 d y N Y 2 1 j U C j 1 2 0 1 5 X M R 4 B 9 o D L D g e L n W n E 9 y 2 s n H C 3 N 2 f X 5 C n B F M v Q w 1 h g y Z k h d 8 V f g 3 n V A z J 2 m V N D 9 e r y d 5 Z m a u B r e d c b x t L M U 3 5 t 3 4 6 K 6 c P P Q t 7 B t 1 5 7 X M R 4 1 m m o P V T 1 E F T a q 3 R 4 R p W E W i F J u f A q J k 8 b A H B h e S D V S G L g o r j J H T N e m d N g 3 k o c A 2 H j 6 6 C v e 8 B 9 f V E u Y Y 6 z t c t k 1 b A E T q s n N k 3 1 X M R 4 9 k W W H d Z d 5 N F H X v e G P P A n X 8 i r X 7 g r c N L H N 2 a n N K h B A i n V F L d 2 6 n 8 g X 2 E i s d a k R V 6 h 1 H k X a a 1 Y J 7 i z 3 A H t J N K 5 M D 9 3 z 6 t V 9 H 5 3 X M R 4 8 3 6 J 7 1 4 o R p M 9 z d t 7 P Z G m p C h u f q S E A F W 8 R g E M h u 4 t p G Z K i F t o g A i P Y 8 5 G W 9 t W D 9 z K E i 9 X m B 4 P r w 5 5 M 5 f j j T g r h V h S D L L k F Z 1 2 X M R 4 4 F a S v D W d K A B 2 R 3 n 1 X U Z n j a v N W w X E v y i x V P 8 F h m c c b N C 6 T G u C s 4 R 9 3 7 Y W u o e w b b S m M E s E J u Y z q U w u c V H h W 7 3 D w X o 4 t t S d N S 3 X M R Z o m b i e b o y 4 1 e 2 v P c V u x 9 N N e T f W e 8 T L K 2 U W x C X J v N y C Q t N b 6 9 Y E e x d N s 7 1 1 j E a D R X W b w a V e 4 v U M v e K A z A i A 4 j 8 x g U i 2 9 T p K X p m 3 z K T U Y o 5 4 5 X M R “ 8 2 2 0 ” 组 织 4 A B 3 1 X Z u 3 b K e U W t w G Q 4 3 Z a d T K C f C z q 3 w r a 6 y N b K d s u c p R f g o f J P 3 Y w q D i T u t r u f k 8 D 1 7 D 7 x w 1 z P G y M s p v 8 L q w w g 3 6 V 5 c h Y g 2 0 3 X M R 4 6 E 9 U k T F q A L X N h 2 m S b A 7 W G D o a 2 i 6 h 4 W V g U g P V d T 9 Z d t w e L R v A h W m b v u Y 1 d h E m f j H b s a v K X o 3 e G f 5 Z R b 4 q J z F X L V H G Y H 4 m o Q 1 1 X M R
4 8 o j Q A P b Q C Y 5 j 7 5 H s h e 1 m X K S A e 3 d b 6 N V R A x s i M x S 7 r M N c E G E 1 m K G W 1 e E T R a m d 1 c K g R H C t q d T n E U u 6 N E K K S G X V u g N 9 q 2 W V M 8 4 3 X M R K o i M i n e r 4 6 3 t G b o o c 8 5 V u b S o 9 T j h j L e g t V v B Q D 6 q P V J 3 L x D o N r t K e x A q c y D k o q m 9 p 3 2 M r D o M W c S m W z 4 1 E K b x L 3 A K P J y C j C m c T P Z 9 6 X Q 1 6 X M R 4 7 U v t 8 5 T g Z z H k v e a T e d 6 9 j h Y 4 C S N 8 3 3 4 B U u f U t m a o L S N J a d f 2 B o T t r o H m 5 e v Y q Q y 4 N J e y V B Y Y t G K 8 S H S A t F S i W 6 a D z t D s 9 j 4 6 X M R 4 4 8 7 3 X a m e c k c 4 w R 2 1 A d r M 5 f n o F H K Z J S V j 6 c B A D T g F T r E E N 9 4 j P 2 X f Q Z 7 4 P M R i q o Y H n B u 2 c C e 3 2 w L x 7 g K H n Q p f F q C L b 6 R y n 2 1 9 X M R 4 3 B E K p 4 t 8 k m 3 w E B a s x m P M c V 5 n 5 X P P j R N 4 V c i c a S w K Z k T H x K z c 4 h T Y w d 3 t y q R 8 S L Z a h f u S s T e J E G 3 f c E M n X 3 j A 1 F 8 6 i a o 1 G U 0 . 3 2 X M R N S A S r v a n y M i n n e r 4 A N 9 z C 5 P G g Q W t g 1 m T N Z D y S H S S 7 9 n G 1 q d 4 F W A 1 r V j E G Z V 8 4 R 8 B q o L N 9 w U 1 U C n m v u 1 r j 8 9 b j Y 4 F a t 1 X g E i K k s 6 F o e i R i 1 E H h h 1 5 7 X M R b u l e h e r o 4 9 b j B w Y N 1 Y V c n 6 i J v 7 p T b o V U P K T 7 S e 1 c Z V q W K d 7 a x s 2 z J o a i 6 8 d Y g 8 u W o a p n x L N D y W N G T v s M b g v e s b B c t w 1 S W 2 c z S B G B 6 R 3 1 3 X M R J a v a e M i n e r （ 未 披 露 ） 4 5 U G V C b Z A t z e P z u j S n 2 G Y H P r c i q 8 Z o B H 1 M X a A 7 n N i Q a 5 G r v v o m X u i n G H n X T B g v 2 1 N m X U r N D x K X J w Z b 8 h T Q K 4 H j 1 V C k C v C s H 3 X M R W m i c M i n e r （ 未 披 露 ） 4 4 q L w C L c i f P 4 K Z f k q w N J j 4 f T b Q 8 r k L C x J c 3 T W 4 U B w c i Z 9 5 y W F u Q D 6 m D 4 Q e D u s R E B X M h H X 9 D z T 5 L B a W d V b s j S t f j R 9 P X a V 9 L 5 8 X M R M a s s M i n e r 4 9 R o c c 2 n i u C T y V M a k j q 7 z U 7 n j g Z q 3 d e B w b a 3 p T c G F j L n B 2 G v x t 8 z 6 P s f E n 4 s c 8 W P P e d T k G j Q V H k 2 R L k 7 b t k 6 J s 8 g K v 9 i L C i 9 2 8 X M R 4 7 T s c y 1 Q u J n 1 f x H i B R j W F t g H m v q k W 7 1 Y Z C Q L 3 3 L e u n f H 4 r s G E H x 5 U G T P d f X N J t M M A T M z 8 b m a y k G V u D F G W P 3 K y u f B S d z x B b 2 > 2 0 0 0 X M R （ 矿 池 已 禁 止 查 询 该 钱 包 ） M y k i n g s 4 1 x D Y g 8 6 Z u g 9 d w b J 3 y s u y W M F 7 R 6 U n 2 K o 8 4 T N f i C W 7 x g h h b K Z V 6 j h 8 Q 7 h J o n c n L a y L V D w p z b P Q P i 6 2 b v P q e 6 j J o u H A s G N k g 2 1 1 M X R 4 7 T s c y 1 Q u J n 1 f x H i B R j W F t g H m v q k W 7 1 Y Z C Q L 3 3 L e u n f H 4 r s G E H x 5 U G T P d f X N J t M M A T M z 8 b m a y k G V u D F G W P 3 K y u f B S d z x B b 2 > 6 0 0 0 X M R （ 矿 池 已 禁 止 查 询 该 钱 包 ） 钱 包 地 址 钱 包 地 址 加 密 数 字 货 币 加 密 数 字 货 币 数 量 数 量 家 族 家 族 表 3   各 挖 矿 家 族 钱 包 地 址 的 获 利 情 况 不 过 某 些 规 模 较 大 的 挖 矿 家 族 依 然 在 寻 求 其 他 的 获 利 方 式 以 最 大 化 利 用 其 控 制 的 僵 尸 机 器 的 价 值 。 比 如 2 0 1 8 年 6 月 ， W a n n a M i n e 家 族 在 一 次 更 新 中 增 加 了 D D o S 模 块 。 该 D D o S 模 块 代 码 风 格 、 攻 击 手 法 与 W a n n a M i n e 家 族 之 前 的 情 况 大 不 相 同 ， D D o S 模 块 的 载 荷 下 载 地 址 在 2 0 1 8 年 6 月 之 前 曾 经 被 其 他 家 族 所 使 用 [ 5 ] 。 不 难 推 测 ， W a n n a M i n e 可 能 与 其 他 黑 产 家 族 进 行 合 作 ， 摇 身 一 变 成 为 “ 军 火 商 ” 为 其 他 黑 产 家 族 定 制 化 恶 意 程 序 。 图 1 3   W a n n a M i n e 的 D D o S 模 块 中 所 连 接 的 载 荷 下 载 地 址 d 4 u k . 7 h 4 u k . c o m 曾 被 其 他 家 族 使 用 无 独 有 偶 ， 另 一 大 挖 矿 家 族 M y k i n g s 也 在 2 0 1 8 年 实 现 了 身 份 的 转 换 。 2 0 1 8 年 1 1 月 ， M y k i n g s 与 “ 暗 云 ” 木 马 家 族 合 作 ， 向 受 控 计 算 机 中 植 入 “ 暗 云 ” 木 马 ， 功 能 包 括 但 不 限 于 挖 矿 、 锁 首 页 、 暗 刷 和 D D o S 。 图 1 4 展 示 了 M y k i n g s 僵 尸 网 络 与 “ 暗 云 ” 木 马 合 作 后 的 攻 击 流 程 。
图 1 4   M y k i n g s 僵 尸 网 络 与 “ 暗 云 ” 木 马 合 作 后 的 攻 击 流 程 可 以 预 测 ， 2 0 1 9 年 将 涌 现 更 多 这 类 的 合 作 。 挖 矿 木 马 家 族 除 了 往 僵 尸 机 中 植 入 挖 矿 木 马 获 利 外 ， 还 会 向 其 他 黑 产 家 族 提 供 成 熟 的 漏 洞 攻 击 武 器 与 战 术 ， 或 者 将 已 控 制 的 僵 尸 机 出 售 给 其 他 黑 产 家 族 。 而 类 似 “ 暗 云 ” 木 马 家 族 这 类 对 黑 产 获 利 方 式 、 获 利 渠 道 较 为 熟 悉 的 家 族 则 购 买 挖 矿 木 马 家 族 出 售 的 僵 尸 机 ， 或 者 与 挖 矿 木 马 家 族 共 同 开 发 定 制 木 马 ， 谋 求 挖 矿 以 外 的 利 益 最 大 化 。 第 三 章 第 三 章   2 0 1 8 年 挖 矿 木 马 家 族 典 型 年 挖 矿 木 马 家 族 典 型 一 、 一 、 W a n n a M i n e （ （ G h o s t M i n e r 、 、 P o w e r G h o s t ） ） 图 1 5   W a n n a M i n e 家 族 典 型 的 攻 击 流 程 W a n n a M i n e 是 2 0 1 8 年 最 活 跃 的 挖 矿 木 马 家 族 之 一 ， 该 家 族 主 要 针 对 搭 建 W e b l o g i c 的 服 务 器 ， 也 攻 击 P H P M y a d m i n 、 D r u p a l 等 W e b 应 用 。 当 W a n n a M i n e 入 侵 服 务 器 之 后 ， 使 用 “ 永 恒 之 蓝 ” 漏 洞 攻 击 武 器 或 M i m i k a t z 进 行 横 向 渗 透 ， 将 挖 矿 木 马 植 入 位 于 同 一 局 域 网 的 其 他 计 算 机 中 。 W a n n a M i n e 是 “ 无 文 件 ” 攻 击 技 术 的 集 大 成 者 ， 在 其 绝 大 多 数 版 本 中 都 通 过 P o w e r S h e l l 应 用 程 序 将 挖 矿 木 马 加 载 到 内 存 中 执 行 ， 未 有 文 件 “ 落 地 ” 。 W a n n a M i n e 更 新 频 繁 ， 不 仅 定 期 更 换 载 荷 下 载 U R L ， 且 一 旦 有 新 的 W e b 应 用 漏 洞 P O C 公 开 ， W a n n a M i n e 就 会 在 第 一 时 间 将 P O C 武 器 化 。 图 1 6 展 示 了 2 0 1 8 年 W a n n a M i n e 家 族 的 攻 击 趋 势 ， 年 初 的 上 涨 来 源 于 W a n n a M i n e 家 族 第 一 次 使 用 W e b l o g i c 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 1 0 2 7 1 ） 对 服 务 器 进 行 攻 击 ， 而 2 0 1 8 年 底 的 突 然 上 涨 是 W a n n a M i n e 在 更 新 停 滞 数 月 之 后 再 次 活 跃 所 造 成 的 。 不 难 推 测 ， W a n n a M i n e 攻 击 者 手 中 保 存 有 存 在 漏 洞 的 机 器 列 表 ， 以 实 现 在 短 时 间 内 控 制 大 量 机 器 的 目 的 。
图 1 6   W a n n a M i n e 家 族 2 0 1 8 年 攻 击 趋 势 二 、 二 、 M y k i n g s （ 隐 匿 者 ） （ 隐 匿 者 ） 图 1 7   M y k i n g s 家 族 典 型 的 攻 击 流 程 M y k i n g s 家 族 最 早 可 以 追 溯 到 2 0 1 4 年 ， 在 2 0 1 7 年 被 多 家 安 全 厂 商 披 露 ， 至 今 仍 然 处 在 活 跃 状 态 中 。 M y k i n g s 家 族 拥 有 一 套 成 熟 的 弱 口 令 扫 描 与 爆 破 体 系 ， 能 够 爆 破 M s S Q L 、 T e l n e t 、 R D P 、 C C T V 等 系 统 组 件 或 设 备 ， 其 爆 破 模 块 除 了 复 用 M i r a i 僵 尸 网 络 和 M a s s c a n 扫 描 器 的 部 分 代 码 外 ， 还 集 成 了 内 容 丰 富 的 弱 口 令 字 典 以 及 针 对 M s S Q L 的 多 种 命 令 执 行 方 式 。 在 获 利 方 式 上 ， M y k i n g s 家 族 不 仅 仅 局 限 于 通 过 挖 矿 获 利 ， 也 通 过 与 其 他 黑 产 家 族 合 作 完 成 锁 首 页 、 D D o S 等 工 作 。 2 0 1 8 年 ， M y k i n g s 家 族 攻 击 趋 势 较 为 稳 定 。 2 0 1 8 年 上 半 年 M y k i n g s 家 族 呈 平 稳 上 升 趋 势 ， 年 中 时 曾 经 对 M s S Q L 发 起 一 次 大 规 模 的 爆 破 攻 击 ， 在 这 次 攻 击 中 M y k i n g s 家 族 使 用 新 的 载 荷 下 载 地 址 ， 并 尝 试 使 用 “ 白 利 用 ” 技 术 对 抗 杀 毒 软 件 ， 也 是 在 这 一 波 攻 击 之 后 ， M y k i n g s 家 族 控 制 的 僵 尸 机 数 量 大 幅 上 涨 。 与 W a n n a M i n e 家 族 相 似 ， M y k i n g s 家 族 在 2 0 1 8 年 下 半 年 稍 显 沉 寂 ， 直 到 2 0 1 8 年 1 1 月 与 “ 暗 云 ” 家 族 合 作 后 才 有 所 改 观 。
图 1 8   M y k i n g s 家 族 2 0 1 8 年 攻 击 趋 势 三 、 三 、 “ 8 2 2 0 ” 组 织 组 织 图 1 9   “ 8 2 2 0 ” 组 织 典 型 的 攻 击 流 程 2 0 1 7 年 1 1 月 ， 一 攻 击 组 织 使 用 当 时 还 是 0 d a y 状 态 的 W e b l o g i c 反 序 列 化 漏 洞 （ C V E - 2 0 1 7 - 1 0 2 7 1 ） 入 侵 服 务 器 植 入 挖 矿 木 马 ， 这 是 第 一 次 被 公 开 披 露 的 使 用 0 d a y 漏 洞 入 侵 服 务 器 植 入 挖 矿 木 马 的 案 例 ， 而 这 个 攻 击 组 织 就 是 “ 8 2 2 0 ” 组 织 。 “ 8 2 2 0 ” 组 织 传 播 的 挖 矿 木 马 攻 击 流 程 十 分 简 单 ， 即 通 过 W e b 应 用 漏 洞 入 侵 W i n d o w s 服 务 器 之 后 通 过 P o w e r S h e l l 下 载 挖 矿 木 马 执 行 ， 再 通 过 计 划 任 务 在 计 算 机 中 持 续 驻 留 。 不 同 于 W a n n a M i n e 家 族 和 M y k i n g s 家 族 ， “ 8 2 2 0 ” 组 织 传 播 的 挖 矿 木 马 并 不 具 有 蠕 虫 传 播 的 功 能 ， 但 是 该 组 织 活 跃 时 依 然 能 够 成 功 入 侵 大 量 W i n d o w s 服 务 器 。 可 以 断 定 ， “ 8 2 2 0 ” 组 织 手 中 必 然 保 存 着 一 个 存 在 漏 洞 的 服 务 器 I P 地 址 的 列 表 ， 使 该 组 织 能 够 定 期 对 大 量 服 务 器 实 施 打 击 。 “ 8 2 2 0 ” 组 织 在 2 0 1 8 年 年 初 较 为 活 跃 ， 主 要 原 因 在 于 2 0 1 8 年 年 初 披 露 的 W e b 应 用 漏 洞 P O C 数 量 相 比 较 其 他 时 候 要 多 得 多 。 之 后 随 着 披 露 的 W e b 应 用 漏 洞 P O C 数 量 的 减 少 ， “ 8 2 2 0 ” 组 织 也 相 对 沉 寂 ， 不 过 到 了 2 0 1 8 年 1 2 月 末 ， “ 8 2 2 0 “ 组 织 使 用 包 括 G i t h u b 、 b i t b u c k e t 在 内 的 代 码 托 管 平 台 存 储 载 荷 ， 开 启 新 一 波 服 务 器 入 侵 攻 势 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理