搜索

[13716] 2019-01-30_年末将至，Mirai挖矿致使机器不休假

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-01-30_年末将至，Mirai挖矿致使机器不休假 年 末 将 至 ， M i r a i 挖 矿 致 使 机 器 不 休 假 千 里 目 安 全 实 验 室   F r e e B u f   2 0 1 9 - 0 1 - 3 0 近 日 ， 深 信 服 安 全 团 队 基 于 近 日 ， 深 信 服 安 全 团 队 基 于 S I P 产 品 在 国 内 发 现 一 种 新 型 的 产 品 在 国 内 发 现 一 种 新 型 的 M i r a i 变 种 ， 该 变 种 会 进 行 门 罗 币 挖 矿 并 且 通 过 变 种 ， 该 变 种 会 进 行 门 罗 币 挖 矿 并 且 通 过 S S H 爆 破 来 实 现 传 爆 破 来 实 现 传 播 。 播 。 整 个 流 程 如 下 ： 0 x 0 1   系 统 调 用 下 载 器 系 统 调 用 下 载 器 然 后 我 们 分 析 一 下 另 一 个 程 序 D D G 这 个 文 件 ， 这 个 文 件 就 是 一 个 下 载 器 ， 下 载 母 体 。 该 程 序 使 用 了 大 量 的 内 联 汇 编 ， 通 过 系 统 调 用 来 实 现 下 载 的 功 能 ， 容 量 体 积 更 小 ， 减 少 了 被 杀 软 引 擎 识 别 的 风 险 。 具 体 的 系 统 调 用 可 以 在 h t t p s : / / s y s c a l l s . k e r n e l g r o k . c o m / 查 询 。
我 们 使 用 s t r a c e 来 观 察 一 下 这 个 程 序 的 行 为 ， 连 接 了 5 . 6 3 . 1 5 9 . 2 0 3 下 载 母 体 文 件 d l 0 x 0 2   多 功 能 变 种 多 功 能 变 种 M i r a i 母 体 母 体 该 M i r a i 母 体 已 被 多 家 引 擎 识 别 。 跟 踪 一 下 母 体 的 行 为 。
程 序 将 通 过 系 统 调 用 u n l i n k 将 自 身 给 删 除 了 ， 这 里 说 明 一 点 ， 母 体 会 一 直 运 行 ， 所 以 遇 到 这 种 找 不 到 文 件 ， 但 是 母 体 还 在 运 行 的 程 序 ， 可 以 通 过 查 找 P I D ,   然 后 进 入 / p r o c / P I D /   目 录 下 ， 找 到 e x e ， 使 用 c a t   / p r o c / P I D / e x e   > >   m o m _ e x e ， 可 以 拿 到 母 体 文 件 ， 如 果 直 接 将 母 体 进 程 干 掉 ， 就 拿 不 到 这 个 文 件 了 。 本 例 有 拿 到 下 载 器 ， 所 以 可 以 通 过 下 载 器 下 载 。 检 查 是 否 存 在 重 启 信 号 设 备 w a t c h d o g ( 看 门 狗 ) ， 如 果 检 测 到 则 修 改 权 限 ， 让 w a t c h d o g 失 效 然 后 检 测 同 行 的 比 特 币 挖 矿 软 件 , 通 过 使 用 m d 5 来 识 别 。
  将 h t t p ,   h t t p s ,   f t p 的 代 理 信 息 写 入 . b a s h r c 文 件 中 。 下 载 挖 矿 软 件 到 / t m p 目 录 并 且 执 行 ， 挖 矿 软 件 的 名 称 采 用 随 机 字 符 串 的 方 式 ， 长 度 不 固 定
可 以 看 到 创 建 了 一 个 随 机 端 口 监 听 ， 等 待 连 接 ， 并 且 开 启 了 一 个 s s h 暴 力 破 解 攻 击 其 他 主 机 ， 实 现 传 播 ， 被 攻 击 的 为 内 网 I P 和 随 机 生 成 I P 。 清 除 用 户 的 计 划 任 务 并 且 程 序 拥 有 着 守 护 挖 矿 进 程 的 能 力 ， 当 把 挖 矿 进 程 直 接 杀 掉 ， 母 体 会 重 新 下 载 挖 矿 病 毒 并 运 行 ， 所 以 这 里 是 导 致 出 现 病 毒 文 件 再 次 出 现 ， 但 是 并 没 有 运 行 的 原 因 。
拥 有 着 一 个 基 本 所 有 功 能 的 M i r a i ， 功 能 太 过 复 杂 ， 使 用 超 多 的 f o r k 和 s y s c a l l 汇 编 内 联 代 码 。 增 加 分 析 人 员 的 分 析 难 度 。   0 x 0 3   挖 矿 程 序 挖 矿 程 序 同 样 也 被 各 大 引 擎 识 别 了 , 这 个 是 门 罗 币 ( X M R ) 挖 矿 ， X M R 由 于 匿 名 性 被 黑 产 热 爱 。
s t r a c e 看 一 下 程 序 的 运 行 流 程 ， 连 接 矿 池 ， 发 送 任 务 ， 接 受 任 务 结 果 首 先 通 过 g u l f . m o n e r o o c e a n . s t r e a m 这 个 地 址 登 录 矿 工 的 信 息 ， 钱 包 等 ， 然 后 连 接 矿 池 x m r . c r y p t o - p o o l . f r ( 1 3 9 . 9 9 . 1 0 0 . 2 5 0 ) 进 行 挖 矿 我 们 抓 取 了 一 些 数 据 包 ， 可 以 发 现 程 序 通 信 的 挖 矿 数 据 我 们 可 以 看 到 一 次 完 整 的 挖 矿 通 信 的 数 据
0 x 0 4   分 析 结 论 分 析 结 论 该 程 序 经 过 测 试 ， 在 执 行 病 毒 母 体 后 ， 重 启 之 后 并 不 会 再 次 出 现 感 染 情 况 。 上 次 的 重 启 重 新 下 载 了 出 现 病 毒 文 件 初 步 估 计 是 没 有 清 理 干 净 ， 清 理 顺 序 的 问 题 。 挖 矿 信 息 ： 矿 工 信 息 验 证 地 址 ： g u l f . m o n e r o o c e a n . s t r e a m 矿 池 地 址 ： x m r . c r y p t o - p o o l . f r 钱 包 地 址 ： 4 8 9 n A w m i Y 4 s 8 X 9 5 k v P D V v U a H s q m r s 1 N w s V K o B b q K f t Y z D A Q J V U r y J w J 7 W M K a n s C e o w e 4 v x g 4 2 p 9 V t b D K T P x k K p 1 p U X T n A 5 X 8 6 V 4 2 m J 8 6 D g 5 u w 9 T Y L W a i r Z r j k h K 1 L k k i a A y D H e L T J h f E i 1 c 9 X b F P T H L C J W t M 1 2 S v 1 6 P 9 a M 6 U 6 4 E k c 9 d r Z 8 o r 5 5 Y 3 S q q i Q K I O C ( M D 5 ) ： 挖 矿 ： 0 4 e 2 8 b f d 6 f 7 e 5 8 7 0 1 a 7 6 5 4 d 5 3 d 2 7 9 1 0 0 下 载 器 ： d 5 3 0 c a b 4 5 f 1 2 3 4 c e 3 5 c 0 b 5 6 6 8 9 5 1 6 f 4 2 M i r a i 母 体 ： 9 c 6 9 9 4 3 4 f 7 2 e 7 9 8 a c 4 2 f 7 2 a 8 2 a 3 0 f 9 9 7 0 x 0 5   解 决 方 案 解 决 方 案 清 除 方 式 ： 将 母 体 的 所 有 进 程 先 全 部 使 用 k i l l   - 9   强 行 杀 死 然 后 到 / t m p 目 录 下 将 挖 矿 文 件 删 掉 （ 如 果 母 体 文 件 d l 还 在 ， 也 将 母 体 文 件 删 除 ） 然 后 使 用 k i l l   - 9   将 挖 矿 进 程 干 掉 。   病 毒 检 测 查 杀 ： 1 、 深 信 服 E D R 产 品 、 S I P 产 品 及 防 火 墙 等 安 全 产 品 均 具 备 病 毒 检 测 能 力 ， 部 署 相 关 产 品 用 户 可 进 行 病 毒 检 测 。
病 毒 防 御 ： 1 、 修 补 相 关 的 w e b 漏 洞 ， 防 止 被 再 次 入 侵 。 2 、 更 改 账 户 密 码 ， 设 置 强 密 码 ， 避 免 使 用 统 一 的 密 码 ， 因 为 统 一 的 密 码 会 导 致 一 台 被 攻 破 ， 多 台 遭 殃 。 3 、 病 毒 通 过 s s h 传 播 ， 如 果 可 以 ， 可 以 将 s s h 的 密 码 登 录 方 式 换 成 密 钥 登 录 。 可 防 止 s s h 爆 破 传 播 。 全 世 界 的 安 全 研 究 专 家 们 经 常 都 需 要 对 恶 意 软 件 来 进 行 逆 向 工 程 分 析 ， 这 样 才 能 更 加 清 楚 地 了 解 到 网 络 攻 击 者 的 攻 击 方 式 以 及 真 正 意 图 。 * 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 千 里 目 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理