搜索

[13745] 2019-02-11_2018年云上挖矿分析报告

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-02-11_2018年云上挖矿分析报告 2 0 1 8 年 云 上 挖 矿 分 析 报 告 阿 里 云 安 全   F r e e B u f   2 0 1 9 - 0 2 - 1 1 近 日 ， 阿 里 云 安 全 团 队 发 布 了 《 近 日 ， 阿 里 云 安 全 团 队 发 布 了 《 2 0 1 8 年 云 上 挖 矿 分 析 报 告 》 。 该 报 告 以 阿 里 云 年 云 上 挖 矿 分 析 报 告 》 。 该 报 告 以 阿 里 云 2 0 1 8 年 的 攻 防 数 据 为 基 础 ， 对 恶 年 的 攻 防 数 据 为 基 础 ， 对 恶 意 挖 矿 态 势 进 行 了 分 析 ， 并 为 个 人 和 企 业 提 出 了 合 理 的 安 全 防 护 建 议 。 意 挖 矿 态 势 进 行 了 分 析 ， 并 为 个 人 和 企 业 提 出 了 合 理 的 安 全 防 护 建 议 。 报 告 指 出 ， 尽 管 加 密 货 币 的 价 格 在 2 0 1 8 年 经 历 了 暴 跌 ， 但 挖 矿 仍 是 网 络 黑 产 团 伙 在 入 侵 服 务 器 之 后 最 直 接 的 变 现 手 段 ， 越 来 越 多 的 0 - D a y / N - D a y 漏 洞 在 公 布 后 的 极 短 时 间 内 就 被 用 于 入 侵 挖 矿 ， 黑 产 团 伙 利 用 漏 洞 发 起 攻 击 进 行 挖 矿 的 趋 势 仍 将 持 续 。 一 、 攻 击 态 势 分 析 一 、 攻 击 态 势 分 析 1 .   热 点 热 点 0 - D a y / N - D a y 漏 洞 利 用 成 为 挖 矿 团 伙 的 漏 洞 利 用 成 为 挖 矿 团 伙 的 ” 武 器 库 武 器 库 ” , 0 - D a y 漏 洞 留 给 用 户 进 行 修 复 的 窗 口 期 变 短 】 漏 洞 留 给 用 户 进 行 修 复 的 窗 口 期 变 短 】 2 0 1 8 年 ， 多 个 应 用 广 泛 的 w e b 应 用 爆 出 高 危 漏 洞 ， 对 互 联 网 安 全 造 成 严 重 威 胁 。 事 后 安 全 社 区 对 漏 洞 信 息 的 分 析 和 漏 洞 细 节 的 分 享 ， 让 利 用 代 码 能 够 方 便 的 从 互 联 网 上 获 取 。 挖 矿 团 伙 自 然 不 会 放 过 这 些 唾 手 可 得 的 “ 武 器 库 ” 。 此 外 一 些 持 续 未 得 到 普 遍 修 复 的 N - D a y 漏 洞 往 往 也 会 被 挖 矿 团 伙 利 用 。 本 报 告 梳 理 了 部 分 热 点 0 - D a y / N - D a y 漏 洞 被 挖 矿 团 伙 大 量 利 用 的 事 件 。 同 时 阿 里 云 观 察 到 ， 0 - D a y 漏 洞 从 披 露 到 大 规 模 利 用 之 间 的 时 间 间 隔 越 来 越 小 漏 洞 从 披 露 到 大 规 模 利 用 之 间 的 时 间 间 隔 越 来 越 小 。 因 此 在 高 危 0 - D a y 漏 洞 爆 出 后 未 能 及 时 修 复 的 用 户 ， 容 易 成 为 恶 意 挖 矿 的 受 害 者 。 2 .   非 非 W e b 网 络 应 用 暴 露 在 公 网 后 成 为 挖 矿 团 伙 利 用 的 重 灾 区 网 络 应 用 暴 露 在 公 网 后 成 为 挖 矿 团 伙 利 用 的 重 灾 区 企 业 对 W e b 应 用 可 能 造 成 的 安 全 威 胁 已 经 有 足 够 的 重 视 ， W A F 、 R A S P 、 漏 洞 扫 描 等 安 全 产 品 也 提 升 了 W e b 应 用 的 安 全 水 位 。 而 非 W e b 网 络 应 用 ( R e d i s 、 H a d o o p 、 S Q L S e r v e r 等 ) 往 往 并 非 企 业 核 心 应 用 ， 企 业 在 安 全 加 固 和 漏 洞 修 复 上 投 入 并 不 如 W e b 应 用 ， 往 往 导 致 高 危 漏 洞 持 续 得 不 到 修 复 ， 因 而 挖 矿 团 伙 也 会 针 对 性 利 用 互 联 网 上 这 些 持 续 存 在 的 弱 点 应 用 。 本 报 告 梳 理 了 2 0 1 8 年 非 W e b 网 络 应 用 漏 洞 被 挖 矿 团 伙 利 用 的 时 间 线 。 3 .   挖 矿 团 伙 广 泛 利 用 暴 力 破 解 进 行 传 播 ， 弱 密 码 仍 然 是 互 联 网 面 临 的 主 要 威 胁 挖 矿 团 伙 广 泛 利 用 暴 力 破 解 进 行 传 播 ， 弱 密 码 仍 然 是 互 联 网 面 临 的 主 要 威 胁 下 图 为 不 同 应 用 被 入 侵 导 致 挖 矿 所 占 百 分 比 ， 可 以 发 现 S S H / R D P / S Q L S e r v e r 是 挖 矿 利 用 的 重 点 应 用 ， 而 这 些 应 用 通 常 是 因 为 弱 密 码 被 暴 力 破 解 导 致 被 入 侵 感 染 挖 矿 病 毒 。 由 此 可 以 看 出 弱 密 码 导 致 的 身 份 认 证 问 题 仍 然 是 互 联 网 面 临 的 重 要 威 胁 。
二 、 二 、   恶 意 行 为 恶 意 行 为 1 .   挖 矿 后 门 普 遍 通 过 蠕 虫 形 式 传 播 挖 矿 后 门 普 遍 通 过 蠕 虫 形 式 传 播 大 多 数 的 挖 矿 团 伙 在 感 染 受 害 主 机 植 入 挖 矿 木 马 后 ， 会 控 制 这 些 受 害 主 机 对 本 地 网 络 及 互 联 网 的 其 他 主 机 进 行 扫 描 和 攻 击 ， 从 而 扩 大 感 染 量 。 这 些 挖 矿 木 马 传 播 速 度 较 快 ， 且 很 难 在 互 联 网 上 根 除 ， 因 为 一 旦 少 量 主 机 受 到 恶 意 程 序 感 染 ， 它 会 受 控 开 始 攻 击 其 他 主 机 ， 导 致 其 它 带 有 漏 洞 或 存 在 配 置 问 题 的 主 机 也 很 快 沦 陷 。 少 量 挖 矿 团 伙 会 直 接 控 制 部 分 主 机 进 行 网 络 攻 击 ， 入 侵 受 害 主 机 后 只 在 主 机 植 入 挖 矿 后 门 ， 并 不 会 进 一 步 扩 散 。 最 有 代 表 性 的 就 是 8 2 2 0 挖 矿 团 伙 。 这 类 团 伙 一 般 漏 洞 利 用 手 段 比 较 丰 富 ， 漏 洞 更 新 速 度 较 快 。 2 .   挖 矿 团 伙 会 在 受 害 主 机 上 通 过 持 久 化 驻 留 获 取 最 大 收 益 挖 矿 团 伙 会 在 受 害 主 机 上 通 过 持 久 化 驻 留 获 取 最 大 收 益 大 多 数 的 挖 矿 团 伙 ， 都 会 尝 试 在 受 害 主 机 上 持 久 化 驻 留 以 获 取 最 大 收 益 。 通 常 在 L i n u x 系 统 中 ， 挖 矿 团 伙 通 过 c r o n t a b 设 置 周 期 性 被 执 行 的 指 令 。 在 W i n d o w s 系 统 中 ， 挖 矿 团 伙 通 常 使 用 s c h t a s k 和 W M I 来 达 到 持 久 化 的 目 的 。 如 下 为 B u l e h e r o 木 马 执 行 添 加 周 期 任 务 的 s c h t a s k 命 令 : 3 .   挖 矿 团 伙 会 通 过 伪 装 进 程 、 加 壳 、 代 码 混 淆 、 私 搭 矿 池 或 代 理 等 手 段 规 避 安 全 分 析 和 溯 源 挖 矿 团 伙 会 通 过 伪 装 进 程 、 加 壳 、 代 码 混 淆 、 私 搭 矿 池 或 代 理 等 手 段 规 避 安 全 分 析 和 溯 源 B u l e h e r o 挖 矿 网 络 使 用 的 病 毒 下 载 器 进 程 名 为 s c v s o t s . e x e ， 与 w i n d o w s 正 常 程 序 的 名 字 s v c h o s t . e x e 极 其 相 似 ； 其 它 僵 尸 网 络 使 用 的 恶 意 程 序 名 ， 像 t a s k h s o t . e x e 、 t a s k m g r . e x e 、 j a v a 这 类 形 似 正 常 程 序 的 名 称 也 是 屡 见 不 鲜 。 在 分 析 挖 矿 僵 尸 网 络 的 过 程 中 我 们 发 现 ， 大 多 数 后 门 二 进 制 程 序 都 被 加 壳 ， 最 经 常 被 使 用 的 是 W i n d o w s 下 的 U P X 、 V M P 、 s f x r a r 等 ， 如 下 图 ， 几 乎 每 个 R D P M i n e r 使 用 的 恶 意 程 序 都 加 了 上 述 三 种 壳 之 一 。 c m d   / c   s c h t a s k s   / c r e a t e   / s c   m i n u t e   / m o   1   / t n   " M i s c f o s t "   / r u   s y s t e m   / t r   " c m d   / c   C : W i n d o w s i m e s c v s o t s . e x e " c m d   / c   s c h t a s k s   / c r e a t e   / s c   m i n u t e   / m o   1   / t n   " N e t f r a m e w o r k "   / r u   s y s t e m   / t r   " c m d   / c   e c h o   Y | c a c l s   C : W i n d o w s s c v s o t s . e x e   / p   e v e r y o n e : F "
此 外 ， 挖 矿 团 伙 使 用 的 恶 意 脚 本 往 往 也 经 过 各 种 混 淆 。 如 下 图 ， J B o s s M i n e r 挖 矿 僵 尸 网 络 在 其 v b s 恶 意 脚 本 中 进 行 混 淆 加 密 。 尽 管 人 工 分 析 时 可 以 通 过 多 种 手 段 去 混 淆 或 解 密 ， 但 加 密 和 混 淆 对 逃 避 杀 毒 软 件 而 言 ， 仍 是 非 常 有 效 的 手 段 。 恶 意 挖 矿 团 伙 使 用 自 己 的 钱 包 地 址 连 接 公 开 矿 池 ， 可 能 因 为 矿 池 收 到 投 诉 导 致 钱 包 地 址 被 封 禁 。 挖 矿 团 伙 倾 向 于 更 多 的 使 用 矿 池 代 理 或 私 搭 矿 池 的 方 式 进 行 挖 矿 。 进 而 安 全 研 究 人 员 也 难 以 通 过 矿 池 公 布 的 H a s h R a t e 和 付 款 历 史 估 算 出 被 入 侵 主 机 的 数 量 和 规 模 。 三 、 主 流 团 伙 概 述 三 、 主 流 团 伙 概 述 1 .   D D G 挖 矿 团 伙 挖 矿 团 伙 从 2 0 1 7 年 底 首 次 被 曝 光 至 今 ， D D G 挖 矿 僵 尸 网 络 一 直 保 持 着 极 高 的 活 跃 度 。 其 主 要 恶 意 程 序 由 g o 语 言 写 成 ， 客 观 上 对 安 全 人 员 研 究 分 析 造 成 了 一 定 阻 碍 。 而 频 繁 的 程 序 配 置 改 动 、 技 术 手 段 升 级 ， 使 它 堪 称 2 0 1 8 年 危 害 最 大 的 挖 矿 僵 尸 网 络 。
D D G （ 3 0 1 9 ） 各 模 块 结 构 功 能 2 .   8 2 2 0 挖 矿 团 伙 挖 矿 团 伙 在 诸 多 挖 矿 僵 尸 网 络 中 ， 8 2 2 0 团 伙 的 挖 矿 木 马 独 树 一 帜 ， 因 为 它 并 未 采 用 蠕 虫 型 传 播 ， 而 是 直 接 对 漏 洞 进 行 利 用 。 这 种 方 式 理 论 上 传 播 速 度 较 慢 ， 相 较 于 蠕 虫 型 传 播 的 僵 尸 网 络 也 更 难 存 活 ， 但 8 2 2 0 挖 矿 团 伙 仍 以 这 种 方 式 获 取 了 较 大 的 感 染 量 。 挖 矿 网 络 结 构 3 .   M y k i n g s ( t h e H i d d e n ) 挖 矿 团 伙 挖 矿 团 伙 M y k i n g s （ 又 名 t h e H i d d e n “ 隐 匿 者 ” ） 挖 矿 网 络 在 2 0 1 7 年 中 就 被 多 家 友 商 提 及 并 报 道 。 它 从 2 0 1 4 年 开 始 出 现 ， 时 至 今 日 该 僵 尸 网 络 依 然 活 跃 ， 可 以 说 是 拥 有 非 常 旺 盛 的 生 命 力 。 该 僵 尸 网 络 极 为 复 杂 ， 集 成 了 M i r a i 、 M a s s c a n 等 恶 意 程 序 的
功 能 ， 此 外 在 p a y l o a d 、 B y p a s s U A C 部 分 都 使 用 极 其 复 杂 的 加 密 混 淆 技 术 ， 掩 盖 攻 击 意 图 ， 逃 避 安 全 软 件 的 检 测 和 安 全 研 究 人 员 的 分 析 。 该 挖 矿 僵 尸 网 络 在 1 1 月 底 更 是 被 发 现 与 “ 暗 云 ” 联 手 ， 危 害 性 再 次 增 强 。 挖 矿 网 络 结 构 4 .   B u l e h e r o 挖 矿 团 伙 挖 矿 团 伙 挖 矿 网 络 结 构 5 .   R D P M i n e r 挖 矿 团 伙 挖 矿 团 伙 该 挖 矿 僵 尸 网 络 自 2 0 1 8 年 1 0 月 开 始 蔓 延 ， 之 后 多 次 更 换 挖 矿 程 序 名 称 。 挖 矿 网 络 结 构
6 .   J b o s s M i n e r 挖 矿 团 伙 挖 矿 团 伙 阿 里 云 安 全 团 队 于 2 0 1 8 年 3 月 报 道 过 ， 从 蜜 罐 中 捕 获 到 J b o s s M i n e r 的 恶 意 程 序 样 本 ， 该 样 本 由 p y 2 e x e 打 包 ， 解 包 反 编 译 后 是 一 套 由 P y t h o n 编 写 的 完 整 攻 击 程 序 ， 包 含 源 码 及 依 赖 类 库 等 数 十 个 文 件 。 且 对 于 W i n d o w s 和 L i n u x 系 统 的 受 害 主 机 ， 有 不 同 的 利 用 程 序 。 挖 矿 网 络 结 构 7 .   W a n n a M i n e W a n n a M i n e 是 一 个 蠕 虫 型 僵 尸 网 络 。 这 个 挖 矿 团 伙 的 策 略 曾 被 C r o w d S t r i k e 形 容 为 “ 靠 山 吃 山 靠 水 吃 水 ” ( l i v i n g   o f f   t h e l a n d ) ， 因 为 恶 意 程 序 在 被 感 染 的 主 机 上 ， 首 先 会 尝 试 通 过 M i m i k a t z 收 集 的 密 码 登 录 其 他 主 机 ， 失 败 之 后 再 利 用 “ 永 恒 之 蓝 ” 漏 洞 攻 击 其 他 主 机 ， 进 行 繁 殖 传 播 。 挖 矿 网 络 结 构 8 .   K w o r k e r d 这 是 一 个 主 要 攻 击 R e d i s 数 据 库 未 授 权 访 问 漏 洞 的 挖 矿 僵 尸 网 络 ， 因 其 将 挖 矿 程 序 的 名 字 伪 装 成 L i n u x 正 常 进 程 K w o r k e r d 故 得 名 。 该 木 马 只 利 用 一 种 漏 洞 却 仍 有 不 少 感 染 量 ， 说 明 数 据 库 安 全 配 置 亟 待 得 到 用 户 的 重 视 。 9 .   D o c k e r K i l l e r
随 着 微 服 务 的 热 度 不 断 上 升 ， 越 来 越 多 的 企 业 选 择 容 器 来 部 署 自 己 的 应 用 。 而 D o c k e r 作 为 实 现 微 服 务 首 选 容 器 ， 在 大 规 模 部 署 的 同 时 其 安 全 性 却 没 有 引 起 足 够 的 重 视 。 2 0 1 8 年 8 月 ， D o c k e r 配 置 不 当 导 致 的 未 授 权 访 问 漏 洞 遭 到 挖 矿 团 伙 的 批 量 利 用 。 挖 矿 网 络 结 构 四 、 安 全 建 议 四 、 安 全 建 议 如 今 尽 管 币 价 低 迷 ， 但 由 于 经 济 形 势 承 受 下 行 的 压 力 ， 可 能 为 潜 在 的 犯 罪 活 动 提 供 诱 因 。 阿 里 云 预 计 ， 2 0 1 9 年 挖 矿 活 动 数 量 仍 将 处 于 较 高 的 水 位 ； 且 随 着 挖 矿 和 漏 洞 利 用 相 关 知 识 的 普 及 ， 恶 意 挖 矿 的 入 场 玩 家 可 能 趋 于 稳 定 且 伴 有 少 量 增 加 。 基 于 这 种 状 况 ， 阿 里 云 安 全 团 队 为 企 业 和 个 人 提 供 如 下 安 全 建 议 ： 安 全 系 统 中 最 薄 弱 的 一 环 在 于 人 ， 最 大 的 安 全 问 题 也 往 往 出 于 人 的 惰 性 ， 因 此 弱 密 码 、 爆 破 的 问 题 占 了 挖 矿 原 因 的 半 壁 江 山 。 无 论 是 企 业 还 是 个 人 ， 安 全 意 识 教 育 必 不 可 少 ； 0 - D a y 漏 洞 修 复 的 窗 口 期 越 来 越 短 ， 企 业 需 要 提 升 漏 洞 应 急 响 应 的 效 率 ， 一 方 面 是 积 极 进 行 应 用 系 统 更 新 ， 另 一 方 面 是 关 注 产 品 的 安 全 公 告 并 及 时 升 级 ， 同 时 也 可 以 选 择 购 买 安 全 托 管 服 务 提 升 自 己 的 安 全 水 位 ； 伴 随 着 云 上 弹 性 的 计 算 资 源 带 来 的 便 利 ， 一 些 非 W e b 类 的 网 络 应 用 暴 露 的 风 险 也 同 步 上 升 ， 安 全 运 维 人 员 应 该 重 点 关 注 非 W e b 类 的 应 用 伴 随 的 安 全 风 险 ， 或 者 选 择 购 买 带 I P S 功 能 的 防 火 墙 产 品 ， 第 一 时 间 给 0 - D a y 漏 洞 提 供 防 护 。 * 本 文 作 者 ： 阿 里 云 安 全 ， 转 载 请 注 明 来 自 本 文 作 者 ： 阿 里 云 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理