搜索

[14822] 2019-11-16_Graboid蠕虫分析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-11-16_Graboid蠕虫分析 G r a b o i d 蠕 虫 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 1 1 - 1 6 研 究 人 员 发 现 了 名 为 研 究 人 员 发 现 了 名 为 G r a b o i d 的 新 型 加 密 劫 持 蠕 虫 ， 该 蠕 虫 已 传 播 到 的 新 型 加 密 劫 持 蠕 虫 ， 该 蠕 虫 已 传 播 到 2 , 0 0 0 多 个 不 安 全 的 多 个 不 安 全 的 D o c k e r 主 机 。 主 机 。 曾 经 发 生 过 以 蠕 虫 病 毒 形 式 传 播 加 密 劫 持 恶 意 软 件 的 事 件 ， 但 这 是 第 一 次 看 到 使 用 D o c k e r   E n g i n e 中 的 容 器 传 播 的 加 密 劫 持 蠕 虫 。 由 于 大 多 数 传 统 的 保 护 软 件 都 不 检 查 容 器 内 的 数 据 和 活 动 ， 因 此 这 种 恶 意 活 动 很 难 检 测 到 。 攻 击 者 通 过 不 安 全 的 D o c k e r 守 护 程 序 获 得 了 最 初 攻 击 切 入 点 。 恶 意 软 件 是 通 过 C 2 服 务 器 下 载 ， 用 于 挖 掘 M o n e r o 并 定 期 从 C 2 查 询 新 的 易 受 攻 击 主 机 ， 随 机 选 择 下 一 个 目 标 以 将 蠕 虫 进 行 传 播 。 分 析 表 明 ， 平 均 每 个 矿 工 有 6 3 ％ 的 时 间 处 于 活 动 状 态 ， 每 个 采 矿 周 期 持 续 2 5 0 秒 。 D o c k e r 团 队 目 前 已 删 除 恶 意 映 像 。 蠕 虫 分 析 蠕 虫 分 析 S h o d a n 搜 索 显 示 ， 有 2 , 0 0 0 多 个 D o c k e r 不 安 全 地 暴 露 于 互 联 网 。 无 需 任 何 身 份 验 证 或 授 权 ， 攻 击 者 就 可 以 完 全 控 制 D o c k e r E n g i n e （ C E ） 和 主 机 。 攻 击 者 利 用 此 入 口 点 来 部 署 和 传 播 蠕 虫 。 图 1 说 明 了 恶 意 软 件 的 分 发 和 传 播 方 式 。 攻 击 者 入 侵 了 一 个 不 安 全 的 d o c k e r 守 护 进 程 ， 从 D o c k e r   H u b 中 提 取 的 恶 意 d o c k e r 容 器 ， 从 C 2 下 载 脚 本 和 易 受 攻 击 的 主 机 列 表 ， 并 选 择 下 一 个 目 标 来 传 播 蠕 虫 。
该 恶 意 软 件 “   G r a b o i d ” 在 容 器 内 部 进 行 蠕 虫 传 播 和 加 密 劫 持 。 它 在 每 次 迭 代 中 随 机 选 择 三 个 目 标 ， 在 第 一 个 目 标 上 安 装 蠕 虫 ， 在 第 二 个 目 标 上 停 止 采 矿 ， 在 第 三 个 目 标 上 启 动 采 矿 。 如 果 我 的 主 机 受 到 威 胁 ， 则 恶 意 容 器 不 会 立 即 启 动 ， 必 须 等 到 另 一 个 受 到 感 染 的 主 机 选 择 我 并 开 始 挖 矿 个 工 作 。 其 他 受 到 感 染 的 主 机 也 可 以 随 机 停 止 我 的 挖 矿 工 作 。 本 质 上 ， 每 台 受 感 染 主 机 上 的 矿 工 均 由 所 有 其 他 受 感 染 主 机 随 机 控 制 。 以 下 是 更 详 细 的 分 步 操 作 ： 1 、 攻 击 者 选 择 了 一 个 不 安 全 的 D o c k e r 主 机 作 为 目 标 ， 并 发 送 远 程 命 令 来 下 载 和 部 署 恶 意 D o c k e r 映 像 p o c o s o w   / c e n t o s ： 7 . 6 . 1 8 1 0 。 该 映 像 包 含 用 于 与 其 他 D o c k e r 主 机 进 行 通 信 的 D o c k e r 客 户 端 工 具 。 2 、 容 器 中 的 入 口 点 脚 本 /   v a r   /   s b i n   /   b a s h 从 C 2 下 载 4 个 s h e l l 脚 本 ， 并 一 一 执 行 。 下 载 的 脚 本 是 l i v e . s h ， w o r m . s h ， c l e a n x m r . s h ， x m r . s h 。 3 、 l i v e . s h 将 受 感 染 主 机 上 的 可 用 C P U 数 量 发 送 到 C 2 。 4 、 w o r m . s h 下 载 文 件 “   I P ” ， 其 中 包 含 2 0 0 0 多 个 I P 的 列 表 。 这 些 I P 是 不 安 全 d o c k e r   A P I 的 主 机 。 w o r m . s h 随 机 选 择 一 个 I P 作 为 目 标 ， 并 使 用 d o c k e r 客 户 端 工 具 远 程 部 署 p o c o s o w   /   c e n t o s 容 器 。 5 、 c l e a n x m r . s h 从 I P 文 件 中 随 机 选 择 一 个 易 受 攻 击 的 主 机 ， 然 后 停 止 目 标 上 的 c r y p t o j a c k i n g 容 器 。 c l e a n x m r . s h 不 仅 会 停 止 蠕 虫 部 署 的 密 码 劫 持 容 （ g a k e a w s   /   n g i n x ） ， 而 且 还 会 停 止 其 他 基 于 x m r i g 正 在 运 行 的 容 器 。 6 、 x m r . s h 从 I P 文 件 中 随 机 选 择 一 个 易 受 攻 击 的 主 机 ， 然 后 在 目 标 主 机 上 部 署 g a k e a w s   /   n g i n x 。 g a k e a w s   /   n g i n x 包 含 被 伪 装 为 n g i n x 的 x m r i g 二 进 制 文 件 。 在 每 个 受 感 染 的 主 机 上 定 期 重 复 执 行 步 骤 1 至 步 骤 6 。 已 知 的 刷 新 间 隔 为 1 0 0 秒 。 启 动 p o c o s o w   /   c e n t o s 容 器 后 ， s h e l l 脚 本 和 I P 文 件 都 会 从 C 2 下 载 。 如 上 图 所 示 ， D o c k e r 映 像 p o c o s o w   /   c e n t o s 已 被 下 载 超 过 1 0 , 0 0 0 次 ， g a k e a w s   /   n g i n x 已 被 下 载 超 过 6 , 5 0 0 次 。 只 有 下 载 并 执 行 程 序 脚 本 后 ， 才 能 知 道 p o c o s o w   /   c e n t o s 的 恶 意 意 图 。 但 是 ， 可 以 很 容 易 地 从 其 构 建 历 史 中 发 现 g a k e a w s   / n g i n x 的 恶 意 意 图 。 如 图 3 所 示 ， 它 仅 在 构 建 时 将 x m r i g 二 进 制 文 件 重 命 名 为 n g i n x （ 第 7 行 ） 。 在 构 建 期 间 ， 付 款 地 址 被 硬 编 码 到 环 境 变 量 中 （ 第 6 行 ） 。
图 4 显 示 了 I P 文 件 中 列 出 的 2 , 0 3 4 台 主 机 的 位 置 ， 其 中 5 7 . 4 ％ 的 I P 源 自 中 国 ， 其 次 是 美 国 的 1 3 ％ 。 在 恶 意 软 件 使 用 的 1 5 台 C 2 服 务 器 中 ， 有 1 4 台 是 列 在 I P 文 件 中 ， 一 台 主 机 中 有 5 0 多 个 已 知 漏 洞 。 攻 击 者 攻 击 渗 透 了 这 些 主 机 并 将 其 用 作 C 2 服 务 器 。 蠕 虫 模 拟 蠕 虫 模 拟 为 了 更 好 地 了 解 蠕 虫 的 有 效 性 及 其 整 体 挖 掘 能 力 ， 我 们 创 建 了 一 个 简 单 的 P y t h o n 程 序 来 模 拟 蠕 虫 。 假 设 I P 文 件 中 有 2 , 0 0 0 台 主 机 ， 其 中 3 0 ％ 的 主 机 在 运 行 期 间 发 生 故 障 ， 刷 新 间 隔 为 1 0 0 秒 ， 并 且 每 台 受 损 的 主 机 上 都 有 一 个 C P U 。 实 验 模 拟 了 一 个 为 期 3 0 天 的 攻 击 活 动 来 研 究 以 下 几 个 问 题 ：
该 蠕 虫 需 要 多 长 时 间 才 能 传 播 到 所 有 易 受 攻 击 的 D o c k e r 主 机 ？ 攻 击 者 拥 有 多 少 采 矿 能 力 ？ 每 个 矿 工 在 受 感 染 主 机 上 保 持 多 长 时 间 活 动 ？ 图 5 的 左 侧 部 分 显 示 了 蠕 虫 传 播 的 速 度 。 蠕 虫 病 毒 大 约 需 要 6 0 分 钟 才 能 到 达 所 有 1 4 0 0 个 易 受 攻 击 的 主 机 （ 2 , 0 0 0 多 个 主 机 中 的 7 0 ％ ） 。 图 5 的 右 侧 部 分 显 示 了 受 感 染 主 机 的 总 体 挖 掘 能 力 。 平 均 有 9 0 0 名 活 跃 矿 工 ， 攻 击 者 拥 有 一 个 1 , 4 0 0 个 节 点 的 挖 掘 集 群 ， 该 集 群 具 有 至 少 有 9 0 0 个 C P U 的 挖 掘 能 力 。 由 于 受 感 染 主 机 上 的 矿 工 可 以 随 机 启 动 和 停 止 ， 因 此 每 个 矿 工 仅 在 6 5 ％ 的 时 间 内 处 于 活 动 状 态 ， 每 个 采 矿 周 期 平 均 仅 持 续 2 5 0 秒 。 总 结 总 结 此 劫 持 蠕 虫 不 涉 及 复 杂 的 策 略 、 技 术 、 传 播 过 程 ， 但 该 蠕 虫 可 以 定 期 从 C 2 中 提 取 新 脚 本 ， 因 此 它 可 以 轻 松 地 将 其 自 身 重 新 用 于 勒 索 软 件 或 任 何 恶 意 软 件 。 如 果 创 建 了 更 强 大 的 蠕 虫 来 采 用 类 似 的 渗 透 方 法 ， 可 能 造 成 更 大 的 破 坏 。 以 下 是 相 关 防 护 策 略 ： 1 、 如 果 没 有 身 份 验 证 机 制 ， 切 勿 将 d o c k e r 守 护 程 序 暴 露 在 互 联 网 。 默 认 情 况 下 ， D o c k e r   E n g i n e （ C E ） 不 会 暴 露 于 互 联 网 。 2 、 使 用 U n i x 套 接 字 在 本 地 与 D o c k e r 守 护 程 序 进 行 通 信 ， 或 者 使 用 S S H 连 接 到 远 程 D o c k e r 守 护 程 序 。 3 、 使 用 防 火 墙 白 名 单 限 制 进 入 流 量 。 4 、 切 勿 提 取 未 知 D o c k e r 镜 像 。 5 、 经 常 检 查 系 统 中 是 否 有 未 知 的 容 器 或 镜 像 。 I O C s D o c k e r   I m a g e s : p o c o s o w / c e n t o s : 7 . 6 . 1 8 1 0 : D i g e s t :   s h a 2 5 6 : 6 5 6 0 d d f d 4 b 9 a f 2 c 8 7 b 4 8 a d 9 8 d 9 3 c 5 6 f b f 1 d 7 c 5 0 7 7 6 3 e 9 9 b 3 d 2 5 a 4 d 9 9 8 c 3 f 7 7 c f g a k e a w s / n g i n x : 8 . 9 : D i g e s t :   s h a 2 5 6 : 4 8 2 7 7 6 7 b 9 3 8 3 2 1 5 0 5 3 a b e 6 6 8 8 e 8 2 9 8 1 b 5 f b e b a 5 d 9 d 4 0 0 7 0 8 7 6 e b 7 9 4 8 f b 7 3 d e d b g a k e a w s / m y s q l : D i g e s t :   s h a 2 5 6 : 1 5 3 1 9 b 6 c a 1 8 4 0 e c 2 a a 6 9 e a 4 f 4 1 d 8 9 c d f 0 8 6 0 2 9 e 3 b c a b 1 5 d e a a f 7 a 8 5 8 5 4 7 7 4 8 8 1
M o n e r o   A d d r e s s : 4 5 T w K E r 1 L j o E P u x n b f u P h a X C f 1 3 8 A o Q v t S J 3 j d q g 1 g P x N j k S N b Q p z Z r G D a F H G L r V T 7 A z M 7 t U 9 Q Y 8 N V d r 4 H 1 C 3 r 2 d 3 X N 9 C t y C 2   s e r v e r s : 1 2 0 . 2 7 . 3 2 [ . ] 1 5 1 0 3 . 2 4 8 . 1 6 4 [ . ] 3 8 1 0 1 . 1 6 1 . 2 2 3 [ . ] 2 5 4 6 1 . 1 8 . 2 4 0 [ . ] 1 6 0 1 8 2 . 1 6 . 1 0 2 [ . ] 9 7 4 7 . 1 1 1 . 9 6 [ . ] 1 9 7 1 0 6 . 5 3 . 8 5 [ . ] 2 0 4 1 1 6 . 6 2 . 4 8 [ . ] 5 1 1 4 . 6 7 . 6 8 [ . ] 5 2 1 1 8 . 2 4 . 2 2 2 [ . ] 1 8 1 0 6 . 1 3 . 1 2 7 [ . ] 6 1 2 9 . 2 1 1 . 9 8 [ . ] 2 3 6 1 0 1 . 3 7 . 2 4 5 [ . ] 2 0 0 1 0 6 . 7 5 . 9 6 [ . ] 1 2 6 4 7 . 1 0 7 . 1 9 1 [ . ] 1 3 7 * 参 考 来 源 ： 参 考 来 源 ： u n i t 4 2 ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理