搜索

[16281] 2021-01-04_门罗币挖矿僵尸网络PGMiner瞄准PostgreSQL

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2021-01-04_门罗币挖矿僵尸网络PGMiner瞄准PostgreSQL 门 罗 币 挖 矿 僵 尸 网 络 P G M i n e r 瞄 准 P o s t g r e S Q L A v e n g e r   F r e e B u f   2 0 2 1 - 0 1 - 0 4 P a l o   A l t o   N e t w o r k s   U n i t   4 2   的 安 全 研 究 员 发 现 了 一 种 基 于   L i n u x   平 台 的 加 密 货 币 挖 掘 僵 尸 网 络 ， 该 僵 尸 网 络 利 用 P o s t g r e S Q L   远 程 代 码 执 行 （ R C E ） 漏 洞 来 攻 陷 数 据 库 。 据   P a l o   A l t o   N e t w o r k s   U n i t   4 2   研 究 人 员 的 描 述 ， P G M i n e r   利 用   P o s t g r e S Q L （ 也 被 称 为   P o s t g r e s ） 中 的   C V E - 2 0 1 9 - 9 1 9 3   漏 洞 发 起 攻 击 。 这 可 能 是 有 史 以 来 第 一 个 针 对   P o s t g r e S Q L   的 加 密 货 币 挖 掘 僵 尸 网 络 。 利 用 漏 洞 利 用 漏 洞 U n i t   4 2   研 究 人 员 在 文 章 中 表 示 ： “ 攻 击 者 正 在 利 用 的   P o s t g r e S Q L   功 能 是 ’ c o p y   f r o m   p r o g r a m ’ ， 该 功 能 于   2 0 1 3   年   9   月 9   日 在   9 . 3   版 中 引 入 的 ” ， “ 早 在   2 0 1 8   年 ， 针 对   C V E - 2 0 1 9 - 9 1 9 3   漏 洞   P o s t g r e S Q L   社 区 就 存 在 极 大 的 质 疑 ， 该 漏 洞 也 被 标 记 为 “ 有 争 议 的 ” 。 他 们 补 充 说 道 ： “ 值 得 注 意 的 是 ， 恶 意 软 件 攻 击 者 不 仅 已 开 始 对 确 认 的 漏 洞 进 行 武 器 化 ， 而 且 还 开 始 对 有 争 议 的 漏 洞 进
行 武 器 化 ” 。 该 功 能 允 许 从 本 地 或 远 程 在 服 务 器 上 运 行   S h e l l   脚 本 。 但 是 ， 只 要 超 级 用 户 或 不 受 信 任 的 用 户 都 不 具 有 远 程 权 限 ， 并 且 访 问 控 制 和 身 份 验 证 系 统 已 进 行 了 正 确 配 置 ， 就 不 会 有 风 险 。 另 一 方 面 ， 如 果 配 置 不 正 确 ， P o s t g r e S Q L   也 会 被 通 过 暴 力 破 解 或   S Q L   注 入 等 方 式 获 取 超 级 用 户 权 限 ， 这 也 可 以 在   P o s t g r e S Q L   以 外 的 服 务 器 上 进 行 远 程 代 码 执 行 。 攻 击 细 节 攻 击 细 节 研 究 人 员 表 示 ： “ 攻 击 者 会 扫 描   P o s t g r e S Q L   使 用 的 端 口   5 4 3 2 （ 0 x 1 5 3 8 ） ” ，   “ 恶 意 软 件 会 随 机 选 择 一 个 网 络 地 址 段 （ 例 如   1 9 0 . 0 . 0 . 0 、 6 6 . 0 . 0 . 0 ） 开 始 扫 描 ， 以 尝 试 在   P o s t g r e S Q L   服 务 器 上 执 行 远 程 代 码 。 与 此 同 时 ， 会 使 用 数 据 库 的 默 认 用 户   p o s t g r e s   对 内 置 密 码 列 表 （ 例 如   1 1 2 2 3 3   和   1 q 2 w 3 e 4 r ） 进 行 暴 力 破 解 ， 以 攻 破 数 据 库 身 份 验 证 ” 。 该 报 告 称 ， 在 以 超 级 用 户 身 份 入 侵 服 务 器 后 ， 该 恶 意 软 件 会 使 用 “ c o p y   f r o m   p r o g r a m ” 功 能 的   C V E - 2 0 1 9 - 9 1 9 3   漏 洞 下 载 并 启 动 挖 矿 。 挖 矿 程 序 采 用 无 文 件 方 法 ， 在 启 动 后 立 即 删 除 了   P o s t g r e S Q L   的   a b r o x u   表 ， 重 新 创 建   a b r o x u   表 将 P a y l o a d   填 充 进 去 ， 执 行 后 清 除 创 建 的 表 。
安 装 后 ， 该 恶 意 软 件 使 用   c u r l   来 执 行 任 务 。 c u r l   是 用 于 向 服 务 器 或 从 服 务 器 传 输 数 据 的 命 令 行 工 具 。 如 果 受 害 者 的 机 器 上 没 有   c u r l ， 恶 意 软 件 会 尝 试 通 过 多 种 方 法 来 下 载   c u r l   二 进 制 文 件 并 将 其 添 加 到 执 行 路 径 。 更 有 趣 的 是 目 标   C & C   地 址 ： 9 4 . 2 3 7 . 8 5 . 8 9 。 该 地 址 绑 定 到 域 名   n e w t . k e e t u p . c o m   上 。 虽 然 其 上 级 域 名   k e e p u p . c o m   看 起 来 像 是 一 个 合 法 的 网 站 ， 但 该 特 定 子 域 名 会 将 端 口   8 0   重 定 向 到   4 4 3 ， 该 端 口 用 于 承 载 名 为   n e w t   的   c o u c h d b 。 尽 管 8 0 8 0   端 口 不 对 外 开 放 ， 但 我 们 认 为 它 已 配 置 为 允 许 跨 域 资 源 共 享 （ C O R S ） ” 。
下 一 步 是 通 过   S O C K S 5   代 理 连 接 到 命 令 和 控 制 服 务 器 （ C & C ） 。 然 后 ， P G M i n e r   会 收 集 系 统 信 息 ， 并 将 其 发 送 给 C & C   服 务 器 以 识 别 受 害 者 ， 以 确 定 应 下 载 哪 个 版 本 的 挖 矿 程 序 。 解 析 了   S O C K S 5   代 理 服 务 器 的   I P   地 址 之 后 ， P G M i n e r   循 环 遍 历 文 件 夹 列 表 ， 找 到 一 个 拥 有 创 建 新 文 件 并 更 新 其 属 性 权 限 的 位 置 ” ， “ 以 确 保 下 载 的   P a y l o a d   可 以 在 失 陷 服 务 器 上 成 功 执 行 ” 。 最 后 会 删 除 诸 如   A e g i s   之 类 的 云 安 全 监 视 工 具 以 及 诸 如   Y u n j i n g   之 类 的   Q c l o u d   监 视 器 程 序 。 检 查 虚 拟 机 、 终 止 所 有 其 他   C P U   密 集 型 进 程 与 竞 争 对 手 的 挖 矿 程 序 。 P G M i n e r   的   C & C   服 务 器 正 在 不 断 更 新 。 不 同 的 模 块 分 布 在 不 同 的   C & C   服 务 器 上 ， 这 一 切 都 表 明   P G M i n e r   仍 然 在 快 速 迭 代 发 展 。 目 前 攻 击 针 对   L i n u x   平 台 ， 但 也 可 以 轻 松 修 改 为 针 对   W i n d o w s   和   m a c O S   平 台 。 检 查 与 清 除 检 查 与 清 除 P o s t g r e S Q L   用 户 可 以 从 不 受 信 任 的 用 户 中 删 除   p g _ e x e c u t e _ s e r v e r _ p r o g r a m   权 限 ， 这 就 使 攻 击 者 无 法 利 用 该 漏 洞 。 此 外 ， 还 可 以 终 止   t r a c e p a t h   进 程 。 参 考 来 源 参 考 来 源 T h r e a t P o s t P a l o   A l t o   N e t w o r k 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理