设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 系统 › [16442] 2021-02-15_ld-linux-x86-64挖矿木马实战记录 ...
返回列表 发新帖
查看: 0|回复: 0

[16442] 2021-02-15_ld-linux-x86-64挖矿木马实战记录

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-02-15_ld-linux-x86-64挖矿木马实战记录 l d - l i n u x - x 8 6 - 6 4 挖 矿 木 马 实 战 记 录 a l u 2 0 2 1   F r e e B u f   2 0 2 1 - 0 2 - 1 5 前 言 前 言 这 两 年 见 证 了 公 司 从 6 0 0 人 发 展 到 1 2 0 0 + 的 过 程 ， 虽 然 公 司 在 安 全 投 入 上 还 算 慷 慨 ， 但 是 人 员 编 制 有 严 格 要 求 ， 一 个 人 的 安 全 部 只 能 把 精 力 放 在 基 础 / 重 点 工 作 上 。 其 中 防 病 毒 这 块 也 是 两 年 前 才 正 式 部 署 了 企 业 版 防 病 毒 软 件 ， 推 广 过 程 中 也 遇 到 了 很 多 阻 力 及 各 种 奇 葩 的 安 全 理 念 （ 比 如 生 产 服 务 器 我 不 敢 装 防 病 毒 ， 万 一 瘫 了 怎 么 办 ； 领 导 的 电 脑 ， 防 病 毒 还 是 别 装 吧 ， 装 了 会 很 慢 ） ， 这 期 间 也 遇 到 多 起 病 毒 木 马 事 件 ， 每 次 我 都 会 借 助 安 全 事 件 ， 狠 狠 的 推 一 把 防 病 毒 软 件 ， 目 前 为 止 ， 已 经 实 现 所 有 P C 和 W i n d o w s 服 务 器 防 病 毒 软 件 的 百 分 百 覆 盖 。 现 将 几 起 病 毒 木 马 的 处 理 过 程 整 理 一 下 跟 大 家 分 享 ， 本 系 列 偏 向 于 实 战 。 发 现 异 常 发 现 异 常 在 I D S 日 常 巡 检 中 发 现 服 务 器 1 9 2 . 1 6 8 . 1 5 . 5 5 有 异 常 网 络 流 量 ， 从 2 0 2 1 / 1 / 1 0   4 : 3 2 开 始 ， 每 小 时 大 概 有 3 0 0 多 次 对 外 网 I P 1 3 4 . 2 0 9 . 1 0 4 . 6 6 的 T C P   5 4 端 口 发 起 会 话 连 接 ， I D S 定 义 事 件 为 “ 挖 矿 程 序 连 接 矿 池 服 务 器 通 信 ” 。 经 查 ， 1 5 . 5 5 是 内 网 的 一 台 生 产 服 务 器 ， 对 外 网 仅 开 通 F T P 服 务 ， 且   F T P 采 用 白 名 单 ， 外 网 I P   1 3 4 . 2 0 9 . 1 0 4 . 6 6 不 在 白 名 单 中 ， F T P 端 口 不 是 5 4 ， 如 此 高 频 的 发 起 主 动 连 接 的 确 不 正 常 。 如 果 是 中 了 挖 矿 木 马 ， 木 马 程 序 对 外 应 该 主 动 发 起 连 接 ， 网 络 连 接 状 态 应 该 会 有 异 常 ？ 挖 矿 木 马 比 如 占 用 系 统 C U P 资 源 ？ 内 网 服 务 器 是 怎 么 中 的 挖 矿 木 马 ？ 带 着 这 些 疑 问 ， 我 开 始 逐 步 排 查 。 排 查 步 骤 排 查 步 骤 1 、 检 查 网 络 连 接 状 态 、 检 查 网 络 连 接 状 态 从 I D S 日 志 看 ， 主 机 有 大 量 发 起 连 接 的 异 常 流 量 ， 如 果 是 木 马 程 序 ， 必 然 会 主 动 去 连 接 木 马 的 服 务 器 端 ， 会 与 外 部 网 络 建 立 连 接 ， 故 先 查 看 网 络 连 接 状 态 ， 输 入 n e t s t a t 命 令 ， 未 发 现 与 1 3 4 . 2 0 9 . 1 0 4 . 6 6 有 成 功 的 连 接 。 没 有 成 功 的 连 接 ， 这 个 结 果 在 意 料 中 ， 因 为 该 服 务 器 对 外 网 仅 开 启 了 f t p 服 务 端 口 。 2 、 查 看 资 源 占 用 情 况 、 查 看 资 源 占 用 情 况 输 入 t o p 命 令 ， 其 中 P I D 为 1 4 5 5 9 8 的 进 程 占 用 大 量 的 C P U 资 源 ， 而 内 存 占 用 率 并 不 是 很 高 ， 非 常 符 合 挖 矿 木 马 的 特 征 ， 其 中 l d - l i n u x - x 8 6 - 6 4 非 常 可 疑 。
3 、 可 疑 文 件 定 位 、 可 疑 文 件 定 位 搜 索 l d - l i n u x 字 符 串 ， 其 中 / d e v / s h m / . x / 文 件 夹 下 的 两 文 件 可 能 有 异 常 。 上 网 搜 l d - l i n u x - x 8 6 - 6 4 关 键 字 ， 发 现 有 类 似 的 挖 矿 木 马 的 报 道 。 进 入 / d e v / s h m / . x / ， 查 看 目 录 详 情 ， 其 中 有 多 个 文 件 的 最 后 修 改 时 间 跟 I D S 的 日 志 时 间 ( 2 0 2 1 / 1 / 1 0   4 : 3 2 ) 吻 合 ， 同 时 能 看 出 ， 该 木 马 程 序 最 早 可 追 溯 到 2 0 1 5 年 3 月 1 0 日 。 经 查 ， / d e v / s h m / . x / 文 件 夹 下 的 文 件 均 为 木 马 文 件 ， 先 压 缩 备 份 ， 留 着 以 后 有 精 力 再 研 究 ， 查 看 定 时 任 务 c r o n . d 查 看 守 护 进 程 文 件 u p d 查 看 运 行 程 序 文 件 r u n
运 行 程 序 里 面 有 个 I P 地 址 1 8 5 . 8 2 . 2 0 0 . 5 2 ， 但 该 I P 地 址 并 非 I D S 发 现 的 外 联 地 址 ， 所 以 猜 测 该 地 址 可 能 是 木 马 下 载 / 更 新 服 务 器 。 4 、 查 看 用 户 登 录 日 志 、 查 看 用 户 登 录 日 志 从 可 疑 文 件 定 位 发 现 ， 木 马 程 序 的 文 件 所 有 者 是 o r a c l e , 所 以 查 看 用 户 登 录 日 志 ， 看 攻 击 者 是 从 何 处 上 传 木 马 程 序 的 ， 执 行 l a s t l o g 命 令 攻 击 者 通 过 内 网 另 一 台 服 务 器 1 7 2 . 2 9 . 4 . 5 2 登 录 ， 时 间 1 / 1 0   0 2 : 2 5 : 3 0 。 经 查 ， 该 服 务 器 为 某 分 公 司 新 部 署 的 一 台 测 试 服 务 器 ， r o o t 账 户 采 用 的 是 弱 口 令 ， 而 这 台 中 木 马 的 服 务 器 的 o r a c l e 账 户 用 的 也 是 弱 口 令 。 怀 疑 攻 击 者 通 过 S S H 弱 口 令 扫 描 ， l a s t b 命 令 检 查 登 录 失 败 日 志 ， 发 现 从 攻 击 成 功 前 一 天 的 1 7 : 4 9 开 始 ， 有 大 量 的 S S H 登 录 失 败 日 志 ， 证 实 了 猜 测 。 5 、 攻 击 路 径 梳 理 、 攻 击 路 径 梳 理 攻 击 者 通 过 弱 口 令 进 入 新 部 署 的 测 试 服 务 器 1 7 2 . 2 9 . 4 . 5 2 ， 再 通 过 o r a c l e 弱 口 令 于 1 月 1 0 日 2 : 2 5 登 录 E R P 服 务 器 ， 于 2 : 5 4 上 传 木 马 文 件 ， I D S 于 4 : 3 2 首 次 发 现 异 常 网 络 流 量 。 通 过 分 公 司 I T 人 员 的 进 一 步 排 查 ， 测 试 服 务 器 1 7 2 . 2 9 . 4 . 5 2 也 中 了 同 样 的 挖 矿 木 马 ， 在 测 试 服 务 器 上 查 到 有 异 常 登 录 日
志 ， 异 常 登 录 的 终 端 是 算 法 部 门 的 员 工 马 某 的 P C 。 至 此 ， 挖 矿 木 马 的 攻 击 路 径 为 ： 马 某 的 P C → 测 试 服 务 器 中 木 马 → 生 产 服 务 器 中 木 马 。 6 、 木 马 查 杀 、 木 马 查 杀 K i l l 掉   P I D 为 1 4 5 5 9 8 的 异 常 进 程 ， 并 删 除 木 马 文 件 / d e v / s h m / . x / * 。 经 观 察 ， 异 常 进 程 没 有 再 次 启 动 。 7 、 马 某 终 端 检 查 、 马 某 终 端 检 查 之 前 在 分 析 木 马 程 序 过 程 中 ， 当 把 病 毒 文 件 拷 贝 到 本 机 时 ， 防 病 毒 软 件 第 一 时 间 就 已 经 自 动 隔 离 了 两 个 文 件 ， 说 明 防 病 毒 软 件 是 可 以 检 测 该 挖 矿 木 马 的 。 公 司 统 一 部 署 企 业 版 终 端 防 病 毒 软 件 ， 可 马 某 的 电 脑 是 怎 么 中 毒 的 呢 ？ 经 了 解 ， 马 某 名 下 除 了 公 司 统 一 配 备 的 台 式 机 外 ， 还 有 一 台 笔 记 本 ， 是 上 周 出 差 的 时 候 新 申 请 的 ， 经 查 ， 该 笔 记 本 目 前 为 止 尚 未 安 装 防 病 毒 软 件 ， 处 于 裸 奔 状 态 。 8 、 小 结 、 小 结 攻 击 者 通 过 未 安 装 防 病 毒 软 件 的 马 某 笔 记 本 （ 木 桶 最 短 的 那 块 板 ） 进 入 公 司 内 网 ， 然 后 再 渗 透 到 弱 口 令 的 测 试 服 务 器 ， 从 测 试 服 务 器 又 渗 透 到 弱 口 令 的 内 网 生 产 服 务 器 。 从 整 个 排 查 过 程 看 ， 挖 矿 木 马 感 染 成 功 后 ， 会 通 过 扫 描 2 2 端 口 ， 并 在 内 网 尝 试 破 解 S S H 弱 口 令 进 一 步 传 播 。 后 续 安 排 后 续 安 排 为 了 防 止 同 类 事 件 再 次 发 生 ， 急 需 对 已 发 现 问 题 进 行 整 改 ， 主 要 有 以 下 几 点 ： 由 于 木 马 会 自 动 扫 描 s s h 端 口 弱 口 令 并 自 动 传 播 ， 建 议 抽 查 或 全 面 排 查 其 他 l i n u x 服 务 器 是 否 有 中 同 样 的 挖 矿 木 马 。 用 t o p 命 令 查 看 资 源 占 用 最 高 的 进 程 是 否 为 l d - l i n u x - x 8 6 - 6 4 ， 如 是 ， 说 明 已 中 木 马 。 中 木 马 的 生 产 系 统 D B A 账 户 核 减 ， 经 查 ， 发 现 有 D B A 角 色 的 用 户 账 号 多 达 8 个 ， 一 般 D B A 角 色 的 用 户 留 2 个 即 可 ， 一 主 一 备 。 修 改 弱 口 令 ， 经 查 该 中 木 马 的 服 务 器 上 的 用 户 账 号 中 有 7 个 弱 口 令 ， 密 码 和 账 户 相 同 。 启 用 密 码 策 略 ， 所 有 l i n u x 服 务 器 不 得 使 用 弱 口 令 。 强 调 安 全 流 程 ， 所 有 P C 下 发 到 用 户 之 前 ， 需 再 次 确 认 已 安 装 了 防 病 毒 等 公 司 统 一 要 求 的 软 件 。 加 强 测 试 区 域 的 安 全 建 设 ， 并 细 化 安 全 域 间 的 访 问 控 制 策 略 。 尽 快 推 进 堡 垒 机 的 使 用 ， 并 切 断 办 公 区 直 接 访 问 服 务 器 的 通 道 。
精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:32 , Processed in 0.537490 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表