搜索

[17066] 2021-07-24_记一次套路较深的双家族挖矿事件应急响应

文档创建者：s7ckTeam
浏览次数：109
最后更新：2025-01-18
2021-07-24_记一次套路较深的双家族挖矿事件应急响应 记 一 次 套 路 较 深 的 双 家 族 挖 矿 事 件 应 急 响 应 Q S _ 永 夏   F r e e B u f   2 0 2 1 - 0 7 - 2 4 1 . 1   情 况 简 介 情 况 简 介 某 日 接 到 用 户 电 话 ， 用 户 某 应 用 系 统 微 信 公 众 号 平 台 服 务 器 应 用 运 行 异 常 掉 线 卡 顿 ， 运 维 人 员 检 查 后 发 现 服 务 器 存 在 占 用 大 量 C P U 资 源 的 恶 意 进 程 ， 且 无 法 清 除 该 进 程 ， 导 致 W E B 应 用 服 务 无 法 正 常 运 行 。 接 触 到 的 大 多 挖 矿 木 马 事 件 ， 大 多 是 因 为 影 响 到 业 务 无 法 使 用 或 明 显 卡 顿 运 维 人 员 主 动 发 现 ， 说 明 仍 有 不 少 用 户 缺 乏 内 网 安 全 态 势 感 知 和 安 全 事 件 告 警 处 置 流 程 。 1 . 2   分 析 结 论 分 析 结 论 登 录 服 务 器 针 对 服 务 器 进 程 、 网 络 进 行 检 查 ， 确 认 服 务 器 存 在 挖 矿 木 马 进 程 且 连 接 了 矿 池 正 在 进 行 恶 意 挖 矿 行 为 。 根 据 该 挖 矿 木 马 的 行 为 特 征 和 文 件 特 征 ， 确 定 服 务 器 上 存 在 两 个 不 同 家 族 的 挖 矿 木 马 ， 分 别 为 k d e v t m p f s i 和 s t a r t M i n e r 新 型 变 种 挖 矿 木 马 。 通 过 对 k d e v t m p f s i 木 马 分 析 ， 发 现 该 木 马 存 在 守 护 进 程 无 法 直 接 删 除 ， 需 首 先 清 除 其 守 护 进 程 k i n s i n g ， 再 对 k d e v t m p f s i 木 马 进 程 及 其 相 关 恶 意 文 件 进 行 清 除 。 重 启 业 务 后 发 现 k d e v t m p f s i 木 马 再 次 启 动 ， 对 其 进 程 进 行 追 踪 发 现 挖 矿 木 马 感 染 了 w e b l o g i c 启 动 脚 本 文 件 ， 只 要 w e b l o g i c 应 用 属 于 启 动 状 态 ， 木 马 会 持 续 下 载 运 行 ， 清 除 w e b l o g i c 中 恶 意 代 码 和 恶 意 文 件 后 ， 观 察 2 小 时 未 发 现 挖 矿 木 马 再 次 启 动 。 通 过 对 s t a r t M i n e r 新 型 变 种 挖 矿 木 马 分 析 ， 发 现 该 木 马 也 无 法 直 接 删 除 ， 该 木 马 利 用 了 服 务 器 大 量 的 计 划 任 务 和 自 启 动 项 服 务 达 到 长 期 驻 留 服 务 器 的 目 的 ， 且 各 个 驻 留 程 序 相 互 交 叉 感 染 ， 需 定 位 所 有 驻 留 程 序 编 写 清 除 脚 本 一 次 性 针 对 所 有 恶 意 驻 留 程 序 进 行 清 除 。 根 据 威 胁 情 报 以 及 木 马 感 染 程 序 分 析 该 木 马 是 通 过 S S H 和 w e b l o g i c 传 播 ， 检 查 s e c u r e 登 录 日 志 发 现 1 1 月 2 号 至 1 1 月 4 号 1 0 点 之 间 的 日 志 为 空 ， 1 1 月 4 日 至 今 未 发 现 爆 破 记 录 ， 但 服 务 器 存 在 S S H 公 钥 ， 拥 有 私 钥 的 服 务 器 可 实 现 免 密 登 录 ， 建 议 核 实 后 删 除 该 公 钥 。 1 . 3   应 急 处 置 应 急 处 置 针 对 k d e v t m p f s i 木 马 清 除 恶 意 程 序 文 件 / t m p / k d e v t m p f s i 、 / v a r / t m p /   k d e v t m p f s i 、 / e t c / s p o o l / c r o n / r o o t 、 / h o m e / w e b l o g i c / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / b i n 下 恶 意 文 件 以 及 恶 意 进 程 k d e v t m p f s i 、 k i n s i n g 。 针 对 s t a r t M i n e r 新 型 变 种 挖 矿 木 马 ， 清 除 以 下 文 件 ： 1 . 4   处 理 建 议 处 理 建 议 根 据 本 次 应 急 响 应 分 析 和 结 论 ， 处 理 建 议 如 下 ： 病 毒 木 马 一 般 会 利 用 高 危 漏 洞 和 弱 口 令 进 行 横 向 传 播 感 染 ， 建 议 定 期 修 改 服 务 器 账 号 密 码 ， 使 用 密 码 复 杂 度 较 高 的 密 码 ， 及 时 升 级 系 统 补 丁 和 软 件 版 本 ， 避 免 低 版 本 系 统 和 应 用 存 在 高 危 可 利 用 漏 洞 。 持 续 观 察 发 现 挖 矿 木 马 同 时 感 染 了 w e b l o g i c 启 动 脚 本 ， 建 议 针 对 w e b l o g i c 进 行 升 级 加 固 ， 防 止 w e b l o g i c 高 危 漏 洞 被 再 次 利 用 感 染 病 毒 木 马 ， 同 时 禁 止 使 用 r o o t 权 限 运 行 w e b l o g i c 。 在 无 法 增 加 安 全 设 备 的 情 况 下 加 强 安 全 巡 检 力 度 ， 提 升 安 全 事 件 主 动 发 现 能 力 。 病 毒 木 马 若 被 动 发 现 时 一 般 已 完 成 入 侵 和 内 网 横 向 传 播 ， 若 感 染 的 是 勒 索 病 毒 ， 可 能 会 导 致 整 个 内 网 失 陷 和 数 据 丢 失 。 通 过 举 办 安 全 意 识 培 训 ， 提 升 运 维 人 员 和 工 作 人 员 的 安 全 意 识 ， 避 免 木 马 病 毒 通 过 内 部 不 安 全 操 作 感 染 。 2   异 常 分 析 过 程 异 常 分 析 过 程
2 . 1   d b u s e d 木 马 分 析 处 理 木 马 分 析 处 理 2 . 1 . 1   分 析 过 程 使 用 t o p 命 令 实 时 查 看 服 务 器 资 源 占 用 情 况 ， 发 现 存 在 两 个 占 用 大 量 C P U 资 源 的 进 程 ， 分 别 为 d b u s e d 和 k d e v t m p f s i 进 程 。 查 看 d b u s e d 进 程 的 网 络 连 接 ， 发 现 连 接 了 2 0 9 . 1 4 1 . 3 5 . 1 7 的 8 0 8 0 端 口 ， 通 过 查 询 威 胁 情 况 发 现 ， 该 I P 为 8 2 2 0 挖 矿 团 队 矿 池 I P 。 查 看 驻 留 程 序 生 成 时 间 ， 最 近 一 次 修 改 时 间 为 1 1 月 4 日 上 午 1 0 点 1 5 分 。 查 看 s e c u r e 登 录 日 志 ， 发 现 大 量 针 对 自 身 账 号 的 爆 破 行 为 （ 此 记 录 应 为 挖 矿 程 序 自 动 化 运 行 的 行 为 ） 。 且 / t m p 目 录 下 存 在 大 量 针 对 内 网 其 他 机 器 的 爆 破 行 为 ， 建 议 针 对 图 中 涉 及 的 其 他 内 网 服 务 器 进 行 安 全 巡 检 ， 确 认 是 否 也 被 感 染 。
2 . 1 . 2   处 理 过 程 由 于 该 木 马 生 成 大 量 驻 留 程 序 ， 无 法 手 动 逐 个 清 理 ， 以 下 为 清 理 脚 本 ， 一 键 完 成 清 除 操 作 。 （ 避 免 一 个 一 个 清 除 速 度 较 慢 ， 导 致 服 务 再 次 运 行 交 叉 感 染 ） 驻 留 程 序 采 用 了 附 加 属 性 a   i ， 无 法 直 接 r m 删 除 ， 需 使 用 c h a t t r 命 令 去 除 附 加 属 性 后 r m 删 除 。 清 除 恶 意 进 程 及 恶 意 文 件 命 令 如 下 针 对 S S H 公 钥 进 行 备 份 删 除 操 作 。 2 . 2   K d e v t m p f s i 木 马 分 析 处 理 木 马 分 析 处 理 2 . 2 . 1   处 理 过 程 查 看 k d e v t m p f s i 进 程 的 网 络 连 接 ， 发 现 同 样 连 接 了 矿 池 在 进 行 挖 矿 ， 如 下 ： p s   - e f   |   g r e p   “ g i v e m e x y z ”   |   a w k   ‘ { p r i n t   $ 2 } ’ |   x a r g s   p k i l l p s   - e f   |   g r e p   “ d b u s e ”   |   a w k   ‘ { p r i n t   $ 2 } ’ |   x a r g s   p k i l l r m   - r f   / b i n / b p r o f r     / b i n / s y s d r     / b i n / c r o n d r     / b i n / i n i t d r     / u s r / b i n / b p r o f r     / u s r / b i n / s y s d r     / u s r / b i n / c r o n d r     / u s r / b i n / i n i t d r     / t m p / d b u s e d     / t m p / d b u s e x     / t m p / x m s     / t m p / x 8 6 _ 6 4     / t m p / i 6 8 6     / t m p / g o     / t m p / x 6 4 b     / t m p / x 3 2 b     / t m p /
删 除 恶 意 程 序 文 件 / t m p / k d e v t m p f s i 和 / v a r / t m p / k i n s i n g 删 除 定 时 任 务 删 除 挖 矿 进 程 机 器 守 护 进 程 服 务 器 恢 复 正 常 。 本 来 以 为 事 件 到 此 可 以 写 报 告 交 付 了 。 谁 知 道 第 二 天 用 户 又 反 馈 应 用 无 法 打 开 了 。 尴 尬 到 脚 趾 抓 地 。 。 。 第 二 天 挖 矿 木 马 重 新 启 动 ， 查 看 进 程 发 现 是 通 过 w e b l o g i c 用 户 进 行 程 序 下 载 和 执 行 的 。 还 好 我 留 了 个 心 眼 。 （ 第 一 次 处 理 时 应 用 方 采 用 r o o t 用 户 启 动 的 w e b l o g i c 而 挖 矿 程 序 也 是 使 用 r o o t 用 户 运 行 的 ， 处 理 过 后 建 议 他 们 使 用 w e b l o g i c 用 户 启 动 w e b l o g i c 中 间 件 后 发 现 此 痕 迹 ， 进 而 判 断 该 挖 矿 程 序 是 通 过 w e b l o g i c 程 序 死 灰 复 燃 的 ） 检 查 后 发 现 w e b l o g i c 启 动 脚 本 被 植 入 恶 意 代 码 。 如 下 所 示 导 致 启 动 业 务 时 ， 挖 矿 木 马 再 次 被 下 载 至 本 地 运 行 。 如 下 所 示 ：
经 过 与 应 用 开 发 商 核 实 ， 黄 框 以 外 的 均 为 恶 意 文 件 。 临 时 备 份 删 除 后 并 将 s t a r t W e b l o g i c . s h 中 恶 意 代 码 清 除 ， 后 续 建 议 重 新 校 验 w e b l o g i c 应 用 文 件 的 完 整 性 ， 确 保 无 其 他 未 发 现 的 挖 矿 木 马 残 留 文 件 。 删 除 后 w e b l o g i c 路 径 下 恶 意 文 件 后 ， 重 启 w e b l o g i c 观 察 2 小 时 左 右 未 发 现 挖 矿 木 马 再 次 运 行 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理