搜索

[27961] 2019-12-16_一款“僵尸网络挖矿”攻击分析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-12-16_一款“僵尸网络挖矿”攻击分析 一 款 “ 僵 尸 网 络 挖 矿 ”   攻 击 分 析 O t s 安 全   2 0 1 9 - 1 2 - 1 6 一 、 一 、   背 景 背 景 随 着 虚 拟 货 币 市 场 的 疯 狂 炒 作 ， 挖 矿 已 经 成 为 一 种 额 外 的 经 济 来 源 ， 越 来 越 多 的 人 参 与 其 中 。 从 2 0 1 9 年 安 全 态 势 来 看 ， 攻 击 者 将 企 业 、 政 府 和 教 育 行 业 作 为 挖 矿 的 主 要 目 标 ， 通 过 弱 口 令 爆 破 、 社 会 工 程 和 钓 鱼 等 方 式 对 计 算 机 进 行 攻 击 ， 利 用 他 人 计 算 机 C P U 和 G P U 的 计 算 能 力 挖 取 虚 拟 货 币 获 利 ， 导 致 计 算 资 源 被 耗 尽 严 重 影 响 本 地 服 务 正 常 使 用 。 二 、 二 、   事 件 概 述 事 件 概 述 最 近 在 单 位 测 试 环 境 中 捕 获 一 款 新 型 挖 矿 病 毒 样 本 。 经 溯 源 分 析 ， 该 挖 矿 病 毒 具 有 蠕 虫 属 性 ， 攻 击 者 利 用 后 门 去 控 制 失 陷 的 计 算 机 作 为 “ 肉 机 ” ， 从 3 个 固 定 的 W e b 服 务 器 来 获 取 攻 击 的 目 标 I P 和 所 使 用 的 爆 破 字 典 ， 之 后 通 过 不 断 感 染 其 他 目 标 形 成 僵 尸 网 络 。 挖 矿 攻 击 过 程 如 下 图 2 - 1 所 示 ： 图 2 - 1 挖 矿 木 马 攻 击 流 程 三 、 三 、   载 荷 投 递 载 荷 投 递 通 过 分 析 发 现 ， 此 次 攻 击 是 一 次 有 组 织 的 攻 击 ， 攻 击 手 段 复 杂 多 样 ， 利 用 循 环 嵌 套 的 方 法 在 第 三 方 网 站 隐 藏 真 正 存 放 恶 意 软 件 I P 地 址 ， 目 前 只 针 对 L i n u x 物 理 机 进 行 攻 击 ， 如 果 检 测 为 蜜 罐 或 者 路 由 器 则 自 动 退 出 。 攻 击 者 通 过 s s h 弱 口 令 爆 破 取 得 系 统 权 限 后 ， 利 用 f t p 从 其 C & C 服 务 器 下 载 S h e l l 脚 本 ， 为 后 续 投 递 攻 击 载 荷 做 准 备 。 但 是 失 陷 计 算 机 目 录 未 发 现 “ . s s h 3 ” 文 件 ， 分 析 人 员 怀 疑 攻 击 者 在 执 行 完 脚 本 之 后 做 了 自 身 删 除 操 作 。 图 3 - 1 所 示 为 攻 击 者 通 过 f t p 下 载 命 令 。
图 3 - 1   攻 击 者 通 过 f t p 下 载 恶 意 S h e l l 图 3 - 2 是 在 失 陷 计 算 机 发 现 的 t d d w r t 7 s . s h 脚 本 ， 猜 测 该 脚 本 是 通 过 f t p 下 发 ， 目 前 下 发 地 址 控 制 台 已 失 效 ， 无 法 进 行 验 证 。 图 3 - 2   通 过 w g e t 和 c u r l 下 载 恶 意 软 件 攻 击 者 利 用 w g e t 和 c u r l 指 令 从 七 个 不 同 的 U R L 下 载 恶 意 软 件 ， 这 些 U R L 下 载 的 数 据 包 中 包 含 了 与 d o t a . t a r . g z 压 缩 包 中 同 样 的 文 件 ， 如 图 3 - 3 所 示 。 利 用 这 些 U R L ， 脚 本 随 机 选 择 其 中 一 个 U R L ， 就 可 以 下 载 有 效 载 荷 解 压 缩 并 执 行 。 登 陆 被 感 染 服 务 器 ， 安 全 分 析 人 员 发 现 在 X 1 3 - u n i x . t a r . g z 压 缩 包 中 包 含 了 完 整 的 挖 矿 组 件 ， 解 压 后 的 d o t a / . r s y n c 目 录 中 含 有 大 量 的 恶 意 代 码 。 攻 击 者 为 了 掩 盖 痕 迹 ， 将 恶 意 代 码 文 件 伪 装 成 了 系 统 指 令 ， 下 文 对 恶 意 代 码 文 件 用 < 恶 意 代 码 文 件 > 表 示 。 图 3 - 3   攻 击 者 下 发 的 大 量 的 相 同 的 数 据 包 挖 矿 组 件 分 为 a 、 b 、 c 三 个 子 目 录 和 < i n i t > 、 < i n i t 2 > 和 < i n i t a l l > 脚 本 ， 主 目 录 的 脚 本 主 要 对 本 地 系 统 进 行 清 理 、 初 始 化 挖 矿 环 境 并 启 动 恶 意 程 序 ； 文 件 夹 a 是 挖 矿 组 件 ， 用 于 查 杀 其 他 矿 机 、 定 时 任 务 和 启 动 挖 矿 程 序 ； 文 件 夹 b 中 包 含 了 用 于 植 入 攻 击 者 的 后 门 组 件 和 一 些 S h e l l 启 动 脚 本 ； 文 件 夹 c 中 包 含 的 爆 破 程 序 和 脚 本 将 失 陷 计 算 机 作 为 肉 机 去 感 染 其 他 弱 口 令 机 器 。 四 、 四 、   初 步 感 染 初 步 感 染 既 然 已 经 通 过 s s h 爆 破 获 得 本 地 权 限 ， 那 么 后 续 则 通 过 一 系 列 脚 本 初 始 化 本 地 系 统 、 执 行 挖 矿 、 安 装 后 门 和 执 行 爆 破 。 结 合
之 前 目 录 分 析 ， 使 用 < / . r s y n c / i n i t a l l > 脚 本 初 始 化 / v a r / t m p 目 录 ， 并 启 动 主 脚 本 < i n i t > ； < / . r s y n c / i n i t > 脚 本 执 行 过 程 如 下 ： 1 )   清 除 自 身 挖 矿 进 程 ； 2 )   执 行 挖 矿 程 序 ； 3 )   本 地 植 入 后 门 ； 4 )   启 动 爆 破 工 具 感 染 其 他 主 机 形 成 僵 尸 网 ； 5 )   设 置 定 时 任 务 自 启 ； 目 标 主 机 启 动 之 后 命 令 会 自 动 执 行 。 图 4 - 1   i n i t 定 时 任 务 脚 本 启 动 挖 矿 操 作 详 细 流 程 如 下 ： 攻 击 者 为 了 在 挖 矿 计 算 期 间 独 占 C P U 资 源 ， < / . r s y n c / a / i n i t 0 > 通 过 k i l l 杀 死 其 他 矿 机 并 进 行 删 除 ， 部 分 代 码 内 容 如 图 4 - 2 所 示 。
图 4 - 2   i n i t 0 清 理 其 他 矿 机 程 序 启 动 脚 本 < a > 中 包 含 了 下 一 步 需 要 执 行 的 恶 意 命 令 ， 删 除 当 前 c r o n t a b 文 件 ， 生 成 < u d p > 执 行 < r u n > ， 代 码 内 容 如 图 4 - 3 所 示 。 图 4 - 3 生 成 u d p 进 而 执 行 r u n 恶 意 脚 本 根 据 i 6 8 6 架 构 或 x 8 6 _ 6 4 架 构 判 断 当 前 系 统 环 境 ， 如 图 4 - 4 所 示 ， 不 同 的 系 统 环 境 启 动 不 同 的 挖 矿 程 序 。 c r o n 和 a n a c r o n 功 能 相 同 ， 一 个 是 3 2 位 版 本 ， 一 个 是 6 4 位 版 本 ， 两 者 主 要 作 用 是 执 行 挖 矿 操 作 ， 其 他 S h e l l 脚 本 则 负 责 清 理 和 删 除 本 地 系 统 中 存 在 的 其 他 挖 矿 程 序 。
图 4 - 4   判 断 系 统 环 境 接 下 来 是 挖 矿 信 息 分 析 ， 挖 矿 病 毒 支 持 C r y p t o n i g h t 系 列 算 法 的 币 种 挖 矿 ， 逆 向 分 析 发 现 ， 本 次 挖 矿 攻 击 使 用 的 工 具 是 基 于 X M R i g   家 族 ， 编 译 时 间 戳 为 2 0 1 9 年 0 5 月 0 3 日 ， 该 样 本 今 年 才 开 始 构 建 完 成 ， 如 图 4 - 5 和 图 4 - 6 所 示 。 图 4 - 5   挖 矿 病 毒 使 用 注 释 图 4 - 6   编 译 时 间 及 版 本 根 据 b 目 录 中 的 I R C B o t 遗 留 的 主 控 服 务 器 I P ， 在 挖 矿 程 序 < a n a c r o n > 中 ， 也 发 现 了 与 主 控 服 务 器 在 同 一 个 C 段 的 矿 池 。 除 此 之 外 ， 还 存 在 其 他 两 个 矿 池 。 挖 矿 病 毒 中 发 现 三 个 矿 池 分 别 是 5 . 2 5 5 . 8 6 . 1 2 9 : 8 0   （ 荷 兰 ） 、 1 0 7 . 1 9 1 . 9 9 . 2 2 1 : 8 0 （ 美 国 ） 和 w o r k f o r c e . i g n o r e l i s t . c o m ， 截 止 分 析 之 前 所 有 矿 池 均 存 活 ， 幸 运 的 是 找 到 矿 池 的 同 时 也 发 现 了 攻 击 者 的 钱 包 地 址 ， 如 图 4 - 7 所 示 。
图 4 - 7   矿 池 和 钱 包 地 址 目 前 ， 由 于 钱 包 地 址 被 多 次 举 报 为 僵 尸 网 络 ， 在 矿 池 官 网 已 经 无 法 查 看 钱 包 详 细 信 息 ， 钱 包 也 已 失 效 ， 如 图 4 - 8 所 示 。 图 4 - 8   钱 包 失 效 五 、 五 、   命 令 与 控 制 命 令 与 控 制 攻 击 者 一 旦 成 功 入 侵 计 算 机 系 统 ， 就 会 想 方 设 法 通 过 各 种 方 式 连 接 到 C & C 服 务 器 。 命 令 和 控 制 组 件 由 一 个 基 于 p e r l 脚 本 的 I R C B o t 后 门 和 可 执 行 文 件 p s 组 成 。 I R C B o t 充 当 C & C 连 接 到 恶 意 I R C 服 务 器 ， 并 且 执 行 一 些 内 置 的 命 令 进 行 反 弹 S h e l l 。 分 析 发 现 ， 可 执 行 文 件 < p s > 用 于 通 过 删 除 本 地 主 机 的 . s s h 文 件 夹 并 植 入 公 钥 来 建 立 另 一 种 持 久 性 机 制 。 总 结 而 言 ， I R C B o t 作 为 辅 助 性 的 命 令 与 控 制 ， 而 < p s > 则 作 为 长 期 的 后 门 工 具 。 后 门 初 始 化 命 令 与 控 制 初 始 化 由 < / . r s y n c / b / a > 启 动 < r u n > 开 始 ， 该 脚 本 首 先 解 密 出 I R C B o t （ 以 下 称 r s y n c ） 工 具 ， 并 随 后 启 动 p s 后 门 。 此 次 攻 击 者 所 使 用 的 挖 矿 工 具 使 用 I R C 指 令 进 行 命 令 和 控 制 ， 通 过 < p s > 将 R S A 公 钥 植 入 到 本 地 失 陷 系 统 ， 以 便 保 持 长 期 登 录 。 后 门 植 入 基 本 过 程 执 行 一 段 经 过 b a s e 6 4 编 码 的 代 码 ， 解 码 之 后 发 现 代 码 又 采 用 了 另 外 一 种 方 式 混 淆 。 图 5 - 1 是 r u n 脚 本 执 行 编 码 的 后 门 ， 下 面 是 详 细 分 析 ：
图 5 - 1   r u n 启 动 后 门 经 过 b a s e 6 4 解 码 之 后 发 现 了 核 心 代 码 经 过 了 混 淆 ， 如 图 5 - 2 所 示 为 解 析 后 的 代 码 。 图 5 - 2   混 淆 过 的 代 码 对 混 淆 的 代 码 进 行 梳 理 ， 代 码 中 e v a l 用 来 压 缩 二 进 制 程 序 ， 所 以 只 需 打 印 可 还 原 出 关 键 代 码 。 该 脚 本 是 一 个 基 于 p e r l 的 后 门 工 具 。 r s y n c 是 通 过 开 源 的 S h e l l B o t 工 具 生 成 ， 主 要 功 能 是 通 过 监 听 服 务 器 下 发 I R C 指 令 执 行 其 他 的 恶 意 行 为 。 其 S e r v e r I P 为 5 . 2 5 5 . 8 6 . 1 2 5 （ 荷 兰 ） ， 图 5 - 3 为 解 密 后 的 I R C B o t 。 图 5 - 3   解 密 后 的 I R C B o t < r s y n c > 工 具 中 所 使 用 的 变 量 和 注 释 是 葡 萄 牙 语 。 具 有 多 种 后 门 功 能 ， 其 中 包 括 单 端 口 探 测 、 全 端 口 扫 描 、 下 载 文 件 和 执 行 远 程 S h e l l ， 除 此 之 外 , < r s y n c > 似 乎 还 具 有 D o S 和 T C P F l o o d 攻 击 功 能 。 图 5 - 4 为 在 < r s y n c > 中 发 现 的 疑 似 D o S 攻 击 。
图 5 - 4   疑 似 D o S 攻 击 整 个 < r s y n c > 的 功 能 主 要 是 设 置 循 环 ， 监 听 来 自 I R C 服 务 器 的 指 令 ， 图 5 - 5 为 后 门 中 设 置 的 循 环 监 听 功 能 。 该 工 具 结 合 c 目 录 下 的 爆 破 工 具 < t s m > 会 将 本 地 失 陷 计 算 机 变 成 僵 尸 网 络 ， 向 其 它 存 在 弱 口 令 的 设 备 植 入 I R C B o t 。 图 5 - 5   监 听 接 受 来 自 I R C 服 务 器 的 指 令 具 体 操 作 详 情 在 后 续 分 析 c 目 录 中 叙 述 ， < r s y n c > 功 能 如 图 5 - 6 所 示 。
图 5 - 6   < r s y n c > 功 能 另 外 一 个 后 门 工 具 < . r s y n c / b / p s > 是 一 个 L i n u x 可 执 行 文 件 ， 为 了 保 证 日 后 可 以 密 登 录 ， 攻 击 者 将 R S A 公 钥 添 加 到 失 陷 计 算 机 . s s h 目 录 中 A u t h o r i z e d _ k e y s 文 件 中 。 < p s > 后 门 植 入 R S A 公 钥 代 码 如 图 5 - 7 所 示 。 图 5 - 7   植 入 r s a 公 钥 通 过 图 5 - 8 不 难 发 现 ， 在 失 陷 计 算 机 上 也 确 实 发 现 了 此 公 钥 。 图 5 - 8   本 地 系 统 中 发 现 公 钥 < p s > 作 为 s s h 后 门 服 务 器 ， 注 释 中 包 含 了 大 量 的 s s h 字 符 串 。 功 能 包 括 典 型 的 s s h 会 话 、 连 接 服 务 器 、 远 程 S h e l l 以 及 传 输 命 令 等 。 图 5 - 9 是 通 过 s s h 连 接 服 务 器 的 一 个 操 作 。
图 5 - 9   s s h 连 接 服 务 器 六 、 六 、   僵 尸 网 络 僵 尸 网 络 此 次 攻 击 中 ， 攻 击 者 通 过 爆 破 程 序 的 扫 描 功 能 将 I R C B o t 植 入 带 有 弱 口 令 的 设 备 ， 通 过 向 失 陷 计 算 机 植 入 I R C B o t 程 序 形 成 僵 尸 网 络 。 和 其 他 功 能 一 样 ， < / . r s y n c / c > 目 录 为 s s h 爆 破 组 件 ， 依 托 S h e l l 脚 本 进 行 初 始 化 。 < s t a r t > 脚 本 由 < / . r s y n c / i n i t > 启 动 ， 然 后 创 建 脚 本 并 命 名 为 < a p t i t u d e > ， 运 行 之 后 启 动 < r u n > ， 进 而 执 行 关 键 脚 本 < g o > 。 攻 击 者 从 第 三 方 网 站 下 载 即 将 要 爆 破 的 I P 表 单 和 字 典 ， 将 其 作 为 < t s m > 爆 破 工 具 的 参 数 进 行 扫 描 和 爆 破 ， 并 时 隔 一 天 就 会 重 新 启 动 一 次 。 < g o > 脚 本 代 码 如 图 6 - 1 所 示 。 图 6 - 1   执 行 爆 破 程 序 此 脚 本 会 利 用 w g e t 和 c u r l 指 令 遍 历 相 应 的 恶 意 服 务 器 网 站 ， 从 网 站 / a / x t r 目 录 下 载 真 正 存 放 恶 意 文 件 地 址 ， 这 些 地 址 存 放 了 攻 击 者 实 施 爆 破 的 I P 地 址 和 字 典 文 件 。 研 究 人 员 发 现 攻 击 组 织 通 过 5 4 . 3 6 . 1 8 2 . 2 4 4 （ 法 国 ） ， 5 1 . 7 5 . 2 8 . 1 3 4 （ 法 国 ） ， 1 0 3 . 2 4 8 . 2 1 1 . 1 9 8 （ 印 度 ） 三 个 服 务 器 轮 询 下 载 I P 表 单 和 字 典 。 轮 询 的 三 个 地 址 都 包 含 了 相 同 的 I P 列 表 文 件 a 和 字 典 文 件 b ， 并 且 这 两 个 文 件 在 实 时 更 新 ， 如 图 6 - 2 所 示 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理