搜索

[874] 2018-08-13_Window应急响应（四）：挖矿病毒

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-08-13_Window应急响应（四）：挖矿病毒 W i n d o w 应 急 响 应 （ 四 ） ： 挖 矿 病 毒 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 8 - 1 3 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言         随 着 虚 拟 货 币 的 疯 狂 炒 作 ， 挖 矿 病 毒 已 经 成 为 不 法 分 子 利 用 最 为 频 繁 的 攻 击 方 式 之 一 。 病 毒 传 播 者 可 以 利 用 个 人 电 脑 或 服 务 器 进 行 挖 矿 ， 具 体 现 象 为 电 脑 C P U 占 用 率 高 ， C 盘 可 使 用 空 间 骤 降 ， 电 脑 温 度 升 高 ， 风 扇 噪 声 增 大 等 问 题 。 0 x 0 1   应 急 场 景 应 急 场 景         某 天 上 午 重 启 服 务 器 的 时 候 ， 发 现 程 序 启 动 很 慢 ， 打 开 任 务 管 理 器 ， 发 现 c p u 被 占 用 接 近 1 0 0 % ， 服 务 器 资 源 占 用 严 重 。 0 x 0 2   事 件 分 析 事 件 分 析         登 录 网 站 服 务 器 进 行 排 查 ， 发 现 多 个 异 常 进 程 ：
分 析 进 程 参 数 ： w m i c   p r o c e s s   g e t   c a p t i o n , c o m m a n d l i n e   / v a l u e   > >   t m p . t x t T I P S : 在 w i n d o w s 下 查 看 某 个 运 行 程 序 （ 或 进 程 ） 的 命 令 行 参 数 使 用 下 面 的 命 令 ： w m i c   p r o c e s s   g e t   c a p t i o n , c o m m a n d l i n e   / v a l u e 如 果 想 查 询 某 一 个 进 程 的 命 令 行 参 数 ， 使 用 下 列 方 式 ： w m i c   p r o c e s s   w h e r e   c a p t i o n = ” s v c h o s t . e x e ”   g e t   c a p t i o n , c o m m a n d l i n e   / v a l u e 这 样 就 可 以 得 到 进 程 的 可 执 行 文 件 位 置 等 信 息 。 访 问 该 链 接 ：
T e m p 目 录 下 发 现 C a r b o n 、 r u n . b a t 挖 矿 程 序 : 具 体 技 术 分 析 细 节 详 见 ： 3 6 0 C E R T ： 利 用 W e b L o g i c 漏 洞 挖 矿 事 件 分 析 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 9 2 2 2 3 清 除 挖 矿 病 毒 ： 关 闭 异 常 进 程 、 删 除 c 盘 t e m p 目 录 下 挖 矿 程 序   。 临 时 防 护 方 案 临 时 防 护 方 案 1 .   根 据 实 际 环 境 路 径 ， 删 除 W e b L o g i c 程 序 下 列 w a r 包 及 目 录 r m   - f   / h o m e / W e b L o g i c / O r a c l e / M i d d l e w a r e / w l s e r v e r _ 1 0 . 3 / s e r v e r / l i b / w l s - w s a t . w a r r m   - f   / h o m e / W e b L o g i c / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / s e r v e r s / A d m i n S e r v e r / t m p / . i n t e r n a l / w l s - w s a t . w a r r m   - r f   / h o m e / W e b L o g i c / O r a c l e / M i d d l e w a r e / u s e r _ p r o j e c t s / d o m a i n s / b a s e _ d o m a i n / s e r v e r s / A d m i n S e r v e r / t m p / _ W L _ i n t e r n a l / w l s - w s a t 2 .   重 启 W e b L o g i c 或 系 统 后 ， 确 认 以 下 链 接 访 问 是 否 为 4 0 4 h t t p : / / x . x . x . x : 7 0 0 1 / w l s - w s a t 0 x 0 4   防 范 措 施 防 范 措 施         新 的 挖 矿 攻 击 展 现 出 了 类 似 蠕 虫 的 行 为 ， 并 结 合 了 高 级 攻 击 技 术 ， 以 增 加 对 目 标 服 务 器 感 染 的 成 功 率 。 通 过 利 用 永 恒 之 蓝 （ E t e r n a l B l u e ） 、 w e b 攻 击 多 种 漏 洞 ， 如 T o m c a t 弱 口 令 攻 击 、 W e b l o g i c   W L S 组 件 漏 洞 、 J b o s s 反 序 列 化 漏 洞 ， S t r u t s 2 远 程 命 令 执 行 等 ， 导 致 大 量 服 务 器 被 感 染 挖 矿 程 序 的 现 象   。 总 结 了 几 种 预 防 措 施 ： 1 、 安 装 安 全 软 件 并 升 级 病 毒 库 ， 定 期 全 盘 扫 描 ， 保 持 实 时 防 护 2 、 及 时 更 新   W i n d o w s 安 全 补 丁 ， 开 启 防 火 墙 临 时 关 闭 端 口 3 、 及 时 更 新 w e b 漏 洞 补 丁 ， 升 级 w e b 组 件
本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理