搜索

[878] 2018-09-10_Linux应急响应（三）：挖矿病毒

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-16
2018-09-10_Linux应急响应（三）：挖矿病毒 L i n u x 应 急 响 应 （ 三 ） ： 挖 矿 病 毒 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 9 - 1 0 收 录 于 话 题   # 应 急 响 应 实 战 笔 记   , 1 5 个 0 x 0 0   前 言 前 言                 随 着 虚 拟 货 币 的 疯 狂 炒 作 ， 利 用 挖 矿 脚 本 来 实 现 流 量 变 现 ， 使 得 挖 矿 病 毒 成 为 不 法 分 子 利 用 最 为 频 繁 的 攻 击 方 式 。 新 的 挖 矿 攻 击 展 现 出 了 类 似 蠕 虫 的 行 为 ， 并 结 合 了 高 级 攻 击 技 术 ， 以 增 加 对 目 标 服 务 器 感 染 的 成 功 率 ， 通 过 利 用 永 恒 之 蓝 （ E t e r n a l B l u e ） 、 w e b 攻 击 多 种 漏 洞 （ 如 T o m c a t 弱 口 令 攻 击 、 W e b l o g i c   W L S 组 件 漏 洞 、 J b o s s 反 序 列 化 漏 洞 、 S t r u t s 2 远 程 命 令 执 行 等 ） ， 导 致 大 量 服 务 器 被 感 染 挖 矿 程 序 的 现 象   。 0 x 0 1   应 急 场 景 应 急 场 景                 某 天 ， 安 全 管 理 员 在 登 录 安 全 设 备 巡 检 时 ， 发 现 某 台 网 站 服 务 器 持 续 向 境 外 I P 发 起 连 接 ， 下 载 病 毒 源 ： 0 x 0 2   事 件 分 析 事 件 分 析 A 、 排 查 过 程 、 排 查 过 程 登 录 服 务 器 ， 查 看 系 统 进 程 状 态 ， 发 现 不 规 则 命 名 的 异 常 进 程 、 异 常 下 载 进 程   :
下 载 l o g o . j p g ， 包 含 脚 本 内 容 如 下 ： 到 这 里 ， 我 们 可 以 发 现 攻 击 者 下 载 l o g o . j p g 并 执 行 了 里 面 了 s h e l l 脚 本 ， 那 这 个 脚 本 是 如 何 启 动 的 呢 ？ 通 过 排 查 系 统 开 机 启 动 项 、 定 时 任 务 、 服 务 等 ， 在 定 时 任 务 里 面 ， 发 现 了 恶 意 脚 本 ， 每 隔 一 段 时 间 发 起 请 求 下 载 病 毒 源 ， 并 执 行   。 B 、 溯 源 分 析 、 溯 源 分 析 在 T o m c a t   l o g 日 志 中 ， 我 们 找 到 这 样 一 条 记 录 ： 对 日 志 中 攻 击 源 码 进 行 摘 录 如 下 ： 可 以 发 现 攻 击 代 码 中 的 操 作 与 定 时 任 务 中 异 常 脚 本 一 致 ， 据 此 推 断 黑 客 通 过 S t r u c t   远 程 命 令 执 行 漏 洞 向 服 务 器 定 时 任 务 中 写 入 恶 意 脚 本 并 执 行 。 C 、 清 除 病 毒 、 清 除 病 毒 1 、 删 除 定 时 任 务 : { ( # _ = ' m u l t i p a r t / f o r m - d a t a ' ) . ( # d m = @ o g n l . O g n l C o n t e x t @ D E F A U L T _ M E M B E R _ A C C E S S ) . ( # _ m e m b e r A c c e s s ? ( # _ m e m b e r A c c e s s = # d m ) : ( ( # c o n t a i n e r = # c o n t e x t [
2 、 终 止 异 常 进 程 : D 、 漏 洞 修 复 、 漏 洞 修 复 升 级 s t r u t s 到 最 新 版 本 0 x 0 3   防 范 措 施 防 范 措 施 针 对 服 务 器 被 感 染 挖 矿 程 序 的 现 象 ， 总 结 了 几 种 预 防 措 施 ： 1 、 安 装 安 全 软 件 并 升 级 病 毒 库 ， 定 期 全 盘 扫 描 ， 保 持 实 时 防 护 2 、 及 时 更 新   W i n d o w s 安 全 补 丁 ， 开 启 防 火 墙 临 时 关 闭 端 口 3 、 及 时 更 新 w e b 漏 洞 补 丁 ， 升 级 w e b 组 件 本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理