ADB.Miner：恶意代码正在利用开放了ADB 接口的安卓设备挖矿
<!--kg-card-begin: markdown--><p>作者：Hui Wang, RootKiter,<br>
<a href="https://twitter.com/360Netlab">twitter/360Netlab</a></p>
<p>大约24小时前，从 2018-02-03 15:00 开始，一组恶意代码开始蠕虫式快速传播，我们分析了这个安全威胁，一些快速的结果如下：</p>
<ul>
<li><strong>传播时间</strong>：最早的感染时间可以回溯到 1月31日附近。当前这波蠕虫式感染从 2018-02-03 下午 15：00 附近开始被我们的系统检测到，目前仍在持续增长。</li>
<li><strong>感染端口</strong>：5555，是安卓设备上 adb 调试接口的工作端口，这个端口正常应该被关闭，但未知原因导致部分设备错误的打开了该端口</li>
<li><strong>蠕虫式感染</strong>：恶意代码在完成植入后，会继续扫描 5555 adb 端口，完成自身的传播</li>
<li><strong>感染设备型号</strong>：目前能够确认的设备型号见后，大部分是智能手机，以及智能电视机顶盒</li>
<li><strong>感染设备数量</strong>：2.75 ~ 5k，主要分布在中国（~40%）和韩国（~30%）</li>
</ul>
<p>另外，恶意代码复用了 mirai 在扫描阶段的代码，这是我们首次看到 mirai 代码被安卓蠕虫复用</p>
<p>总体而言，我们认为有基于 android 系统 adb 调试接口的恶意代码目前正在蠕虫式积极传播，24小时内已经感染了超过5千台设备。</p>
<h4 id="5555">端口 5555 上的感染趋势</h4>
<p>从 2018-02-03 晚间开始，我们检测到端口 5555 上的扫描流量正在快速增长，如下：</p>
<p><img src="__GHOST_URL__/content/images/2018/02/5555_scanning_trend.png" alt="" loading="lazy"></p>
<p>如上图所见，5555 端口上的扫描流量从下午15：00附近，开始达到日常背景数据的3倍，24：00附近到达10倍。到目前未知，发起扫描的IP数量和总扫描流量，都仍然在持续增长中。</p>
<p>如下图所示，当前 5555 端口扫描流量已经排入所有端口的前十。上一次我们看到一个全新端口排入前十，是2016年9月期间，mirai僵尸网络开始组建其僵尸网络。<br>
<img src="__GHOST_URL__/content/images/2018/02/scanned_port_top10.png" alt="" loading="lazy"></p>
<p>5555 端口上扫描来源的独立IP地址，按照不同口径统计，有2.75 ~ 5.5k，这个数字正在快速增长中，两个来源的情况见后：</p>
<ul>
<li>来自 <a href="http://scan.netlab.360.com/">scanmon</a>的统计数字： 2.75k，主要来自中国（40%）和韩国（31%）。</li>
<li>来自我们的僵尸网络跟踪系统的统计数字： 5.5k</li>
</ul>
<p><img src="__GHOST_URL__/content/images/2018/02/scanner_are_from_China_and_Korea.png" alt="" loading="lazy"><br>
<img src="__GHOST_URL__/content/images/2018/02/scanner_from_botnetmon.png" alt="" loading="lazy"></p>
<h4 id="adb">受感染设备主要是各厂商开放了 adb 调试接口的安卓设备</h4>
<p>受感染设备正在积极的尝试投递恶意代码。我们从这些恶意代码中分析发现，大部分来源设备基于 android 操作系统。</p>
<p>具体被感染设备机型暂时不予公开，目前看，因为各主要厂商均涉及，并且同时涉及智能手机和智能电视（电视机顶盒？），我们倾向排除厂商级别漏洞的可能性。</p>
<h4 id="">恶意代码在利用这些设备挖矿</h4>
<p>相关的恶意代码有一组，其中 xmrig 相关恶意样本会参与挖取 XMR 代币。相关的配置有两组，基于两个不同矿池，但是共享了同一个钱包地址：</p>
<ul>
<li>矿池地址：pool.monero.hashvault.pro:5555 或者 pool.minexmr.com:7777</li>
<li>钱包地址（矿池账号）：44XT4KvmobTQfeWa6PCQF5RDosr2MLWm43AsaE3o5iNRXXTfDbYk2VPHTVedTQHZyfXNzMn8YYF2466d3FSDT7gJS8gdHAr</li>
<li>矿池密码：x</li>
</ul>
<p>目前为止，上述钱包还没有收到矿池的第一笔付款：</p>
<p><img src="__GHOST_URL__/content/images/2018/02/zero_incoming_till_now.png" alt="" loading="lazy"></p>
<h4 id="">蠕虫式传播</h4>
<p>我们目前可以认为恶意代码有蠕虫式传播行为。</p>
<p>我们最初就高度怀疑样本有蠕虫式传播行为。后续的分析从几个方面证实了上述猜测。后续我们也许会发布更新，进一步说明这一点。</p>
<p>其他的分析和防御工作，也正在持续进行中。后续的重要更新我们都会持续发布，请保持关注 <a href="https://twitter.com/360Netlab">twitter/360Netlab</a>。</p>
<!--kg-card-end: markdown-->
作者：Hui Wang, RootKiter,

twitter/360Netlab


大约24小时前，从 2018-02-03 15:00 开始，一组恶意代码开始蠕虫式快速传播，我们分析了这个安全威胁，一些快速的结果如下：


 * 传播时间：最早的感染时间可以回溯到 1月31日附近。当前这波蠕虫式感染从 2018-02-03 下午 15：00 附近开始被我们的系统检测到，目前仍在持续增长。
 * 感染端口：5555，是安卓设备上 adb 调试接口的工作端口，这个端口正常应该被关闭，但未知原因导致部分设备错误的打开了该端口
 * 蠕虫式感染：恶意代码在完成植入后，会继续扫描 5555 adb 端口，完成自身的传播
 * 感染设备型号：目前能够确认的设备型号见后，大部分是智能手机，以及智能电视机顶盒
 * 感染设备数量：2.75 ~ 5k，主要分布在中国（~40%）和韩国（~30%）


另外，恶意代码复用了 mirai 在扫描阶段的代码，这是我们首次看到 mirai 代码被安卓蠕虫复用


总体而言，我们认为有基于 android 系统 adb 调试接口的恶意代码目前正在蠕虫式积极传播，24小时内已经感染了超过5千台设备。


端口 5555 上的感染趋势


从 2018-02-03 晚间开始，我们检测到端口 5555 上的扫描流量正在快速增长，如下：





如上图所见，5555 端口上的扫描流量从下午15：00附近，开始达到日常背景数据的3倍，24：00附近到达10倍。到目前未知，发起扫描的IP数量和总扫描流量，都仍然在持续增长中。


如下图所示，当前 5555 端口扫描流量已经排入所有端口的前十。上一次我们看到一个全新端口排入前十，是2016年9月期间，mirai僵尸网络开始组建其僵尸网络。




5555 端口上扫描来源的独立IP地址，按照不同口径统计，有2.75 ~ 5.5k，这个数字正在快速增长中，两个来源的情况见后：


 * 来自 scanmon的统计数字： 2.75k，主要来自中国（40%）和韩国（31%）。
 * 来自我们的僵尸网络跟踪系统的统计数字： 5.5k







受感染设备主要是各厂商开放了 adb 调试接口的安卓设备


受感染设备正在积极的尝试投递恶意代码。我们从这些恶意代码中分析发现，大部分来源设备基于 android 操作系统。


具体被感染设备机型暂时不予公开，目前看，因为各主要厂商均涉及，并且同时涉及智能手机和智能电视（电视机顶盒？），我们倾向排除厂商级别漏洞的可能性。


恶意代码在利用这些设备挖矿


相关的恶意代码有一组，其中 xmrig 相关恶意样本会参与挖取 XMR 代币。相关的配置有两组，基于两个不同矿池，但是共享了同一个钱包地址：


 * 矿池地址：pool.monero.hashvault.pro:5555 或者 pool.minexmr.com:7777
 * 钱包地址（矿池账号）：44XT4KvmobTQfeWa6PCQF5RDosr2MLWm43AsaE3o5iNRXXTfDbYk2VPHTVedTQHZyfXNzMn8YYF2466d3FSDT7gJS8gdHAr
 * 矿池密码：x


目前为止，上述钱包还没有收到矿池的第一笔付款：





蠕虫式传播


我们目前可以认为恶意代码有蠕虫式传播行为。


我们最初就高度怀疑样本有蠕虫式传播行为。后续的分析从几个方面证实了上述猜测。后续我们也许会发布更新，进一步说明这一点。


其他的分析和防御工作，也正在持续进行中。后续的重要更新我们都会持续发布，请保持关注 twitter/360Netlab。

{"version":"0.3.1","markups":[],"atoms":[],"cards":[["markdown",{"cardName":"card-markdown","markdown":"作者：Hui Wang, RootKiter,\n[twitter/360Netlab](https://twitter.com/360Netlab)\n\n大约24小时前，从 2018-02-03 15:00 开始，一组恶意代码开始蠕虫式快速传播，我们分析了这个安全威胁，一些快速的结果如下：\n\n - **传播时间**：最早的感染时间可以回溯到 1月31日附近。当前这波蠕虫式感染从 2018-02-03 下午 15：00 附近开始被我们的系统检测到，目前仍在持续增长。\n - **感染端口**：5555，是安卓设备上 adb 调试接口的工作端口，这个端口正常应该被关闭，但未知原因导致部分设备错误的打开了该端口\n - **蠕虫式感染**：恶意代码在完成植入后，会继续扫描 5555 adb 端口，完成自身的传播\n - **感染设备型号**：目前能够确认的设备型号见后，大部分是智能手机，以及智能电视机顶盒\n - **感染设备数量**：2.75 ~ 5k，主要分布在中国（~40%）和韩国（~30%）\n\n另外，恶意代码复用了 mirai 在扫描阶段的代码，这是我们首次看到 mirai 代码被安卓蠕虫复用\n\n总体而言，我们认为有基于 android 系统 adb 调试接口的恶意代码目前正在蠕虫式积极传播，24小时内已经感染了超过5千台设备。\n\n#### 端口 5555 上的感染趋势\n\n从 2018-02-03 晚间开始，我们检测到端口 5555 上的扫描流量正在快速增长，如下：\n\n![](__GHOST_URL__/content/images/2018/02/5555_scanning_trend.png)\n\n如上图所见，5555 端口上的扫描流量从下午15：00附近，开始达到日常背景数据的3倍，24：00附近到达10倍。到目前未知，发起扫描的IP数量和总扫描流量，都仍然在持续增长中。\n\n如下图所示，当前 5555 端口扫描流量已经排入所有端口的前十。上一次我们看到一个全新端口排入前十，是2016年9月期间，mirai僵尸网络开始组建其僵尸网络。\n![](__GHOST_URL__/content/images/2018/02/scanned_port_top10.png)\n\n\n5555 端口上扫描来源的独立IP地址，按照不同口径统计，有2.75 ~ 5.5k，这个数字正在快速增长中，两个来源的情况见后：\n\n - 来自 [scanmon](http://scan.netlab.360.com/)的统计数字： 2.75k，主要来自中国（40%）和韩国（31%）。\n - 来自我们的僵尸网络跟踪系统的统计数字： 5.5k\n\n![](__GHOST_URL__/content/images/2018/02/scanner_are_from_China_and_Korea.png)\n![](__GHOST_URL__/content/images/2018/02/scanner_from_botnetmon.png)\n\n#### 受感染设备主要是各厂商开放了 adb 调试接口的安卓设备\n受感染设备正在积极的尝试投递恶意代码。我们从这些恶意代码中分析发现，大部分来源设备基于 android 操作系统。\n\n具体被感染设备机型暂时不予公开，目前看，因为各主要厂商均涉及，并且同时涉及智能手机和智能电视（电视机顶盒？），我们倾向排除厂商级别漏洞的可能性。\n\n\n#### 恶意代码在利用这些设备挖矿\n\n相关的恶意代码有一组，其中 xmrig 相关恶意样本会参与挖取 XMR 代币。相关的配置有两组，基于两个不同矿池，但是共享了同一个钱包地址：\n\n -  矿池地址：pool.monero.hashvault.pro:5555 或者 pool.minexmr.com:7777\n -  钱包地址（矿池账号）：44XT4KvmobTQfeWa6PCQF5RDosr2MLWm43AsaE3o5iNRXXTfDbYk2VPHTVedTQHZyfXNzMn8YYF2466d3FSDT7gJS8gdHAr\n -  矿池密码：x\n\n目前为止，上述钱包还没有收到矿池的第一笔付款：\n\n![](__GHOST_URL__/content/images/2018/02/zero_incoming_till_now.png)\n\n\n#### 蠕虫式传播\n\n我们目前可以认为恶意代码有蠕虫式传播行为。\n\n我们最初就高度怀疑样本有蠕虫式传播行为。后续的分析从几个方面证实了上述猜测。后续我们也许会发布更新，进一步说明这一点。\n\n其他的分析和防御工作，也正在持续进行中。后续的重要更新我们都会持续发布，请保持关注 [twitter/360Netlab](https://twitter.com/360Netlab)。\n\n"}]],"sections":[[10,0]],"ghostVersion":"3.0"}