近日，Check Point 的安全研究人員發現了 RubyMiner 惡意軟體家族，針對全球的 web 伺服器發起攻擊，並試圖利用這些伺服器挖掘門羅幣。24 小時內，全球 30% 的網絡都受到影響。
上周，全球 web 伺服器遭遇了一場大規模攻擊，就在那時 RubyMiner 首次進入大眾視野。專家認為，此次攻擊背後的主要操控者只有一個人，盡在一天之內就嘗試入侵了全球近三分之一的網絡。
在過去的24小時內，全球 30％ 的網絡都遭遇了針對 web 伺服器的加密貨幣挖礦攻擊。在此期間，該攻擊者試圖掃描全球網絡，從中找到易受攻擊的 web 伺服器用於挖礦。主要受影響的國家是美國、德國、英國、挪威和瑞典，但全球其他國家也未能倖免。
義大利安全公司 Certego 也注意到 RubyMiner 從 1 月 10 日就開始發起攻擊：
從昨天（1月10日）23:00開始，我們的威脅情報平臺就已經開始大規模報告關於 ruby http 的利用。令人驚訝的是，黑客大量使用 2012 年和 2013 年發布和修補的舊漏洞，而且似乎並不打算隱藏自己的蹤跡，而是打算在最短的時間內感染大量的伺服器。攻擊者選擇利用 HTTP Web 伺服器中的多個漏洞，分發開源的 Monero 挖礦程序 XMRig。XMRig 在 2017 年 9 月利用 Microsoft IIS 6.0（Windows Server 2003 R2 中的 Web 伺服器）中的漏洞進行攻擊。XMRig 通常會向開原始碼的作者捐贈 5％ 的挖礦所得。然而，攻擊者可能覺得 5% 也還是太多，因此從代碼中刪除了「捐贈元素」，將所有利潤據為己有。
RubyMiner 影響範圍包括 Windows 伺服器也包括 Linux 伺服器，主要利用 PHP、 Microsoft IIS 和 Ruby on Rails 中的漏洞來部署挖礦軟體。Certego 的分析報告顯示，惡意程序一直在利用 Ruby on Rails 中一個可造成遠程代碼執行的古老 CVE（CVE-2013-0156）漏洞。
PHP 伺服器攻擊向量
Ruby on Rails 攻擊向量
RubyMiner 的具體攻擊過程如下：
攻擊者在 POST 請求內發送一個 base64 編碼的有效載荷，並誘導解釋器執行該有效載荷。這個惡意的有效載荷是一個 bash 腳本，其中添加了一個每小時運行一次的定時任務 cronjob，同時還下載了一個包含 shell 腳本的 robots.txt 文件，用於獲取並執行挖礦軟體。隨後調度程序執行命令，運行整個過程（包括每小時從伺服器下載文件）。
cron 是一個基於 UNIX 的調度程序，可以通過自己的語法在固定的時間運行計劃好的任務。 使用 -r 參數運行 crontab 命令將刪除現有 crontab 中的所有現有任務，並允授予礦工全部優先級。
攻擊者可以使用」1 「將新任務注入到乾淨的 crontab 文件中，進而命令調度器每小時無限運行一分鐘。新任務將下載並執行「internetresearch.is」上託管的「robots.txt」文件，進而開始挖掘。
正常的robots.txt
攻擊活動中的 robots.txt
專家認為，robots.txt 文件也可以用作 RubyMiner 的 kill 開關，修改受感染 web 伺服器上的 robots.txt 文件，進而關停 RubyMiner。
（關閉開關後）一分鐘之內，所有重新下載文件的計算機都將收到沒有加密挖礦軟體信息的文件。
此外，攻擊者所使用的一個域名「lochjol.com」在 2013 年也涉及到 Ruby on Rails 漏洞相關的攻擊。
文章發布時，全球大約有 700 臺伺服器在 24 小時的攻擊中徹底中招。
以下是 CheckPoint 發布的 RubyMiner 的 IOC 等相關信息：
IoC攻擊伺服器及 Dropzones：
203.24.188[.]242
Internetresearch[.]is
dgnfd564sdf[.]com
lochjol[.]com
Payloads：
a6a57e6a216dff346a22f51639c4b99c
91d31ed8e569c0089fa070ed125e1fc5
761f5cfd0a3cddb48c73bc341a4d07a9
IPS 及反殭屍網絡防護我們的 IPS 和 AB 保護已經成功地阻止了從第 0 天開始的相關攻擊。我們將繼續監視和研究任何額外的野外攻擊。
IPS 防護：PHP php-cgi 查詢字符串參數代碼執行
Ruby on Rails XML 處理器 YAML 反序列化代碼執行
Microsoft IIS ASP 腳本原始碼洩露
AB 防護：Linux.RubyMiner.A
點擊閱讀原文可以獲取 CheckPoint 的完整分析內容。
*參考來源：SecurityAffairs，AngelaY 編譯，轉載請註明來自 FreeBuf.COM。