「挖礦殭屍」利用SaltStack漏洞入侵伺服器:多家企業中招、已獲利...

2020-12-05 驅動之家

日前，騰訊御見威脅情報中心通報了一起H2Miner黑產團夥利用SaltStack漏洞控制伺服器挖礦的入侵案例。

據悉，騰訊安全威脅情報中心於2020年05月03日檢測到H2Miner木馬利用SaltStack遠程命令執行漏洞（CVE-2020-11651、CVE-2020-11652）入侵企業主機進行挖礦。通過對木馬的核心腳本以及可執行文件的對比分析，確認了此次攻擊行動屬於挖礦木馬家族H2Miner。

據了解，H2Miner是一個linux下的挖礦殭屍網絡，通過hadoop yarn未授權、docker未授權、confluence RCE、thinkphp 5 RCE、Redis未授權等多種手段進行入侵，下載惡意腳本及惡意程序進行挖礦牟利，橫向掃描擴大攻擊面並維持C&C通信。

騰訊安全威脅情報中心大數據統計結果顯示，H2Miner利用SaltStack漏洞的攻擊自5月3日開始，目前呈快速增長趨勢。H2Miner挖礦木馬運行時會嘗試卸載伺服器的安全軟體，清除伺服器安裝的其他挖礦木馬，以獨佔伺服器資源。目前，H2Miner黑產團夥通過控制伺服器進行門羅幣挖礦已非法獲利超370萬元。

Saltstack是基於python開發的一套C/S自動化運維工具。近日，SaltStack被爆存在認證繞過漏洞（CVE-2020-11651）和目錄遍歷漏洞（CVE-2020-11652），其中：

CVE-2020-11651：為認證繞過漏洞，攻擊者可構造惡意請求，繞過Salt Master的驗證邏輯，調用相關未授權函數功能，達到遠程命令執行目的。

CVE-2020-11652：為目錄遍歷漏洞，攻擊者可構造惡意請求，讀取伺服器上任意文件，獲取系統敏感信息信息。

快科技了解到，此次入侵導致不少CDN平臺服務商平臺出現故障，進而導致多家網站訪問受到影響。

騰訊安全專家建議企業採取以下措施強化伺服器安全，檢查並清除伺服器是否被入侵安裝H2Miner挖礦木馬：

1、將Salt Master默認監聽埠（默認4505 和 4506）設置為禁止對公網開放，或僅對可信對象開放。將SaltStack升級至安全版本以上，升級前建議做好快照備份，設置SaltStack為自動更新，及時獲取相應補丁。

2、Redis 非必要情況不要暴露在公網，使用足夠強壯的Redis口令。

3、參考以下步驟手動檢查並清除H2Miner挖礦木馬：

kill掉進程中包含salt-minions和salt-store文件的進程，文件hash為a28ded80d7ab5c69d6ccde4602eef861、8ec3385e20d6d9a88bc95831783beaeb；

刪除文件/tmp/salt-minions、/tmp/salt-store；

將惡意腳本伺服器地址217.12.210.192、206.189.92.32進行封禁；

升級SaltStack到2019.2.4或3000.2，防止病毒再次入侵。

- THE END -

轉載請註明出處：快科技

#伺服器#殭屍

責任編輯：朝暉

相關焦點

  • 騰訊安全:亡命徒(Outlaw)殭屍網絡感染2萬臺伺服器,政企須提高警惕
    近日，騰訊安全威脅情報中心檢測到國內大量企業遭遇亡命徒（Outlaw）殭屍網絡攻擊。攻擊者通過暴力破解使用SSH服務的機器來擴大殭屍網絡的規模，最後通過加密貨幣挖礦來盈利。值得注意的是，遭爆破攻擊後，攻擊者將獲得對目標伺服器的完全控制權，危害極大。
  • 「預警信息」關於SaltStack多個高危漏洞的預警通報
    近日，奇安信CERT監測到國外安全團隊披露出了SaltStack框架存在三個安全漏洞：認證繞過高危漏洞（CVE-2020-25592）、命令注入高危漏洞（CVE-2020-16846）和邏輯高危漏洞（CVE-2020-17490）。
  • 安全大腦解析「驅動人生定向攻擊「最新動作:利用木馬控制電腦挖礦
    2018年12月14日下午，360安全大腦監測到一批攜帶永恆之藍漏洞攻擊組件的下載器木馬，該類木馬主要通過「人生日曆」等驅動人生系列產品升級組件下發。14日晚間，360公司向廠商通報了相關情況，該下發活動已停止。截止目前，該木馬累計攻擊計算機超過6萬臺計算機（僅包括通過升級組件受到攻擊的情況，不含利用漏洞的二次攻擊情況，360安全衛士帶有永恆之藍漏洞免疫功能）。
  • 湖南某科技公司疑似利用Struts2漏洞傳毒挖礦
    湖南某科技公司疑似利用Struts2漏洞傳毒挖礦 2017-09-12    近日，瑞星收到用戶求助，表示內網中有大量伺服器中毒，並且每臺機器CPU佔用極高，導致網內業務系統無法正常工作。
  • 安徽四川兩電腦高手利用遊戲漏洞 非法獲利兩百餘萬被抓
    原標題：電腦高手虛擬萬個玩家「挖礦」 ，非法獲利200多萬四川和安徽兩電腦高手非法利用網絡抓包軟體抓取遊戲數據包，從中獲取遊戲參數和漏洞，然後編寫軟體外掛程序，可以讓上萬個帳號同時登錄，自動註冊和打遊戲「挖礦」，以此非法獲利200多萬元。
  • 上萬臺MSSQL伺服器淪為門羅幣礦機,騰訊安全專家提醒要這樣做!
    近日，騰訊安全威脅情報中心檢測到針對MSSQL伺服器攻擊的挖礦木馬，該挖礦木馬主要針對MSSQL服務進行爆破弱口令攻擊，爆破成功後會植入門羅幣挖礦木馬進行挖礦。據騰訊安全評估，截止目前已有上萬臺伺服器淪為門羅幣礦機。對此，騰訊安全專家提醒企業應避免使用弱口令。同時，騰訊安全終端安全管理系統已可攔截查殺該挖礦木馬。
  • 網管趕緊看:病毒界的「滅霸」正在攻擊企業伺服器
    攻擊者追求「事半功倍」 將目標轉向伺服器　　當時，在WannaCry爆發後，至少150個國家、30萬名用戶中招，造成損失達80億美元，影響到了金融、能源、醫療等眾多行業，造成嚴重的危機管理問題。我國部分Windows作業系統用戶遭到感染，校園網用戶首當其衝，受害嚴重，大量實驗室數據和畢業設計被鎖定加密。還有部分大型企業的應用系統和資料庫文件被加密後，無法正常工作，影響巨大。
  • 鎖定Linux與IoT的新殭屍蠕蟲Gitpaste-12現身
    Juniper揭露新型殭屍蠕蟲，其Gitpaste-12命名來自於它同時藉由合法的Pastebin網站（圖標1）與GitHub（圖標2）來代管組件，並利用11個已知漏洞及Telnet暴力破解（圖標3）進行散布與感染。
  • 「老虎」挖礦木馬偽裝「火爆新聞」傳播 騰訊安全率先查殺
    因其挖礦使用的自建礦池包含字符「laofubtc」，騰訊安全技術專家將其命名為「老虎」挖礦木馬（LaofuMiner）。據騰訊安全御見威脅情報中心監測數據統計，此次有數千家企業受到「老虎」挖礦木馬攻擊影響，北京、廣東、上海、河南、山東等地，成為本次攻擊受害較嚴重的區域。
  • 金山毒霸:Windows遠程桌面漏洞可致伺服器被入侵-Windows,遠程...
    其中5個修復Windows漏洞，1個修復Internet Explorer漏洞，2個修復Office漏洞。其中遠程桌面組件及IE存在的高危漏洞可能導致黑客入侵或網頁掛成攻擊。金山已經同步更新補丁庫，金山毒霸安全專家建議所有用戶儘快升級修補。
  • 黑客是如何利用你的瀏覽器進行挖礦的?
    0×1 概述　　近期，千裡目安全實驗室監測到了一大批網站系統被惡意植入了網頁挖礦木馬，只要訪問者通過瀏覽器瀏覽被惡意植入了網頁挖礦木馬站點，瀏覽器會即刻執行挖礦指令，從而淪為殭屍礦機，無償的為網頁挖礦木馬植入者提供算力，間接為其生產虛擬貨幣，這是一種資源盜用攻擊。
  • 負載均衡廠商F5驚現高危漏洞:8000多臺設備處於高度風險之中 全球...
    F5(F5 Networks)作為全球領先的應用交付網絡(ADN)領域的廠商,6月被曝出BIG-IP(負載均衡)中兩個嚴重漏洞,代號分別為CVE-2020-5902和CVE-2020-5903,使8000多臺設備處於高度風險之中,政府,銀行,雲提供商,全球500強公司紛紛中招。
  • SaltStack研究顯示百分之七十的公司犧牲安全性以加快創新
    隨著IT基礎架構變得越來越複雜，某些專業職能部門已經制定了自己的利基（利基（niche）是指針對企業的優勢細分出來的市場，這個市場不大，而且沒有得到令人滿意的服務。簡單可以直接理解成「小環境」）要求，與主流IT運營有關，但有所不同。主要的包括開發、安全性和網絡。
  • 可3秒入侵Windows伺服器:微軟敦促客戶儘快修復Zerologon漏洞
    在 Zerologon 漏洞開始瘋狂傳播之後，美國國土安全局責令政府網絡管理員責令政府網絡管理員立即給 Windows Server 2008 及以上版本（包括 Windows 10 Server）打補丁。
  • 基於Python 的殭屍網絡將 Linux 機器變成挖礦機器人
    F5 Networks 的安全研究人員發現了一個新的 Linux 加密殭屍網絡，並將其命名為"PyCryptoMiner"，它主要的攻擊目標是具有公開 SSH 埠的 Linux 系統。根據研究人員的描述，PyCryptoMiner 主要包括以下五個特性：基於 Python 腳本語言，這意味著很難被檢測出來在原始命令和控制(C&C)伺服器不可用時，會利用 Pastebin[.]com（在用戶名「WHATHAPPEN」下）接收新的 C&C 伺服器分配域名註冊人與超過 3.6 萬個域名相關聯
  • 「網絡安全2.17~2.23」伊朗黑客入侵VPN伺服器,意植入全世界公司
    研究人員共詳述了12個被統稱為「SweynTooth」的漏洞，不過表示BLE 中還存在更多的漏洞但目前尚無法披露。受影響的廠商包括 Texas Instruments、NXP、Cypress、Dialog Semiconductors、Microchip、STMicroelectronics 和 Telink Semiconductor，它們目前均已得到通知，幾乎全部都已發布補丁。