警惕Linux挖矿木马SystemMiner通过SSH爆破入侵攻击

亦凉 2023-07-11 11:13 26阅读 0赞

近日某企业Linux服务器出现卡慢，CPU占用高等现象，腾讯安全专家通过对故障服务器进行安全检查，发现该服务器遭遇SSH弱密码爆破入侵。

## 一、概述      ##

近日某企业Linux服务器出现卡慢，CPU占用高等现象，向腾讯安全威胁情报中心求助。工程师征得客户同意对该企业网络运行情况进行安全审计。通过对故障服务器进行安全检查，发现该服务器遭遇SSH弱密码爆破入侵。入侵者植入定时任务实现持久化，定时任务下载执行病毒母体INT, INT内置了多个bash命令，会进一步下载执行Linux挖矿木马SystemMiner。

此外入侵者还会利用运维工具ansible、knife等执行命令批量攻击感染内网其他机器,会尝试下载脚本卸载腾讯云云镜、阿里云安骑士等安防产品以实现自保护，入侵者还会修改hosts文件屏蔽其他挖矿网址以独占挖矿资源。

## 二、病毒分析 ##

### 1.   入侵阶段 ###

腾讯安全运维专家通过查看失陷主机相关日志，发现入侵者尝试数短时间内爆破SSH接近三千次，爆破入侵成功后会创建执行定时任务kpccv.sh。

![format_png][]

### 2.   持久化 ###

通过创建定时任务实现持久化，定时任务为sh脚本，脚本内容经过base64编码加密。定时任务执行周期为59分钟以内的一个随机数值。

![format_png 1][]

Kpccv.sh经过bash64加密，其主要功能是下载病毒母体INT执行。为了避免下载地址失效，内置了多个下载地址。tencentxjy5kpccv.拼接tor2web.io，tor2web.in等得到完整的下载链接。

Kpccv.sh解密后的内容如下:

![format_png 2][]

### 3.   病毒母体INT分析 ###

INT为ELF格式可执行文件，运行后创建一子进程执行，内置了多个bash命令，经base64编码加密，每个bash脚本命令都对应着完整的功能模块,下文依次分析每个bash命令实现的具体功能。

![format_png 3][]

**3.1** **本地持久化**

该bash模块主要功能是实现本地持久化,创建定时任务0kpccv,定时任务执行周期为59分钟以内的一个随机数值。定时任务执行kpccv.sh脚本,写入脚本的内容经过了base64编码，其主要功能是下载执行病毒母体INT。

Base64解码后的bash脚本：

![format_png 4][]

**3.2** **内网渗透&自保护**

利用运维工具ansible、knife、salt执行命令实现对内网机器批量感染，执行命令经过base64编码，解码后其功能为下载执行病毒母体INT

![format_png 5][]

下载脚本尝试卸载腾讯云云镜、阿里云安骑士等安全防护产品以实现自保护。

![format_png 6][]

下载可执行文件bot,trc模块执行，目前下载链接已失效。

![format_png 7][]

**3.3 ** **清理其他挖矿木马&屏蔽矿池网址**

该模块主要功能是清理机器上的挖矿木马，并且修改hosts文件，将常见的挖矿网址systemten.org、pm.cpuminerpool.com等映射到ip地址0.0.0.0，以实现屏蔽其他挖矿网址实现独占系统资源。

![format_png 8][]

**3.4** **下载执行挖矿木马**

执行最核心的功能，下载执行挖矿木马。下载链接通过拼接而成，tencentxjy5kpccv.拼接tor2web.io等，挖矿模块cpu为ELF格式可执行文件。

![format_png 9][]

执行门罗币挖矿，矿池配置如下：

![format_png 10][]

## 三、安全建议 ##

腾讯安全专家建议各企业对Linux服务器做以下加固处理：

1.采用高强度的密码，避免使用弱口令，并建议定期更换密码。建议服务器密码使用高强度无规律密码，并强制要求每个服务器使用不同密码管理；

2.排查相关Linux服务器是否有kpccv等相关定时任务，有则结束相关进程，清理相关木马文件；

3.在终端/服务器部署专业安全防护软件，Web服务器可考虑部署在腾讯云等具备专业安全防护能力的云服务平台。

4.推荐企业部署腾讯T-Sec高级威胁检测系统（腾讯御界）及时捕捉黑客攻击。御界高级威胁检测系统，是基于腾讯安全反病毒实验室的安全能力、依托腾讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。（https://s.tencent.com/product/gjwxjc/index.html）

![format_png 11][]

腾讯T-Sec高级威胁检测系统（御界）可检测挖矿流量

**IOCs:**

MD5:

177e3be14adcc6630122f9ee1133b5d3

e5f8c201b1256b617974f9c1a517d662

b72557f4b94d500c0cd7612b17befb70

**域名****:**

tencentxjy5kpccv.t.tor2web.io

tencentxjy5kpccv.t.tor2web.to

tencentxjy5kpccv.t.tor2web.in

tencentxjy5kpccv.t.onion.to

tencentxjy5kpccv.t.onion.in.net

tencentxjy5kpccv.t.civiclink.network

tencentxjy5kpccv.t.onion.nz

tencentxjy5kpccv.t.onion.pet

tencentxjy5kpccv.t.onion.ws

tencentxjy5kpccv.t.onion.ly

**矿池****:**

136.243.90.99:8080

[format_png]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvYzQvYjkvYzRiOTZlNWEwOTA5NGM4NDcxZjg1YWQyYzEzMjdiMTYucG5n?x-oss-process=image/format,png
[format_png 1]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvMTUvYzkvMTVjOWQ2NGFhZDNiZmRmNjc3MGE3MmQ2ZGM3MDYyZWEucG5n?x-oss-process=image/format,png
[format_png 2]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvMmQvMGIvMmQwYjc0NmI5MTZlYWMxNzc3MTJkMzdmYmM2M2MwNzUucG5n?x-oss-process=image/format,png
[format_png 3]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvMzAvMWYvMzAxZmMzNjFmYWVkZWMyZTZiYThlYzUxOWEzYWYzNjMucG5n?x-oss-process=image/format,png
[format_png 4]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvOWQvNTMvOWQ1M2JkOWMyZTIyN2NkYzA0ZGY0YTEyY2E3YmE0MjIucG5n?x-oss-process=image/format,png
[format_png 5]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvODMvNTEvODM1MTM2NGRhMjQyNDU5NGJjNjJkNTE1MWE1MTJhNTYucG5n?x-oss-process=image/format,png
[format_png 6]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvZmUvZjgvZmVmOGM5ZmI0YzE2NWJlOGFmZDNlMWRiMmIzYjE3N2YucG5n?x-oss-process=image/format,png
[format_png 7]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvMTYvOGYvMTY4ZjlmNmRiMGQ0NWQyOTg5ODhmNWRkNjRjMTA0Y2IucG5n?x-oss-process=image/format,png
[format_png 8]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvYTIvMGUvYTIwZWI2MThmMTU1ODRkNGRjZjMxNzNkZjg4MjFlZjIucG5n?x-oss-process=image/format,png
[format_png 9]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvYTEvZWEvYTFlYTZiYjNiN2NhMDUwNTM2NmM5MmMyZmFjMjRmNDQucG5n?x-oss-process=image/format,png
[format_png 10]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvYzQvZmUvYzRmZWI5N2E0YWNhZmY2NzY3ZDU1NWI0YzNkZGI4M2UucG5n?x-oss-process=image/format,png
[format_png 11]: https://imgconvert.csdnimg.cn/aHR0cDovL3BjMS5ndGltZy5jb20vZ3VhbmppYS9pbWFnZXMvMWEvYmYvMWFiZjc4ZTg1Nzg4NWNhN2YzMDY0NjUyMTQwOTBiNjcucG5n?x-oss-process=image/format,png