精準投放Tsunami僵尸網絡和“魔鏟”挖礦木馬的行動分析

時間 ：  2020年04月24日  來源：  安天CERT

1 概述

---

        近日，安天CERT聯合哈爾濱工業大學網絡安全響應組通過網絡安全監測發現了一起僵尸網絡和挖礦木馬事件，該事件針對Linux系統，包含服務器和智能設備。攻擊者配置了一個IP列表，如果目標主機外網IP在列表中則下載運行Tsunami僵尸程序，如果目標主機外網IP不在列表中則下載運行“魔鏟”挖礦木馬，IP列表共8487條，全球范圍內涉及政府部門、金融行業、互聯網企業、媒體、運營商等多種目標，國內也有大量目標。

        安天CERT分析推測，IP列表中的對應機構的特點是網絡流量相對較大，因此被攻擊者用來做僵尸網絡的組成部分；IP列表外的，網絡流量可能相對較小，因此被攻擊者用來挖礦。

        被感染的Linux系統的計劃任務中，存在一個每隔一段時間執行一次下載和運行update.sh腳本的任務。該腳本功能是獲取計算機信息（用戶id、處理器架構和公網IP），連接網絡讀取一個IP列表（server.txt），判斷主機的公網IP是否存在于該IP列表中，如果存在則準備下載組成僵尸網絡的僵尸程序運行，如果不存在則準備下載挖礦木馬運行。

        安天CERT分析判定，update.sh腳本下載的僵尸程序屬于Tsunami家族。該僵尸網絡基于Internet中繼聊天(IRC)的命令控制服務器操作，在受感染設備的配置中修改DNS服務器設置，使來自物聯網設備的流量被重定向到攻擊者控制的惡意服務器。Tsunami僵尸網絡主要使用下載器下載、利用漏洞、遠程登錄掃描等方式進行傳播。Tsunami僵尸網絡的主要功能為遠程控制、DDoS攻擊和其他惡意行為。

        安天CERT分析判定，update.sh腳本下載的挖礦木馬是攻擊者基于開源的門羅幣挖礦工具（XMRig）開發修改，該挖礦木馬和網絡流量中均含有特殊字符串“pwnRig”，安天CERT將該挖礦木馬命名為“魔鏟”挖礦木馬。

        目前，安天智甲終端防御系統 （Linux版本）可實現對該挖礦木馬和僵尸網絡的查殺與有效防護。安天智甲作為安天旗下的終端防御系統，目前已經率先完成與統信操作系統UOS全平臺適配兼容 ，成為統信操作系統生態伙伴。

2 事件對應的ATT&CK映射圖譜

---

        該起事件主要是由惡意腳本所引發，針對目標特點投放僵尸程序或挖礦木馬。通過對該事件進行ATT&CK映射，展示攻擊者在該事件中使用的技術特點。

圖 2-1事件對應的ATT&CK映射圖譜

        具體ATT&CK技術行為描述表：

表 2-1 該事件的ATT&CK技術行為描述表

3 防護建議

---

        針對該挖礦木馬和僵尸網絡安天建議企業采取如下防護措施：

3.1 企業防護

        （1） 安裝終端防護：安裝反病毒軟件，建議安裝安天智甲終端防御系統 Linux版本。

        （2） 加強ssh口令強度：避免使用弱口令，建議使用16位或更長的密碼，包括大小寫字母、數字和符號在內的組合，同時避免多個服務器使用相同口令；

        （3） 及時更新補丁：建議開啟自動更新功能安裝系統補丁，服務器應及時更新系統補丁；

        （4） 開啟日志：開啟關鍵日志收集功能（安全日志、系統日志、錯誤日志、訪問日志、傳輸日志和Cookie日志），為安全事件的追蹤溯源提供基礎；

        （5） 主機加固：對系統進行滲透測試及安全加固；

        （6） 部署入侵檢測系統（IDS）：部署流量監控類軟件或設備，便于對惡意代碼的發現與追蹤溯源。安天探海威脅檢測系統 （PTD）以網絡流量為檢測分析對象，能精準檢測出已知海量惡意代碼和網絡攻擊活動，有效發現網絡可疑行為、資產和各類未知威脅；

        （7） 安天服務：若遭受惡意軟件攻擊，建議及時隔離被攻擊主機，并保護現場等待安全工程師對計算機進行排查；安天7*24小時服務熱線：400-840-9234

        目前，安天智甲終端防御系統 （Linux版本）可實現對該挖礦木馬和僵尸網絡的查殺與有效防護。

圖 3-1安天智甲有效防護

4 樣本分析

---

4.1 update.sh腳本分析

表 4-1 update.sh標簽

        update.sh腳本的內容如下：

圖 4-1 update.sh腳本內容

        被感染的Linux系統的計劃任務中，存在一個每隔一段時間執行一次下載和運行update.sh腳本的任務。該腳本功能是獲取計算機信息（用戶id、處理器架構和公網IP），連接網絡讀取一個IP列表（server.txt），判斷主機的公網IP是否存在于該IP列表中，如果存在則準備下載組成僵尸網絡的僵尸程序運行，如果不存在則準備下載挖礦木馬運行。在準備下載僵尸程序運行前，判斷主機中是否存在僵尸程序相關字符串的進程，其目的是判斷主機是否已經感染了該僵尸程序；判斷用戶id是否為root用戶，選擇是否開啟ssh服務；判斷處理器架構，選擇下載相應架構的僵尸程序運行（見表4-2），經安天CERT分析工程師測試，僅存在i686和x86_64兩種架構的僵尸程序。在準備下載挖礦木馬運行前，判斷主機網絡連接中的所有IP地址是否存在攻擊者正在使用的與挖礦相關的三個IP（見表4-3），其目的是判斷主機是否已經感染了該挖礦木馬，如果未感染則選擇下載相應架構的挖礦木馬運行，經安天CERT分析工程師測試，僅存在i686和x86_64兩種架構的挖礦木馬。

        主要的處理器架構信息及對應的下載情況：

表 4-2 對應處理器架構的下載情況

        update.sh中的3個IP信息如下，這3個IP及曾經解析過的域名可能與礦池代理相關：

表 4-3 IP信息

        update.sh腳本的詳細執行流程如下：

圖 4-2 update.sh腳本的詳細執行流程

4.2 Tsunami僵尸程序分析

表 4-4 僵尸程序標簽

        經安天CERT分析判定，update.sh腳本下載的僵尸程序屬于Tsunami家族。該僵尸網絡基于Internet中繼聊天(IRC)的命令控制服務器操作，在受感染設備的配置中修改DNS服務器設置，使來自物聯網設備的流量被重定向到攻擊者控制的惡意服務器。Tsunami僵尸網絡主要使用下載器下載、利用漏洞、遠程登錄掃描等方式進行傳播。Tsunami僵尸網絡的主要功能為遠程控制、DDoS攻擊和其他惡意行為。

        Tsunami僵尸程序運行后，先判斷是否為唯一實例運行，獲取該進程識別碼、當前系統時間和父進程PPID隨機組成用戶識別碼。

圖 4-3生成用戶識別碼

        該僵尸程序的上線地址由內置的IP和域名二選一和內置的7個端口號七選一組合而成。內置的IP和域名為：

        80.23.88.68

        irc.do-dear.com

        7個默認端口為：

        80、443、6667、6668、7000、8080、22

        向上線地址發送的內容格式為：

        NICK %s',0Ah 'USER %s localhost localhost:%s

        向上線地址（IRC服務器）發送連接后，等待攻擊者的控制指令。Tsunami僵尸程序的主要功能為遠程控制、DDoS攻擊和其他惡意行為。

        遠程控制的指令與功能描述如下：

表 4-5 Tsunami僵尸程序的遠程控制功能的指令與功能描述

        DDoS攻擊的指令與功能描述如下：

表 4-6 Tsunami僵尸程序的DDoS攻擊的指令與功能描述

        其他的指令與功能描述如下：

表 4-7其他的指令與相關功能描述

4.3 “魔鏟”挖礦木馬分析

        安天CERT分析判定，update.sh腳本下載的挖礦木馬是攻擊者基于開源的門羅幣挖礦工具（XMRig）開發修改，該挖礦木馬和網絡流量中均含有特殊字符串“pwnRig”，安天CERT將該挖礦木馬命名為“魔鏟”挖礦木馬。“魔鏟”挖礦木馬連接非公共礦池，無法追蹤活動情況，運行后將自身添加至計劃任務中，設置為每分鐘執行一次。

表 4-8 挖礦木馬標簽

        挖礦木馬中含有特殊字符串“pwnRig”：

圖 4-4 挖礦木馬中的字符串

        網絡流量中含有特殊字符串“pwnRig”：

圖 4-5 挖礦程序流量分析

        挖礦木馬的錢包地址：

        46VfQxKRmjSsMRYux3r6qJvxwdVCmZfUFkPqt1uUfikSSy2wJFbcDzdX2ZuH4hDzs7xS8Nsy5orNTMtQUJADuavC2vV1Rp

5 信息整理分析

---

5.1 IP列表（Server.txt）分析

        攻擊者配置了一個IP列表，如果目標主機外網IP在列表中則下載運行Tsunami僵尸程序，如果目標主機外網IP不在列表中則下載運行“魔鏟”挖礦木馬，IP列表共8487條，全球范圍內涉及政府部門、金融行業、互聯網企業、媒體、運營商等多種目標，國內也有大量目標（2474條）。

圖 5-1 IP地址對應地理位置分布情況（全球）

圖 5-2 IP地址對應地理位置分布情況（國內）

5.2 update.sh中的域名關聯分析

        通過安天威脅情報綜合分析平臺關聯update.sh中下載惡意代碼鏈接的域名，發現多個與遠程控制木馬、挖礦木馬有關的惡意域名。

圖 5-3安天威脅情報綜合分析平臺域名關聯分析

        上述域名關聯結果列表：

表 5-1域名對應的關聯結果

6 附錄：IoCs

---