病毒分析丨Linux挖矿木马

经调查分析，本次攻击中的样本主要包括:

 •shell类:

    ·adxintrin_b & cronman

    这两个shell文件功能高度相似，且作用于攻击的整个生命周期。其主要行为包括：获取恶意文 件、运行挖矿病毒、持久化、清楚记录、横向移动。

    ·xbash

    该文件是一个Makeself文件，其主要功能是释放"cronman"并执行。

 •ELF类

    ·libgcc_a & xfitaarch.sh

这两个文件为本次攻击的最终payload，其为XMrig挖矿病毒的变种。

    ·spirit & sshpass

该文件为linux下ssh暴力破解组件，其会对内网中的其他主机进行ssh暴破，以实现横向移动。

注：

  •获取

    ·通过wget & curl，从C2服务器(5.133.65.53 & 45.142.212.30)拉取恶意样本及相关组件。 

    ·通过scp，从已失陷主机中获取所需恶意样本及相关组件。

  •传播

    ·利用spirit & sshpass，通过ssh暴破，在内网进行横向移动 

    ·利用xinetd，实现端口转发，重定向至恶意C2服务器

  •持久化

    ·设置计划任务 

    ·修改sshd配置，并配置ssh公钥

  •清理痕迹

    ·删除日志 & 命令行历史记录

    ·禁用登录日志 & 授权日志

  •环境配置

    ·配置"ld.so.preload"

    ·自更新

    ·检查防火墙 & 杀软 

    ·修改DNS

    ·创建服务"crtend_b"

•通过ssh，从已失陷主机中获取相关文件 

其先利用"tar -zcf"命令，将攻击所需的文件进行打包。

随后，其通过"scp"命令将刚刚打好的压缩包传入目标服务器，随后通过ssh发送命令，将压缩包进行解压，并执行压缩包中"/etc/cron.daily/xbash"这个脚本。

•检查防火墙

•检查并关闭杀软

•修改DNS

•创建服务"crtend_b" 

SERVICE_NAME为"crtend_b"，且会将其添加至开机自启中。

持久化

•修改sshd配置 

图中相关参数如下：file="/etc/ssh/sshd_config" param[1]="PermitRootLogin " param[2]="PubkeyAuthentication" param[3]="AuthorizedKeysFile" param[4]="PasswordAuthentication" param[5]="HostKeyAlgorithms" param[6]="PubkeyAcceptedKeyTypes"

•利用spirit & sshpass进行ssh暴破

spirit为开源的渗透工具，其会根据同级目录下的IP地址簿(即"ip.txt"文件)进行存活性探测，以方便后续传播。其同级目录下的sshpass文件为暴力破解组件，会根据同级目录下的密码本(即"alllib"文件)对可以访问到的服务器进行ssh暴破。

同时也利用"crontab"为spirit设置定时计划，定期进行ssh暴破。

smtp_forward几个配置文件，实现将80、443、708、757、8080端口的访问转发到远程恶意主机上，通过这样的配置，当有客户端对本机的相应端口访问时，就会重定向至恶意主机实现代理。下面是其中一例：

清理痕迹

•删除日志 & 命令行记录

删除的日志包括：

相关功能实现如下：

•禁用登录日志 & 授权日志 & 命令行记录

相关功能实现如下：

​

该脚本是一个"Makeself"文件，其可以自解压并执行上文中提到的cronman文件，是持久化中的重要一环。

sshpass参数如下：

可以通过排查以下信息，判断服务器是否失陷。 

  ·典型目录：

    ·/root/gcclib 其中包含挖矿病毒