长按二维码关注
腾讯安全威胁情报中心
11月份，腾讯主机安全（云镜）检测到TeamTNT挖矿木马攻击云服务器挖矿。本周腾讯安全威胁情报中心再次发现TeamTNT挖矿木马变种更新，新变种对数据回传和横向移动的模块代码进行升级优化，表明该黑产团伙正在继续改进木马功能模块，有危害扩大迹象。
TeamTNT挖矿团伙通过批量扫描公网上开放2375端口的云服务器，并尝试利用Docker Remote API未授权访问漏洞对云服务器进行攻击。TeamTNT在成功入侵云服务器后，会隐藏进程，通过安装定时任务持久化，并收集主机上的隐私数据（如主机用户名和密码、RSA登录凭证、AWS CLI跨账户授权信息、docker配置信息）上传到C2服务器。与此同时，为了控制更多肉鸡系统，增加挖矿收益，TeamTNT团伙还利用SSH复用连接进行横向移动以感染更多服务器。
腾讯安全威胁情报中心近期发现的TeamTNT挖矿木马新变种，对数据回传和横向移动的模块代码进行了功能升级和性能优化，新变种的主要改进有以下几点：
-
代码结构进行了调整，功能模块更加清晰明了；
-
更新C2地址，并将恶意模块下载和数据回传合并为同一C2；
-
受害主机隐私数据拆分为多个文件独立上传，并附带受害主机公网IP地址信息。该团伙收集目标计算机信息，显然是为了下一步的攻击更加有效。
自查处置建议
腾讯安全专家建议企业用户按照以下步骤进行自查处置：
-
Docker Remote API的2375非必要情况不要暴露在公网，如必须暴露公网 ，则需要配置访问控制策略；
-
排查当前主机docker容器，检查是否存在非正常容器，将其停止并删除；
-
排查.ssh/authorized_keys、/etc/passwd、/etc/shadow是否被修改或者被新增用户；
-
排查是否存在以下文件，如存在以下文件，确认其md5值，如确认为异常文件，请及时删除：
/usr/local/lib/python3.5.so/dev/shm/sbin/usr/bin/tshd/usr/bin/kube/usr/bin/bioset/tmp/ps/.x112/bin/sbin/dev/shm/.daemon
腾讯安全系列产品应对TeamTNT挖矿团伙的响应清单如下：
|
应用 场景 |
安全产品 |
解决方案 |
|
威 胁 情 报 |
腾讯T-Sec 威胁情报云查服务 （SaaS） |
1）TeamTNT挖矿木马相关IOCs已入库。 各类安全产品可通过“威胁情报云查服务”提供的接口提升威胁识别能力。 可参考:https://cloud.tencent.com/product/tics |
|
腾讯T-Sec 高级威胁追溯系统 |
1）TeamTNT挖矿木马相关信息和情报已支持检索。 网管可通过威胁追溯系统，分析日志，进行线索研判、追溯网络入侵源头。T-Sec高级威胁追溯系统的更多信息，可参考：https://cloud.tencent.com/product/atts |
|
|
云原生 安全 防护 |
云防火墙 （Cloud Firewall，CFW） |
基于网络流量进行威胁检测与主动拦截，已支持： 1）TeamTNT挖矿木马关联的IOCs已支持识别检测； 2）检测Docker Remote API未授权访问漏洞利用； 有关云防火墙的更多信息，可参考： https://cloud.tencent.com/product/cfw |
|
腾讯T-Sec 主机安全 （Cloud Workload Protection，CWP） |
1）支持查杀TeamTNT挖矿木马程序； 2）支持检测Docker Remote API未授权访问漏洞利用； 腾讯主机安全（云镜）提供云上终端的防毒杀毒、防入侵、漏洞管理、基线管理等。关于T-Sec主机安全的更多信息，可参考：https://cloud.tencent.com/product/cwp |
|
|
腾讯T-Sec 安全运营中心 |
基于客户云端安全数据和腾讯安全大数据的云安全运营平台。已接入腾讯主机安全（云镜）、腾讯御知等产品数据导入，为客户提供漏洞情报、威胁发现、事件处置、基线合规、及泄漏监测、风险可视等能力。 关于腾讯T-Sec安全运营中心的更多信息，可参考：https://s.tencent.com/product/soc/index.html |
|
|
非云企业安全防护 |
腾讯T-Sec 高级威胁检测系统 （腾讯御界） |
1）已支持通过协议检测TeamTNT挖矿木马与服务器的网络通信； 2）支持检测Docker Remote API未授权访问漏洞利用； 关于T-Sec高级威胁检测系统的更多信息，可参考： https://cloud.tencent.com/product/nta |
欢迎长按识别以下二维码，添加腾讯安全小助手，咨询了解更多腾讯安全产品信息。
TeamTNT本次更新的模块文件为spread_rsa.sh，主要作用是数据回传、横向移动，具体分析如下：
1、配置全局变量，包括恶意模块下载地址、数据回传C2和受害主机公网IP地址获取命令等。
2、检查受害主机环境，并安装恶意代码执行所缺少的依赖。
3、若该主机未被感染过，则下载攻击流程需要的所有模块文件。
|
文件名 |
作用 |
|
/dev/shm/sbin |
加载器 |
|
/usr/bin/tshd |
后门木马 |
|
/usr/bin/kube |
加载器 |
|
/usr/bin/bioset |
后门木马 |
|
/usr/bin/pnscan |
网络扫描工具 |
4、若该主机未被感染，则开始执行主要的功能函数FILE_ULOAD、GET_LANSSH、PWN_SSH_LOCAL，并创建/dev/shm/.daemon文件，标志该主机已被成功感染，避免攻击代码重复执行。
FILE_ULOAD函数
执行4个子函数，RSA_ULOAD、AWS_ULOAD、DOCKER_ULOAD和PASSWD_ULOAD，分别用于收集受害主机的RSA登录凭证、AWS CLI跨账户授权信息、docker信息和主机用户名密码信息，并上传到如下地址，其中$ONLINE_IP为受害主机的公网IP地址：
hxxp://kaiserfranz.cc/meoow/uploads/index.php?CRYPTIDW=$ONLINE_IP
GET_LANSSH函数
执行如下命令，获取受害主机路由可达的IP网段地址，并将相关信息保存到/home/daemon/.ssh/.ranges文件中
ip route show | grep -v grep | grep -v blackhole | grep "/" | awk '{print $1}' >> /home/daemon/.ssh/.ranges
使用网络扫描工具pnscan扫描开放22端口的ip地址，并将结果写入到/home/daemon/.ssh/.known_hosts文件中
PWN_SSH_LOCAL函数
首先收集ssh端口、用户列表、主机列表和登录凭证等信息，然后尝试登录其他受信任主机，并在登录成功后下载并执行spread_rsa.sh脚本，进一步扩大传播范围。
IOCs
Domain
kaiserfranz.cc
C&C
hxxp://kaiserfranz.cc/meoow/uploads/index.php
MD5
|
文件名 |
MD5 |
|
/dev/shm/sbin |
a2a11ec332dfd8b1b273d62f736c48a3 |
|
/usr/bin/tshd |
6d65990218c4bb1df179d59f5f92436c |
|
/usr/bin/kube |
364279daff7ac94e44c9c672bd99cb0a |
|
/usr/bin/bioset |
9cbe5cc5bdf090c99852f7d1febcd3a5 |
|
/usr/bin/pnscan |
426675da8d6817b06bb355800a5445e3 |
URL
hxxp://kaiserfranz.cc/meow
hxxp://kaiserfranz.cc/meoow/sh/spread_rsa.sh
hxxp://kaiserfranz.cc/meow/bin/default
hxxp://kaiserfranz.cc/meow/bin/tshd
hxxp://kaiserfranz.cc/meow/bin/kube
hxxp://kaiserfranz.cc/meow/bin/bioset
参考链接：
插播一条招聘广告
腾讯安全团队招聘公有云安全运营工程师，熟悉网络攻防技术，熟悉主机/终端常见安全问题及处置方法，对主机安全、WAF、防火墙等安全产品原理及防御方法有较深入理解的优先，有意请投递简历到[email protected]，腾讯安全团队诚邀你的加盟！
更多岗位，可点击这里查询。
本文始发于微信公众号（腾讯安全威胁情报中心）：TeamTNT挖矿团伙升级优化木马模块，木马持续改进有危害扩大迹象
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论