攻击描述
简要分析
分析这些程序或脚本发现：
1、“redis-bin.exe”为挖矿程序。由于C2下载url失效，目前未获取该样本。由开源情报分析该程序应为xmrig门罗币挖矿程序。
2、“VGAuthServices.exe”为漏洞扫描利用程序。由go语言编写，使用upx加密。执行后将在受害主机中扫描利用如CVE-2015-1427、CVE-2014-3120等漏洞。以下为部分利用漏洞：
3、“rsyncd.ps1”即为该脚本自身。
4、“rsysdlog.exe”同样由go语言编写，使用upx加密。其主要功能为扫描进程，并使用SchTasks计划任务保证挖矿程序持续运行。
此外还会将受害主机主机名、ip发送至C2服务器。
处置建议
失陷指标
b0c08627430b7762e305880ca2714728
da4a0db31fc346355edef28f8ad23ad8
02c6ab99ec79112bcf04f71454224563
2ec4ae1aaabc5ba4b804706b72f8ce9b
fadd08a8e50e14078387806d70cba3a0
6b1b5830e221865c1b80f08f6bae9a01
45.155.250.64
www.cn2an.top
关于山石网科情报中心
山石云瞻威胁情报中心：
https://ti.hillstonenet.com.cn/
山石云影沙箱：
https://sandbox.hillstonenet.com.cn/
原文始发于微信公众号（山石网科安全技术研究院）：警惕WatchDog挖矿活动
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论