欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

DDG挖矿僵尸网络病毒4004来袭

来源:本站整理 作者:佚名 时间:2019-09-17 TAG: 我要投稿

近日,深信服安全团队接到反馈,某虚拟平台大量机器CPU占用非常高,怀疑中了挖矿病毒。经过安全专家排查,发现还存在ssh爆破行为。进一步分析后,判断其为DDG挖矿病毒。

DDG挖矿病毒(国外称其为Linux.Lady)是一款在Linux系统下运行的恶意挖矿病毒,前期其主要通过ssh爆破,redis未授权访问漏洞等方式进行传播,近年来其更新非常频繁,已经出现多个版本,本次捕获到的是4004版本。

详细分析
本次其相对于以往的版本主要体现在其增加了2个漏洞利用,分别为supervisord的远程命令执行漏洞CVE-2017-11610和nexus仓库管理器的远程代码执行漏洞CVE-2019-7238。

DDG初始入口点为一个下载脚本,主要根据机器的平台架构选择对应版本的ddg二进制文件(i686和x86_64)

 创建定时任务执行持久感染

再次尝试分析之后,发现其i.sh文件里面的一些固定位置的内容已经随机变换了,可以从这方面初步了解到黑产的自动化

下载的是DDG的go语言编译的母体文件,其主要作用有创建守护进程、创建后门、下载挖矿程序挖矿、命令执行这4个功能。
获取用户home目录,在当前目录下生成一个.ddg的隐藏文件夹,在该目录下生成一个bolt数据库文件4004.db,该数据库文件中保存对执行过的命令进行记录,保存集群节点信息。




其中,创建后门主要是将恶意程序内置的ssh公钥写入验证秘钥文件中,实现免密登录:

其ssh公钥为:

命令执行,连接集群中的机器获取配置信息:


然后对获取到的配置信息进行解码获取指令,指令解密如下。其中针对之前的systemdminer,有了针对性的对抗,对其域名做重定向、kill对应进程以及文件做了清除。

本次除了原本的ssh爆破以及redis未授权访问之外,新添加了2个漏洞利用分别为CVE-2019-7238,CVE-2017-11610。可以看到在下发的配置文件中对ssh(22, 1987,2222)、redis(端口6379, 6389, 7379, 26379)和nexus(8081)进行扫描。



nexus的远程代码执行漏洞CVE-2019-7238

supervisord的远程代码执行漏洞CVE-2017-11610

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载