MINE:挖礦木馬 4SHMiner 利用漏洞針對云服務器攻擊，已控制約 1.5 萬臺服務器挖礦_NER

鏈聞消息，騰訊主機安全捕獲到挖礦木馬4SHMiner利用ApacheShiro反序列化漏洞CVE-2016-4437針對云服務器的攻擊行動。4SHMiner挖礦團伙入侵成功后會執行命令下載4.sh，然后下載XMRig挖礦木馬并通過Linuxservice、systemctl服務，系統配置文件$HOME/.profile，crontab定時任務等實現持久化運行。通過其使用的門羅幣錢包算力(約333KH/s)進行推算，4SHMiner挖礦木馬團伙已控制約1.5萬臺服務器進行挖礦，根據算力突變數據可知其在2020.11.16至17日一天之內就新增感染近1萬臺機器。安全專家建議企業及時檢查服務器是否部署了低于1.2.5版本的ApacheShiro，并將其升級到1.2.5及以上版本。

騰訊御見：9月挖礦木馬依舊活躍:騰訊安全大數據顯示，2020年9月，挖礦木馬在最活躍的惡意軟件家族top10中占絕對優勢。[2020/10/17]

騰訊御見：“8220”挖礦木馬入侵服務器挖礦，可發起DDoS攻擊:騰訊安全威脅情報中心檢測到“8220”挖礦木馬變種攻擊。“8220”挖礦團伙擅長利用WebLogic、JBoss反序列化漏洞，Redis、Hadoop未授權訪問漏洞等Web漏洞攻擊服務器挖礦。此外，“8220”挖礦木馬團伙的攻擊目標包括Windows和Linux服務器，在其使用的FTP服務器上，可以發現針對不同操作系統的攻擊模塊。該團伙釋放挖礦木馬時，會檢查服務器是否有其他挖礦木馬運行，將所有競爭挖礦木馬進程結束，以獨占服務器資源。根據代碼的相似性、C2關聯性、挖礦時使用的相同門羅幣錢包以及配置文件解密方法、相似的FTP服務器等因素，騰訊安全專家認為，2020年初出現的StartMiner與“8220”挖礦木馬屬于同一團伙。該團伙當前版本惡意程序與C2服務器的通信已不再使用“8220”端口，根據近期捕獲到的樣本對其攻擊偏好使用的文件名進行總結，發現其具有使用多種腳本包括VBS、PHP、Python、Powershell、Shell進行組合攻擊的特點。[2020/5/9]

騰訊御見：警惕Linux挖礦木馬SystemMiner:騰訊御見威脅情報中心今日發文稱，近日騰訊安全團隊在某企業成功處置一起挖礦木馬事件，該企業一臺Linux服務器出現系統卡慢，CPU占用高等現象。通過對故障服務器進行安全檢查，發現該服務器遭遇SSH弱密碼爆破入侵。入侵者植入定時任務實現持久化，定時任務下載執行病母體INT，INT內置了多個bash命令，會進一步下載執行Linux挖礦木馬SystemMiner。此外入侵者還會利用運維工具ansible、knife等執行命令批量攻擊感染內網其他機器，會嘗試下載腳本卸載騰訊云云鏡、阿里云安騎士等安防產品以實現自保護，入侵者還會修改hosts文件屏蔽其他挖礦網址以獨占挖礦資源。[2020/3/4]

Tags：MININENERMINEAIDOGEMINI幣KINE幣Ethash Minergoldminer幣圈

Luna