yayaya Miner挖矿木马分析

已于 2024-01-19 21:26:37 修改
阅读量441 收藏
点赞数
文章标签： 服务器 网络 安全 web安全
于 2023-08-04 18:30:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ZL_1618/article/details/132058975
版权

1. 活跃yayaya挖矿木马概览

近期，安天CERT捕获了一批活跃的挖矿木马样本，该挖矿木马主要利用SSH弱口令暴力破解对Linux平台进行攻击。由于其初始攻击脚本中多次出现“yayaya”字符串，且在Linux内核模块中会隐藏包含该字符串的所有信息，因此安天CERT将该挖矿木马命名为“yayaya
Miner”。

表 1‑1 活跃挖矿概览

活跃挖矿概览

|

说明

—|—

挖矿木马名称

|

yayaya Miner

挖矿木马主要传播方式

|

利用SSH弱口令暴力破解

出现时间

|

2022年11月底

活跃时间

|

2023年4月活跃

挖矿币种

|

门罗币

针对系统

|

Linux

主要技术特点

|

加密初始脚本；删除竞品挖矿；删除系统日志；使用开源工具隐藏内核模块等

2. 样本功能与技术梳理

yayaya
Miner挖矿木马使用shc工具加密初始攻击脚本，利用该工具可以把Shell脚本转换成二进制可执行文件（ELF），使用RC4加密算法对其进行加密，初始攻击脚本文件会删除系统日志、创建yayaya等目录、删除特定IP的网络连接、下载门罗币挖矿程序以及使用开源工具Diamorphine进行隐藏操作等。将其挖矿进程注入内存后进行隐藏，增加反病毒软件的检测难度。

2.1 yayayaxxxxxxxx（初始攻击脚本，X表示随机字符）

样本初始攻击脚本整体流程以及核心技术如下：

  1. 初始文件实际为脚本文件，经过shc工具加密初始攻击脚本，可以把Shell脚本文件转换成二进制可执行文件（ELF）。该脚本首先会删除其他挖矿木马配置文件以及系统日志。

  2. 使用防火墙命令查找并删除其他挖矿木马挖矿所创建的网络连接，删除后下载自身zip (挖矿程序)。

  3. 使用开源工具 Diamorphine 对Linux 内核模块和进程进行隐藏， 具体为隐藏指定目录前缀“yayaya”，只要带有“yayaya”前缀的目录在系统中均不可见。将挖矿进程标记为隐藏，即在进程列表中不显示。指定内核模块名称为“nonono”。

  4. 将当前进程的用户和组ID都设置为0，以此实现获取root权限的功能。

  5. 编译内核模块ko并加载，使用kill命令向进程号为10000000的进程发送信号-63，触发模块的钩子函数。使用kill命令向指定进程发送信号-31，使其暂停执行。执行成功后删除/tmp/a目录中的所有文件及其子目录。

2.2 p.zip(挖矿程序)

p.zip压缩文件中包含一个名为“dsm_sa_ip”的文件，经判定，该文件为开源门罗币挖矿程序XMRig，采用加密通信的方式进行交互挖矿，矿池地址如下。

表 2‑1 矿池地址

矿池地址

|

example.amax.fun:443

|

example.amax.fun:80

|

example.amax.fun:3333

—|—|—|—

example.gengzi.site:443

|

example.gengzi.site:80

|

example.gengzi.site:3333

example.inspur.gay:443

|

example.inspur.gay:80

|

example.inspur.gay:3333

example.sugon.store:443

|

example.sugon.store:80

|

example.sugon.store:3333

dasan.one:443

|

dasan.one:80

|

dasan.one:3333

172.104.170.240:443

|

172.104.170.240:80

|

172.104.170.240:3333

3. 挖矿木马落地排查与清除方案

3.1 yayaya Miner落地识别

  1.    文件（x表示随机字符）

文件名及路径：

/usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx

/etc/sysconfig/yayaya/dsm_sa_ip

  1.    网络侧排查

146.190.193.147:80（文件下载）

157.245.16.79:443（矿池连接）

  1.    服务执行路径

ExecStart=/usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx

  1.    进程名称

八位随机字符串

  1.    内核模块名称

nonono

3.2 清除方案

  1.    将隐藏内核模块可见

kill -63 0

  1.    查看隐藏的内核模块nonono

cat /proc/modules |head -n 10

  1.    删除内核模块

rmmod nonono

  1.    结束挖矿进程

使用top命令查看最大占用系统资源的进程pid，使用命令kill -9
pid结束对于进程，该挖矿程序进程路径一般以类似的字符串形式存在“/112d9a3b”。

  1.    删除服务

rm -rf /usr/lib/systemd/system/yayayaxxxxxxxx.service

  1.    删除恶意文件

rm -rf /usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx

rm -rf /etc/sysconfig/yayaya

4. 防护建议

针对挖矿攻击安天建议企业采取如下防护措施：

  1. 安装终端防护：安装反病毒软件，针对不同平台安装相应的产品；
  2. 加强SSH口令强度：避免使用弱口令，建议使用16位或更长的口令，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；
  3. 及时更新补丁：建议开启自动更新功能安装系统补丁，服务器应及时更新系统补丁；
  4. 及时更新第三方应用补丁：建议及时更新第三方应用如WebLogic等应用程序补丁；
  5. 开启日志：开启关键日志收集功能（安全日志、系统日志、错误日志、访问日志、传输日志和Cookie日志），为安全事件的追踪溯源提供基础；
  6. 主机加固：对系统进行渗透测试及安全加固；
  7. 部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

图 4‑1 安天智甲可实现对该挖矿木马的有效查杀

5. 事件对应的ATT&CK映射图谱

针对攻击者投放挖矿木马的完整过程，安天梳理本次攻击事件对应的ATT&CK映射图谱如下图所示。

图 5‑1 事件对应的ATT&CK映射图谱

攻击者使用的技术点如下表所示：

表 5‑1 事件对应的ATT&CK技术行为描述表

ATT &CK 阶段 / 类别

|

具体行为

|

注释

—|—|—

侦察

|

主动扫描

|

扫描22端口

初始访问

|

利用外部远程服务

|

利用SSH远程服务访问

执行

|

利用命令和脚本解释器

|

使用Shell脚本

持久化

|

创建或修改系统进程

|

创建服务

提权

|

滥用提升控制权限机制

|

修改uid和gid提升权限

防御规避

|

使用Rootkit

|

使用LKM Rootkit

隐藏行为

|

隐藏进程

删除信标

|

删除恶意文件自身

混淆文件或信息

|

使用shc工具混淆文件

命令与控制

|

使用加密信道

|

使用SSL加密信道

影响

|

资源劫持

|

占用CPU资源

6. IoCs

IoCs

172.104.170.240

example.amax.fun

example.gengzi.site

example.inspur.gay

example.sugon.store

dasan.one

hxxp://example.established.site/p.zip

hxxp://w.amax.fun/p.zip

hxxp://172.104.170.240/p.zip

参考资料

  • 典型挖矿家族系列分析二 | TeamTNT挖矿组织

https://www.antiy.cn/research/notice&report/research_report/20221207.html

  • Shc Linux Malware Installing CoinMiner

https://asec.ahnlab.com/en/45182/

ple.inspur.gay

example.sugon.store

dasan.one

hxxp://example.established.site/p.zip

hxxp://w.amax.fun/p.zip

hxxp://172.104.170.240/p.zip

参考资料

  • 典型挖矿家族系列分析二 | TeamTNT挖矿组织

https://www.antiy.cn/research/notice&report/research_report/20221207.html

  • Shc Linux Malware Installing CoinMiner

https://asec.ahnlab.com/en/45182/

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

程序员--青青
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
一次挖矿木马分析
Zero_Moment的博客
11-22 1616
公司测试服务器远程卡顿，VSS无法打开，360杀毒软件失灵，MSSQL无法连接，密码被修改过，重启后无任何显著可用的效果，于是乎查系统进程、系统日志、计划任务等，发现计划任务中出现了一些可疑的任务，任务操作是指向一些bat或者exe，MSSQL代理作业中也出现了十多个可疑的作业，通过分析后发现是中了挖矿木马。通过分析发现该恶意程序做了底下这些操作： ::删除用户，这可能是感染时候建的用户，也可能是...
挖矿木马总结
luckc7的博客
06-09 1417
挖矿木马总结与案列分享
勒索病毒钱包地址与邮箱地址集合
pandazhengzheng的博客
03-28 1305
勒索病毒钱包地址与邮箱地址集合
木马工作原理和通用解法
云海唯C的专栏
03-17 4328
由于很多新手对安全问题了解不多，所以并不知道自己的计算机中了“木马”该怎么样清除。因此最关键的还是要知道“木马”的工作原理，这样就会很容易发现“木马”      “木马”程序会想尽一切办法隐藏自己，主要途径有：在任务栏中隐藏自己，这是最基本的只要把Form的Visible属性设为False、ShowInTaskBar设为False，程序运行时就不会出现在任务栏中了。在任务管理器中隐形：将程序设
记录一次杀毒过程
wind的博客
07-14 190
yayaya病毒查杀
GridViewListViewForScrollView.zip
06-24
GridViewListViewForScrollView.zip 内有Scrollview嵌套GridView，还有Scrollview嵌套ListVIew。可以学习参考一下。
Diamorphine rootkit的特性与原理分析
guoguangwu的专栏
09-12 1725
仅作LKM rootkit研究之用，滥用后果自负。 Diamorphine 是一个Linux内核模块， 支持内核版本 2.6.x/3.x/4.x。可通过 uname -r 查看内核版本。 特性： 当加载的时候， 模块是不可见的（lsmod 看不到）； 通过发送31信号，可以达到隐藏和不隐藏进程的目的； 通过发送63信号，可以隐藏和不隐藏该内核模块； 通过发送64信号（给任何进程），可以...
Rootkit检测技术发展现状
sangfor_edu的博客
04-14 1637
Rootkit 这一概念最早出现于上个世纪九十年代初期，CERT Coordination Center(CERT/CC) 于1994年在 CA-1994-01 这篇安全咨询报告中使用了 Rootkit 这个词汇。在这之后 Rootkit 技术发展迅速，这种快速发展的态势在 2000 年达到了顶峰。2000年后，Rootkit 技术的发展也进入了低潮期，但是对于 Rootkit 技术的研究却并未停滞。在 APT 攻击日益流行的趋势下，Rootkit 攻击和检测技术也同样会迎来新的发展高潮。 在往期的Roo
驱动人生挖矿木马分析与处置
beichenyyds的博客
01-11 1409
样本分析
病毒分析之“驱动人生”挖矿木马分析及其清除方案
Hades的博客
11-01 1万+
“驱动人生”挖矿木马分析及其清除方案 0x00 概述 自2018年12月份”驱动人生“挖矿木马爆发以来，此木马一直处于活跃状态，更新版本更是达到了20+次。此木马感染量之大，传播速度之快，可称得上是国内挖矿排行”第一“的木马。 从最开始的有文件落地的单独可执行EXE，到后来的python版EXE，再到随机膨胀文件版本，再到后来的PowerShell无文件攻击版本。从单一攻击手法，到后来的漏洞...
网络安全之认识挖矿木马
学而思(xiejava的blog)
02-21 8376
目前，我国政府宣布要实现碳达峰碳中和的目标，严重耗能的虚拟加密币相关生产、交易被认定为非法，我国境内所有（生产加密货币的）矿场必须关闭。因挖矿需要大量财力投入，从一开始，就有人想到利用木马控制他人的计算机组建僵尸网络集群挖矿的办法，这就是所谓“挖矿木马”。
挖矿木马简单分析
AlwaysBetter
07-27 1499
#!/bin/sh #更改当前进程最大打开文件数为65535 ulimit -n 65535 #删除linux下系统关键日志信息 rm -rf /var/log/syslog #给chattr最高权限 chattr (chattr可以修改文件隐藏属性,如不可删除) chmod 777 /usr/bin/chattr chmod 777 /bin/chattr # -iua i:只许修改,不允许建立和删除 u删除文件会保存,以后可以恢复 a只允许建立和修改,不允许删除 # -iua 和 + 相反 去除文件
挖矿木马 sustes 追踪溯源分析
h952520296的博客
09-05 7518
l  首先执行$ top命令，检查系统运行状态，此台Linux服务器的CPU利用率为732%   l  再执行$ ps aux |grep [pid]命令，定位到可疑的挖矿木马文件，位于/var/tmp/目录下   l  继续执行$ hadoopversion命令，检查Hadoop版本，当前Linux服务器上安装的Hadoop版本号为2.6.0（此版本支持认证服务，但若未开启，攻击...
记一次服务器被挖矿木马攻击的经历
热门推荐
点滴汇聚，智在积累。——Danny
01-07 2万+
背景 利用空余时间买了台服务器做了个小网站玩，今天访问了一下，加载巨慢，一看服务器运行情况，CPU飙到100%，按CPU消耗排序，排在第一的是一个名为“imWBR1”的进程，查了一下是一个挖矿木马，于是赶紧采取办法~ 清除恶意程序 首先比较直观的是imWBR1这个进程，查找它的位置在/tmp/目录下，如下图： （图2） 先删除/tmp/imWBR1，再kill掉imW
Nginx之静态文件服务器的搭建
wyx的博客
06-13 874
静态文件服务器是指提供HTML文件访问或客户端 可直接从中下载文件的Web服务器。对于图片、 JavaScript或CSS文件等渲染页面外观的、不会动态改 变内容的文件，大多数网站会单独提供以静态文件服 务器的方式对其进行访问，实现动静分离的架构。在以上配置中，每个server指令域等同于一个虚 拟服务器，每个location指令域等同于一个虚拟目录。
百度网盘限速解决办法
最新发布
生活在别处
06-13 8156
比如可以获取下载直链后，使用IDM（Internet Download Manager）对该直链进行多线程下载，但是并不会有实际速率提升效果，因为百度网盘在服务器端进行了限速，多线程的速率总和被限制在了100KB/s左右。（现在虽然是所谓玩游戏获得会员下载体验，实际上点击后会在百度网盘内打开一个web游戏，并不需要游玩游戏，直接等待会员下载体验时间结束即可关闭web游戏窗口）所以，客户端这些改动伎俩通通没有实际效果，即使在客户端显示无限速、显示会员体验，都只是自欺欺人而已。
多进程并发服务器
dc爱傲雪和技术
06-12 277
3.子进程：完成通信，接受一个客户端连接，就创建一个子进程用于通信。要实现TCP通信服务器处理并发的任务，使用多线程或者多进程来解决。2.父进程负责等待并接受客户端的连接。
python+requests
09-04
Python的requests库是用来发送HTTP请求的一个非常方便的工具。通过使用requests库，我们可以发送GET和POST请求，并且可以带上参数、头部信息等等。 使用requests库发送GET请求时，可以通过params参数传递参数字典。例如，可以使用以下代码发送一个GET请求并带上参数字典： ``` import requests url = 'https://www.baidu.com/s' params = {'wd': 'python'} response = requests.get(url, params=params) ``` 使用requests库发送POST请求时，可以通过data参数传递表单数据或者通过files参数传递文件。例如，以下代码展示了如何发送一个multipart形式的POST请求并传递一个文件： ``` import requests url = 'http://httpbin.org/post' files = {'file': open('report.txt', 'rb')} response = requests.post(url, files=files) ``` 以上是关于python requests库的简介和使用示例。<span class="em">1</span><span class="em">2</span><span class="em">3</span> #### 引用[.reference_title] - *1* *3* [Python Requests库简明使用教程](https://blog.csdn.net/lihao21/article/details/51857385)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] - *2* [全网最全！Python爬虫requests库教程(附案例)](https://blog.csdn.net/maiya_yayaya/article/details/131608297)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v93^chatsearchT3_2"}}] [.reference_item style="max-width: 50%"] [ .reference_list ]

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值