《2018年云上挖矿态势分析报告》发布,非Web类应用安全风险需重点关注

本文涉及的产品
云安全中心 免费版,不限时长
简介: 近日,阿里云安全团队发布了《2018年云上挖矿分析报告》。该报告以阿里云2018年的攻防数据为基础,对恶意挖矿态势进行了分析,并为个人和企业提出了合理的安全防护建议。

近日,阿里云安全团队发布了《2018年云上挖矿分析报告》。该报告以阿里云2018年的攻防数据为基础,对恶意挖矿态势进行了分析,并为个人和企业提出了合理的安全防护建议。

报告指出,尽管加密货币的价格在2018年经历了暴跌,但挖矿仍是网络黑产团伙在入侵服务器之后最直接的变现手段,越来越多的0-Day/N-Day漏洞在公布后的极短时间内就被用于入侵挖矿,黑产团伙利用漏洞发起攻击进行挖矿的趋势仍将持续。

以下是报告部分内容,下载报告完整版:
https://yq.aliyun.com/download/3312

攻击态势分析

【热点0-Day/N-Day漏洞利用成为挖矿团伙的"武器库",0-Day漏洞留给用户进行修复的窗口期变短】

2018年,多个应用广泛的web应用爆出高危漏洞,对互联网安全造成严重威胁。事后安全社区对漏洞信息的分析和漏洞细节的分享,让利用代码能够方便的从互联网上获取。挖矿团伙自然不会放过这些唾手可得的“武器库”。此外一些持续未得到普遍修复的N-Day漏洞往往也会被挖矿团伙利用。本报告梳理了部分热点0-Day/N-Day漏洞被挖矿团伙大量利用的事件。

同时阿里云观察到,0-Day漏洞从披露到大规模利用之间的时间间隔越来越小。因此在高危0-Day漏洞爆出后未能及时修复的用户,容易成为恶意挖矿的受害者。

【非Web网络应用暴露在公网后成为挖矿团伙利用的重灾区】

企业对Web应用可能造成的安全威胁已经有足够的重视,WAF、RASP、漏洞扫描等安全产品也提升了Web应用的安全水位。而非Web网络应用(Redis、Hadoop、SQLServer等)往往并非企业核心应用,企业在安全加固和漏洞修复上投入并不如Web应用,往往导致高危漏洞持续得不到修复,因而挖矿团伙也会针对性利用互联网上这些持续存在的弱点应用。本报告梳理了2018年非Web网络应用漏洞被挖矿团伙利用的时间线。

【挖矿团伙广泛利用暴力破解进行传播,弱密码仍然是互联网面临的主要威胁】

下图为不同应用被入侵导致挖矿所占百分比,可以发现SSH/RDP/SQLServer是挖矿利用的重点应用,而这些应用通常是因为弱密码被暴力破解导致被入侵感染挖矿病毒。由此可以看出弱密码导致的身份认证问题仍然是互联网面临的重要威胁。

_

恶意行为

【挖矿后门普遍通过蠕虫形式传播】

大多数的挖矿团伙在感染受害主机植入挖矿木马后,会控制这些受害主机对本地网络及互联网的其他主机进行扫描和攻击,从而扩大感染量。这些挖矿木马传播速度较快,且很难在互联网上根除,因为一旦少量主机受到恶意程序感染,它会受控开始攻击其他主机,导致其它带有漏洞或存在配置问题的主机也很快沦陷。

少量挖矿团伙会直接控制部分主机进行网络攻击,入侵受害主机后只在主机植入挖矿后门,并不会进一步扩散。最有代表性的就是8220挖矿团伙。这类团伙一般漏洞利用手段比较丰富,漏洞更新速度较快。

【挖矿团伙会在受害主机上通过持久化驻留获取最大收益】

大多数的挖矿团伙,都会尝试在受害主机上持久化驻留以获取最大收益。

通常在Linux系统中,挖矿团伙通过crontab设置周期性被执行的指令。在Windows系统中,挖矿团伙通常使用schtask和WMI来达到持久化的目的。

如下为Bulehero木马执行添加周期任务的schtask命令:

cmd /c schtasks /create /sc minute /mo 1 /tn "Miscfost" /ru system /tr "cmd /c C:\Windows\ime\scvsots.exe"
cmd /c schtasks /create /sc minute /mo 1 /tn "Netframework" /ru system /tr "cmd /c echo Y|cacls C:\Windows\scvsots.exe /p everyone:F"

【挖矿团伙会通过伪装进程、加壳、代码混淆、私搭矿池或代理等手段规避安全分析和溯源】

Bulehero挖矿网络使用的病毒下载器进程名为scvsots.exe,与windows正常程序的名字svchost.exe极其相似;其它僵尸网络使用的恶意程序名,像taskhsot.exe、taskmgr.exe、java这类形似正常程序的名称也是屡见不鲜。

在分析挖矿僵尸网络的过程中我们发现,大多数后门二进制程序都被加壳,最经常被使用的是Windows下的UPX、VMP、sfxrar等,如下图,几乎每个RDPMiner使用的恶意程序都加了上述三种壳之一。

detec

此外,挖矿团伙使用的恶意脚本往往也经过各种混淆。如下图,JBossMiner挖矿僵尸网络在其vbs恶意脚本中进行混淆加密。

_

尽管人工分析时可以通过多种手段去混淆或解密,但加密和混淆对逃避杀毒软件而言,仍是非常有效的手段。

恶意挖矿团伙使用自己的钱包地址连接公开矿池,可能因为矿池收到投诉导致钱包地址被封禁。挖矿团伙倾向于更多的使用矿池代理或私搭矿池的方式进行挖矿。进而安全研究人员也难以通过矿池公布的HashRate和付款历史估算出被入侵主机的数量和规模。

主流团伙概述

1.DDG挖矿团伙

从2017年底首次被曝光至今,DDG挖矿僵尸网络一直保持着极高的活跃度。其主要恶意程序由go语言写成,客观上对安全人员研究分析造成了一定阻碍。而频繁的程序配置改动、技术手段升级,使它堪称2018年危害最大的挖矿僵尸网络。

DDG

DDG(3019)各模块结构功能

2.8220挖矿团伙

在诸多挖矿僵尸网络中,8220团伙的挖矿木马独树一帜,因为它并未采用蠕虫型传播,而是直接对漏洞进行利用。

这种方式理论上传播速度较慢,相较于蠕虫型传播的僵尸网络也更难存活,但8220挖矿团伙仍以这种方式获取了较大的感染量。

_1

挖矿网络结构

3.Mykings(theHidden)挖矿团伙

Mykings(又名theHidden“隐匿者”)挖矿网络在2017年中就被多家友商提及并报道。它从2014年开始出现,时至今日该僵尸网络依然活跃,可以说是拥有非常旺盛的生命力。该僵尸网络极为复杂,集成了Mirai、Masscan等恶意程序的功能,此外在payload、BypassUAC部分都使用极其复杂的加密混淆技术,掩盖攻击意图,逃避安全软件的检测和安全研究人员的分析。该挖矿僵尸网络在11月底更是被发现与“暗云”联手,危害性再次增强。

_2

挖矿网络结构

4.Bulehero挖矿团伙

_3

挖矿网络结构

5.RDPMiner挖矿团伙

该挖矿僵尸网络自2018年10月开始蔓延,之后多次更换挖矿程序名称。

_4

挖矿网络结构

6.JbossMiner挖矿团伙

阿里云安全团队于2018年3月报道过,从蜜罐中捕获到JbossMiner的恶意程序样本,该样本由py2exe打包,解包反编译后是一套由Python编写的完整攻击程序,包含源码及依赖类库等数十个文件。且对于Windows和Linux系统的受害主机,有不同的利用程序。

_5

挖矿网络结构

7.WannaMine

WannaMine是一个蠕虫型僵尸网络。这个挖矿团伙的策略曾被CrowdStrike形容为“靠山吃山靠水吃水”(living off the land),因为恶意程序在被感染的主机上,首先会尝试通过Mimikatz收集的密码登录其他主机,失败之后再利用“永恒之蓝”漏洞攻击其他主机,进行繁殖传播。

_6

挖矿网络结构

8.Kworkerd

这是一个主要攻击Redis数据库未授权访问漏洞的挖矿僵尸网络,因其将挖矿程序的名字伪装成Linux正常进程Kworkerd故得名。

该木马只利用一种漏洞却仍有不少感染量,说明数据库安全配置亟待得到用户的重视。

9.DockerKiller

随着微服务的热度不断上升,越来越多的企业选择容器来部署自己的应用。而Docker作为实现微服务首选容器,在大规模部署的同时其安全性却没有引起足够的重视。2018年8月,Docker配置不当导致的未授权访问漏洞遭到挖矿团伙的批量利用。

_7

挖矿网络结构

安全建议

如今尽管币价低迷,但由于经济形势承受下行的压力,可能为潜在的犯罪活动提供诱因。阿里云预计,2019年挖矿活动数量仍将处于较高的水位;且随着挖矿和漏洞利用相关知识的普及,恶意挖矿的入场玩家可能趋于稳定且伴有少量增加。

基于这种状况,阿里云安全团队为企业和个人提供如下安全建议:

  • 安全系统中最薄弱的一环在于人,最大的安全问题也往往出于人的惰性,因此弱密码、爆破的问题占了挖矿原因的半壁江山。无论是企业还是个人,安全意识教育必不可少;
  • 0-Day漏洞修复的窗口期越来越短,企业需要提升漏洞应急响应的效率,一方面是积极进行应用系统更新,另一方面是关注产品的安全公告并及时升级,同时也可以选择购买安全托管服务提升自己的安全水位;
  • 伴随着云上弹性的计算资源带来的便利,一些非Web类的网络应用暴露的风险也同步上升,安全运维人员应该重点关注非Web类的应用伴随的安全风险,或者选择购买带IPS功能的防火墙产品,第一时间给0-Day漏洞提供防护。

报告主笔:悟泛;其他内容贡献者:桑铎、堇云、穆如、乐枕、燚龘、刘洪亮、南浔

相关文章
|
1月前
|
数据采集 数据可视化 数据挖掘
使用Python编写Web爬虫实现数据采集与分析
在当今信息化时代,数据是企业发展和决策的重要依据。本文将介绍如何使用Python编写Web爬虫来实现对特定网站数据的自动采集,并结合数据分析技术,为读者展示如何利用爬虫技术获取有价值的信息并进行有效的数据处理和分析。
|
6月前
|
存储 Java 关系型数据库
JSP考试质量分析系统myeclipse开发mysql数据库bs框架java编程web网页结构
JSP 考试质量分析系统是一套完善的web设计系统,对理解JSP java编程开发语言有帮助,系统具有完整的源代码和数据库,开发环境为TOMCAT7.0,Myeclipse8.5开发,数据库为Mysql5.0,使用java语言开发,系统主要采用B/S模式开发。
184 1
|
2天前
|
Python 数据可视化 索引
PYTHON用GARCH、离散随机波动率模型DSV模拟估计股票收益时间序列与蒙特卡洛可视化
PYTHON用GARCH、离散随机波动率模型DSV模拟估计股票收益时间序列与蒙特卡洛可视化
14 0
PYTHON用GARCH、离散随机波动率模型DSV模拟估计股票收益时间序列与蒙特卡洛可视化
|
2天前
|
机器学习/深度学习 算法 数据可视化
用SPSS Modeler的Web复杂网络对所有腧穴进行关联规则分析3
用SPSS Modeler的Web复杂网络对所有腧穴进行关联规则分析3
15 0
用SPSS Modeler的Web复杂网络对所有腧穴进行关联规则分析3
|
1月前
|
SQL 机器学习/深度学习 缓存
Go语言Web应用实战与案例分析
【2月更文挑战第21天】本文将通过实战案例的方式,深入探讨Go语言在Web应用开发中的应用。我们将分析一个实际项目的开发过程,展示Go语言在构建高性能、可扩展Web应用方面的优势,并分享在开发过程中遇到的问题和解决方案,为读者提供宝贵的实战经验。
|
9月前
Web server failed to start. Port XXX was already in use.原因分析-解决方案
Web server failed to start. Port XXX was already in use.原因分析-解决方案
165 1
Web server failed to start. Port XXX was already in use.原因分析-解决方案
|
2月前
|
前端开发 JavaScript Java
利用Java Web技术实现实时通信系统的案例分析
利用Java Web技术实现实时通信系统的案例分析
|
3月前
|
前端开发 JavaScript Java
系统化web前端需要技能所占比(通过图表分析来看您是不是一个合格的前端)
系统化web前端需要技能所占比(通过图表分析来看您是不是一个合格的前端)
36 0
|
3月前
|
缓存 负载均衡 应用服务中间件
【分布式技术专题】「分析Web服务器架构」Tomcat服务器的运行架构和LVS负载均衡的运行机制(修订版)
在本章内容中,我们将深入探讨 Tomcat 服务器的运行架构、LVS 负载均衡的运行机制以及 Cache 缓存机制,并提供相应的解决方案和指导。通过理解这些关键概念和机制,您将能够优化您的系统架构,提高性能和可扩展性。
205 4
【分布式技术专题】「分析Web服务器架构」Tomcat服务器的运行架构和LVS负载均衡的运行机制(修订版)
|
3月前
|
Web App开发 前端开发 JavaScript
使用 Chrome 开发者工具分析 UI5 Web 应用的性能
使用 Chrome 开发者工具分析 UI5 Web 应用的性能
33 0

热门文章

最新文章