入侵横移十八般武艺如何防御？XMSSMiner挖矿蠕虫分析

2021-08-11 835

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 近日，阿里云安全监测到一种利用多种漏洞入侵挖矿的恶意攻击，团伙不仅通过4层协议进行入侵，还集成了最新的Web RCE漏洞，由于其主要文件名为xmss，我们将该团伙命名为XMSSMiner。阿里云安全专家分析发现，该僵尸网络不仅通过SMB、SSH进行蠕虫化传播，还利用Yapi、Solr、Confluence等远程命令执行漏洞进行入侵，最终通过持久化方式进行挖矿，对用户主机资源、资产产生不良危害。

概述

近日，阿里云安全监测到一种利用多种漏洞入侵挖矿的恶意攻击，团伙不仅通过4层协议进行入侵，还集成了最新的Web RCE漏洞，由于其主要文件名为xmss，我们将该团伙命名为XMSSMiner。

阿里云安全专家分析发现，该僵尸网络不仅通过SMB、SSH进行蠕虫化传播，还利用Yapi、Solr、Confluence等远程命令执行漏洞进行入侵，最终通过持久化方式进行挖矿，对用户主机资源、资产产生不良危害。

阿里云安全持续对该BOT进行监控，发现近期传播有所上升，提醒广大用户注意防护。

传播手段

XMSSMiner通过多种漏洞进行入侵和传播，利用xmss、1.ps1、inis等脚本下载挖矿木马并执行，通过cron.d、crontab等进行持久化，通过不同方式收集key、host、username、sshport进行对外传播。

阶段分析

漏洞利用分析

XMSSMiner不仅利用SSH进行对外传播，亦利用多种流行RCE漏洞进行传播以牟取最大利益，通过云端大数据监控，已知的漏洞利用有

各个漏洞详细RCE Payload如下

1）Yapi Mock远程命令执行漏洞

代码1.jpg

2）Apache Solr 远程代码执行漏洞(CVE-2017-12629)

代码2.jpg

3）Confluence远程文件读取(CVE-2019-3396)

代码3.jpg

4）Shiro RememberMe 1.2.4远程代码执行(解密后)

代码4.jpg

5）Apache Solr DataImportHandler远程命令执行(CVE-2019-0193)

代码5.jpg

6)泛微OA ecology任意代码执行

代码6.jpg

7)亿邮电子邮件系统远程命令执行

代码7.jpg

8)Apache Solr Velocity 模版远程命令执行

代码8.jpg

详细分析

XMSSMiner通过上述多种方式入侵主机后会做持久化和对外传播操作，具体分析如下。

通过crontab做持久化

XMSSMiner持久化上通过固定时间23点半执行curl、wget命令下载bash脚本以维持对主机持续的入侵

代码9.jpg

内部横向移动或对外传播

XMSSMiner通过SSH内部横向或对外传播感染系统信任主机，以获取更大的利益，以下是执行脚本函数

代码10-1.jpg 代码10-2.jpg 代码10-3.jpg 代码10-4.jpg

XMSSMiner通过不同方式收集key、host、username、sshport，而后通过循环遍历方式进行横向移动或对外传播，其收集方式如下

入侵命令操作如下

代码11.jpg

安全建议

1）云防火墙利用大数据对互联网上最新出现RCE进行实时监控，从RCE披露到响应时间整体小于3小时，能够有效阻止客户资产被RCE漏洞攻击，其支持3-7层协议不仅满足对Web网站的HTTP协议的防护，同时支持4层大量TCP/UDP协议的防御。当前云防火墙默认支持对XMSSMiner多种远程命令执行漏洞的防御。