赞
踩
挖矿事件处置-思维导图:
我们将从下述几个方面对挖矿事件进行应急响应
1:挖矿事件的“现象”
Windows:
挖矿程序主要是利用GPU等资源进行挖矿操作,最直接的现象就是CPU拉满,消耗电力等。下述可以清楚看到,运行挖矿程序之后,查看CPU状态是拉满的,即100%。
挖矿程序通常会有相应的配置文件,如下config.json所示,可以看到钱包地址,挖矿域名等。
查看网络连接:
依据挖矿域名以及远程地址信息查询威胁情报,通常都是恶意的,情报平台会显示矿池等信息:
Linux: top命令
运行挖矿程序之前:
运行挖矿样本:
CPU直接 396.9%
2:如何排查挖矿程序?从攻击者的视角?如何上传的挖矿程序?
案例来自(xiaodisec)
上机top命令查看cpu占有率,可看出目前服务器CPU占用率高达200%。
依据挖矿程序,全盘搜索,发现下述两个路径均存在挖矿程序。
路径1:查看文件,确认时间节点:最早上传的时间:2022年3月19日 21:10
路径2:查看文件,确认时间节点:2022年6月26日 18:01
进一步查看文件miner.sh,确认是挖矿程序,具体如下:
查看配置文件config.json。
继续查看威胁情报:确认为挖矿域名。
核心分析:
经过上述分析,基本确认是挖矿,确认挖矿之后,需要进一步探究挖矿程序是如何被上传?按照惯用套路,攻击者一般会拿下服务器权限,然后将其挖矿脚本上传至服务器。
那么如何拿下服务器的权限?又会涉及到作为攻击者会利用哪些方式?
通常情况下会通过未授权访问漏洞,弱口令(口令爆破)等方式,具体是什么方式,还需要看被入侵的服务器具体开放了哪些端口或者服务?这些端口,服务有无可利用的点?
查看自己服务器的端口开放情况:如下图所示:MYSQL是没有弱口令的,相比较而言,80web端口的攻击难度较低。
(值得注意的是一般挖矿类事件一般都是自动化程序批量去操作的,一般情况下不可能一个机器一个机器去入侵。)
(1) 直接河马一把梭,扫描全盘,看看是否有恶意程序和后门?经过扫描,发现了猫腻所在?
下面为河马导出的结果,需要根据上面挖矿程序上传的时间节点,进一步确认哪些木马是和本次攻击者相关的。
依据上述的路径查看可疑文件:
查看隐藏文件 .ini.php分析为冰蝎马。
(2)分析web日志,具体分析这个挖矿程序是什么时间。怎么样传上去的?查看访问日志 那个IP访问过.ini.php
ip:112.8.x.xx 112.x.x.x
info.php以及ini.php是一个攻击者。
通过上述分析可以知道,攻击IP是哪些,攻击手段就是通过攻击web网站,上传冰蝎马。
‘3:如何删除挖矿程序?即:后门清除?如何清除权限维持的木马/挖矿程序?
首先尝试kill相关进程,发现无果
过段时间又起来了分析通常挖矿病毒是带有权限维持的。
再次查看发现,挖矿病毒再一次运行。
对于linux系统而言,权限维持最常用的手段就是两个,第一启动项添加,第二就是定时任务。依据上述的思路,进一步进行排查。
find / -name xmrig 根目录下查找相关文件
发现两个路径:
/var/tmp/.mint-xmr/xmrig
/home/test/c3pool/xmrig
将上述文件全部删除,重启服务器即可。
一般情况下脚本如下:
update.sh
脚本自带远程下载挖矿病毒,定时写入定时任务,权限维持等。
pkill -f 全部都是挖矿的名称。
4:靶场实际案例分析:
#Linux-Web安全漏洞导致挖矿事件
某公司运维人员小李近期发现,通过搜索引擎访问该公司网站会自动跳转到恶意网站(博彩网站),但是直接输入域名访问该公司网站,则不会出现跳转问题,而且服务器CPU的使用率异常高,运维人员认为该公司服务器可能被黑客入侵了,现小李向XX安全公司求助,解决网站跳转问题。
排查:挖矿程序-植入定时任务
排查:Web程序-JAVA_Struts2漏洞
#Windows-系统口令爆破导致挖矿事件
某天客户反馈:服务器疑似被入侵,风扇噪声很大,实验室因耗电量太大经常跳闸,服务器疑似被挖矿。
排查:挖矿程序-植入计划任务
排查:登录爆破-服务器口令安全
#Linux-个人真实服务器被植入挖矿分析
挖矿程序定位定性,时间分析,排查安全漏洞,攻击IP找到等
附录:
威胁情报平台汇总:
- #威胁情报相关平台:
-
- Virustotal
-
- 深信服威胁情报中⼼
-
- 微步在线
-
- venuseye
-
- 安恒威胁情报中⼼
-
- 360威胁情报中⼼
-
- 绿盟威胁情报中⼼
-
- AlienVault
-
- RedQueen安全智能服务平台
-
- IBM X-Force Exchange
-
- ThreatMiner
Copyright © 2003-2013 www.wpsshop.cn 版权所有,并保留所有权利。