意昂体育-科技赋能场景,让娱乐更有趣!

连忙拨打95015

某政企用户SystemdMiner挖矿木马应急事务处置惩罚

时间：2020-07-09 作者：

分享到：

6月17日，，，，，，安服应急响应团队接到某政企用户的应急响应请求，，，，，，客户效劳器保存被莳植挖矿木马病毒程序，，，，，，态势感知泛起病毒告警，，，，，，要求对效劳器后门举行排查，，，，，，对攻击泉源举行追溯。。。。。。。。

应急响应职员抵达现场后举行排查，，，，，，发明有38台效劳器受到SystemdMiner挖矿木马最新变种病毒熏染，，，，，，且保存内网横向撒播，，，，，，阻止6.24晚23点累计发明被熏染主机多达69台，，，，，，严重影响营业系统的正常运行。。。。。。。。形式较量严肃，，，，，，经由短暂的内部商讨，，，，，，安服认真人连忙组织团队，，，，，，组成应急小组，，，，，，对该政府单位举行大面积排查。。。。。。。。

6月17日-6月24日，，，，，，应急小组通过近一周的现场排查，，，，，，乐成溯源并复现了攻击者的攻击路径，，，，，，并对客户网络保存的清静误差给出了清静建议。。。。。。。。

下面详细分享团队客户现场排查历程和溯源发明攻击者攻击手法，，，，，，可供各人参考、学习。。。。。。。。

（上图中左半部分为剖析职员剖析历程，，，，，，右半部分为溯源后剖析的攻击者的攻击手法）

剖析排查历程：

6月17日，，，，，，上岸多台机械举行排查发明，，，，，，系统中保存多个病毒文件无法直接删除，，，，，，并且会添加准时使命和守护历程，，，，，，包管病毒一直处于运行状态，，，，，，确认该病毒为SystemdMiner挖矿木马最新变种。。。。。。。。

6月18日，，，，，，排查发明大部分受熏染的机械为Hadoop机械。。。。。。。。低版本的Hadoop保存未授权误差会导致远程下令执行误差。。。。。。。。

6月19日，，，，，，对病毒样本举行剖析发明病毒撒播方法举行剖析，，，，，，经剖析撒播方法有以下几种方法：

　a) 使用consul rce /Hadoop rce /Jenkins rce/PostgreSQL rce、主机系统弱口令误差入侵主机。。。。。。。。

　b) 使用自动化运维工具(salt/ansible/chef-knife)横向撒播。。。。。。。。

　c) 使用失陷主机外地生涯的 SSH 密码、密钥撒播自身。。。。。。。。

6月20日，，，，，，上岸多台受熏染机械审查日志发明大宗的机械保存爆破其他机械的痕迹、也发明大宗的机械被爆破乐成，，，，，，有登录乐成日志。。。。。。。。在溯源中也发明一些机械保存弱口令的情形，，，，，，以及差别的机械使用相同密码的情形。。。。。。。。

6月21日-6月23日重点剖析SSH的登录日志，，，，，，找到最早最先SSH爆破的机械并发明该机械上面装置了frp，，，，，，并在另外四台效劳器中发明也被装置了frp，，，，，，攻击者使用Frp工具用来举行流量转发，，，，，，将内网的端口、流量转发到互联网上面。。。。。。。。

6月24日再次通过hadoop的未授权会见举行测试时，，，，，，已经乐成复现误差，，，，，，并在剖析相关日志中发明，，，，，，Hadoop的治理端口在6月23日修改成了28088。。。。。。。。


溯源攻击手法：

1)    攻击者使用客户现场已保存误差的堡垒机和官网效劳器，，，，，，作为跳板机，，，，，，对IDC机房天玑效劳器举行FRP反向署理工具反弹主机SHELL，，，，，，并获得主机控制权限。。。。。。。。

2)    攻击者使用已拿到的效劳器权限，，，，，，上传SystemdMiner挖矿木马程序，，，，，，并设置妄想使命，，，，，，准时毗连矿池域名，，，，，，挖矿程序自己具有自动扫描与自撒播功效，，，，，，同时开展内网的横向熏染。。。。。。。。

3)    攻击者使用consul rce /Hadoop rce /Jenkins rce/PostgreSQL rce、主机系统弱口令误差入侵IDC机房其它主机操作系统。。。。。。。。

4)    攻击者使用自动化运维工具(salt/ansible/chef-knife)横向撒播。。。。。。。。

5)    攻击者使用失陷主机外地生涯的 SSH 密钥撒播。。。。。。。。

在排查历程中，，，，，，应急小组职员通过扫除可疑妄想使命，，，，，，竣事守护历程，，，，，，删除木马建设的密钥认证文件和挖矿木马剧本程序，，，，，，修复误差等一系列操尴尬刁难效劳器、主机系统举行了周全消杀，，，，，，并且使用机房现有清静防护装备，，，，，，针对本次捕获到的挖矿木马矿池恶意域名清静战略举行双向会见控制，，，，，，榨取内网会见外网矿池域名，，，，，，榨取外网矿池域名会见内网效劳器IP地点，，，，，，为客户机房做了整理和保�；； ；；；ち街植椒ィ�，，并为客户提出以下清静建议：

1)    落实一样平常装备清静巡检事情。。。。。。。。

2)    增强清静运营监控力度，，，，，，针对告警事务剖析研判与处置惩罚。。。。。。。。

3)    优化主机、网络清静装备清静战略。。。。。。。。

4)    如非必需榨取内网效劳器出外网。。。。。。。。

5)    效劳器主机操作系统启用密码战略，，，，，，规避设置弱口令与提防口令暴力破解。。。。。。。。

6)    将清静监测系统已检测到的矿池相关不法域名，，，，，，通过清静防护设置将其加入黑名单列表，，，，，，并将清静战略设置为阻断会见。。。。。。。。

意昂体育-科技赋能场景,让娱乐更有趣! 95015网络清静效劳热线

95015网络清静效劳热线

扫一扫关注

意昂体育-科技赋能场景,让娱乐更有趣! 在线客服 意昂体育-科技赋能场景,让娱乐更有趣! 95015

您对意昂体育-科技赋能场景,让娱乐更有趣!的任何疑问可用以下方法告诉我们

将您对意昂体育-科技赋能场景,让娱乐更有趣!的任何疑问

用以下方法告诉我们

【网站地图】【sitemap】