1. 活跃yayaya挖矿木马概览
近期，安天CERT捕获了一批活跃的挖矿木马样本，该挖矿木马主要利用SSH弱口令暴力破解对Linux平台进行攻击。由于其初始攻击脚本中多次出现“yayaya”字符串，且在Linux内核模块中会隐藏包含该字符串的所有信息，因此安天CERT将该挖矿木马命名为“yayaya
Miner”。
表 1‑1 活跃挖矿概览
活跃挖矿概览
|
说明
—|—
挖矿木马名称
|
yayaya Miner
挖矿木马主要传播方式
|
利用SSH弱口令暴力破解
出现时间
|
2022年11月底
活跃时间
|
2023年4月活跃
挖矿币种
|
门罗币
针对系统
|
Linux
主要技术特点
|
加密初始脚本；删除竞品挖矿；删除系统日志；使用开源工具隐藏内核模块等
2. 样本功能与技术梳理
yayaya
Miner挖矿木马使用shc工具加密初始攻击脚本，利用该工具可以把Shell脚本转换成二进制可执行文件（ELF），使用RC4加密算法对其进行加密，初始攻击脚本文件会删除系统日志、创建yayaya等目录、删除特定IP的网络连接、下载门罗币挖矿程序以及使用开源工具Diamorphine进行隐藏操作等。将其挖矿进程注入内存后进行隐藏，增加反病毒软件的检测难度。
2.1 yayayaxxxxxxxx（初始攻击脚本，X表示随机字符）
样本初始攻击脚本整体流程以及核心技术如下：
-
初始文件实际为脚本文件，经过shc工具加密初始攻击脚本，可以把Shell脚本文件转换成二进制可执行文件（ELF）。该脚本首先会删除其他挖矿木马配置文件以及系统日志。
-
使用防火墙命令查找并删除其他挖矿木马挖矿所创建的网络连接，删除后下载自身zip (挖矿程序)。
-
使用开源工具 Diamorphine 对Linux 内核模块和进程进行隐藏， 具体为隐藏指定目录前缀“yayaya”，只要带有“yayaya”前缀的目录在系统中均不可见。将挖矿进程标记为隐藏，即在进程列表中不显示。指定内核模块名称为“nonono”。
-
将当前进程的用户和组ID都设置为0，以此实现获取root权限的功能。
-
编译内核模块ko并加载，使用kill命令向进程号为10000000的进程发送信号-63，触发模块的钩子函数。使用kill命令向指定进程发送信号-31，使其暂停执行。执行成功后删除/tmp/a目录中的所有文件及其子目录。
2.2 p.zip(挖矿程序)
p.zip压缩文件中包含一个名为“dsm_sa_ip”的文件，经判定，该文件为开源门罗币挖矿程序XMRig，采用加密通信的方式进行交互挖矿，矿池地址如下。
表 2‑1 矿池地址
矿池地址
|
example.amax.fun:443
|
example.amax.fun:80
|
example.amax.fun:3333
—|—|—|—
example.gengzi.site:443
|
example.gengzi.site:80
|
example.gengzi.site:3333
example.inspur.gay:443
|
example.inspur.gay:80
|
example.inspur.gay:3333
example.sugon.store:443
|
example.sugon.store:80
|
example.sugon.store:3333
dasan.one:443
|
dasan.one:80
|
dasan.one:3333
172.104.170.240:443
|
172.104.170.240:80
|
172.104.170.240:3333
3. 挖矿木马落地排查与清除方案
3.1 yayaya Miner落地识别
-
文件（x表示随机字符）
文件名及路径：
/usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx
/etc/sysconfig/yayaya/dsm_sa_ip
-
网络侧排查
146.190.193.147:80（文件下载）
157.245.16.79:443（矿池连接）
-
服务执行路径
ExecStart=/usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx
-
进程名称
八位随机字符串
-
内核模块名称
nonono
3.2 清除方案
-
将隐藏内核模块可见
kill -63 0
-
查看隐藏的内核模块nonono
cat /proc/modules |head -n 10
-
删除内核模块
rmmod nonono
-
结束挖矿进程
使用top命令查看最大占用系统资源的进程pid，使用命令kill -9
pid结束对于进程，该挖矿程序进程路径一般以类似的字符串形式存在“/112d9a3b”。
-
删除服务
rm -rf /usr/lib/systemd/system/yayayaxxxxxxxx.service
-
删除恶意文件
rm -rf /usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx
rm -rf /etc/sysconfig/yayaya
4. 防护建议
针对挖矿攻击安天建议企业采取如下防护措施：
- 安装终端防护：安装反病毒软件，针对不同平台安装相应的产品；
- 加强SSH口令强度：避免使用弱口令，建议使用16位或更长的口令，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；
- 及时更新补丁：建议开启自动更新功能安装系统补丁，服务器应及时更新系统补丁；
- 及时更新第三方应用补丁：建议及时更新第三方应用如WebLogic等应用程序补丁；
- 开启日志：开启关键日志收集功能（安全日志、系统日志、错误日志、访问日志、传输日志和Cookie日志），为安全事件的追踪溯源提供基础；
- 主机加固：对系统进行渗透测试及安全加固；
- 部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；
图 4‑1 安天智甲可实现对该挖矿木马的有效查杀
5. 事件对应的ATT&CK映射图谱
针对攻击者投放挖矿木马的完整过程，安天梳理本次攻击事件对应的ATT&CK映射图谱如下图所示。
图 5‑1 事件对应的ATT&CK映射图谱
攻击者使用的技术点如下表所示：
表 5‑1 事件对应的ATT&CK技术行为描述表
ATT &CK 阶段 / 类别
|
具体行为
|
注释
—|—|—
侦察
|
主动扫描
|
扫描22端口
初始访问
|
利用外部远程服务
|
利用SSH远程服务访问
执行
|
利用命令和脚本解释器
|
使用Shell脚本
持久化
|
创建或修改系统进程
|
创建服务
提权
|
滥用提升控制权限机制
|
修改uid和gid提升权限
防御规避
|
使用Rootkit
|
使用LKM Rootkit
隐藏行为
|
隐藏进程
删除信标
|
删除恶意文件自身
混淆文件或信息
|
使用shc工具混淆文件
命令与控制
|
使用加密信道
|
使用SSL加密信道
影响
|
资源劫持
|
占用CPU资源
6. IoCs
IoCs
172.104.170.240
example.amax.fun
example.gengzi.site
example.inspur.gay
example.sugon.store
dasan.one
hxxp://example.established.site/p.zip
hxxp://w.amax.fun/p.zip
hxxp://172.104.170.240/p.zip
参考资料
- 典型挖矿家族系列分析二 | TeamTNT挖矿组织
https://www.antiy.cn/research/notice&report/research_report/20221207.html
- Shc Linux Malware Installing CoinMiner
https://asec.ahnlab.com/en/45182/
ple.inspur.gay
example.sugon.store
dasan.one
hxxp://example.established.site/p.zip
hxxp://w.amax.fun/p.zip
hxxp://172.104.170.240/p.zip
参考资料
- 典型挖矿家族系列分析二 | TeamTNT挖矿组织
https://www.antiy.cn/research/notice&report/research_report/20221207.html
- Shc Linux Malware Installing CoinMiner
https://asec.ahnlab.com/en/45182/
接下来我将给各位同学划分一张学习计划表！
学习计划
那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：
阶段一：初级网络安全工程师
接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。
综合薪资区间6k~15k
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）
2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等
3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）
4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现
5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固
6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）
那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？
阶段二：中级or高级网络安全工程师（看自己能力）
综合薪资区间15k~30k
7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。
零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；
Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完
用Python编写漏洞的exp,然后写一个简单的网络爬虫
PHP基本语法学习并书写一个简单的博客系统
熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)
了解Bootstrap的布局或者CSS。
阶段三：顶级网络安全工程师
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
学习资料分享
当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。
