DDG最新變種v5028，警惕淪為挖礦“肉雞”

深信服千里目發表於2020-06-22

近期，深信服安全團隊捕獲到DDG挖礦木馬最新變種v5028，較之前的變種v5023，新版本的DDG挖礦木馬更新了C&C地址及挖礦地址，同時棄用了傳統的i.sh駐留方式。


經深信服安全雲腦資料統計，該木馬在短短一個月時間已有大量攔截資料，且每日攻擊次數還呈遞增的趨勢。


0x0 威脅資料


根據雲腦資料顯示，截止2020年6月15號，全網已監測到近大量來自DDG v5028變種的流量攻擊。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


攻擊資料攔截地區的分佈大致如下，其中天津和北京的攔截資料量最大。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


0x1 版本簡介


自2020年開始，DDG已開始啟用v5版本號，從以往的Memberlist開源P2P通訊方式改為了自研的P2P通訊方式，


在v5023中有較大更新，木馬會在 /var/lib/ 或 /usr/local/下生成隨機名目錄，用於存放P2P通訊中獲取到的檔案及資料，以及新增jobs配置檔案來進行一些較高階的清除異己操作。


本次v5028的更新在於棄用了i.sh的駐留方式。


0x2 木馬分析


中毒後的主機現象如下，存在一個挖礦程式playstation及隨機名母體程式cqhzxp。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


主機上無發現惡意定時任務，透過ssh特徵匹配確認該木馬為DDG家族。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


本次DDG家族為最新的5028版本，其惡意元件在/var/lib/的一個隨機名目錄下。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


重定向域名中，較5025版本新增了www.minpop.com，經過威脅關聯確認這是一個名為shellbot的perl惡意軟體。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


藉助P2P殭屍網路，DDG挖礦木馬執行後會隨機從其他失陷主機中拉取slave或jobs配置檔案，slave裡配置的是攻擊元件的資訊，jobs配置的是清除異己家族的資訊。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


slave配置檔案的核心內容如下，使用了2個挖礦程式，MD5分別為cfde21dc48f06da5688e81b1cdeb2b3e和d146612bed765ba32200e0f97d0330c8，新增了2個礦池地址，50.116.37.115和134.209.249.49。同時，slave配置中去掉了i.sh部分的內容，也說明5028變種已棄用i.sh的傳播&駐留方式。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


使用開源工具https://github.com/0xjiayu/DDGBotnetTracker解密出目前失陷的主機列表如下。


DDG最新變種v5028，警惕淪為挖礦“肉雞”


程式碼部分沒有太大變化，新增了killLowCpuMiner函式，用於清除一些智慧挖礦的程式。


DDG最新變種v5028，警惕淪為挖礦“肉雞”

傳播方式還是沿用了以下4個漏洞進行攻擊：

1.SSH密碼暴破

2.Redis未授權訪問漏洞

3.Nexus Repository Manager 3 RCE漏洞(CVE-2019-7238)

4.Supervisord RCE漏洞(CVE-2017-11610)

DDG最新變種v5028，警惕淪為挖礦“肉雞”


0x3 加固建議


1、Linux惡意軟體以挖礦為主，一旦主機被挖礦了，CPU佔用率高，將會影響業務，所以需要實時監控主機CPU狀態。


2、定時任務是惡意軟體慣用的持久化攻擊技巧，應定時檢查系統是否出現可疑定時任務。


3、部分企業還存在ssh弱密碼的現象，應及時更改為複雜密碼，且檢查在/root/.ssh/目錄下是否存在可疑的authorized_key快取公鑰。


4、定時檢查Web程式是否存在漏洞，特別關注Redis未授權訪問等RCE漏洞。


0x4 深信服安全產品解決方案 


1、深信服EDR產品、下一代防火牆及安全感知平臺等安全產品均具備病毒檢測能力，部署相關產品使用者可進行病毒檢測，如圖所示：


DDG最新變種v5028，警惕淪為挖礦“肉雞”


2、深信服為廣大使用者免費提供查殺工具，可下載如下工具，進行檢測查殺。


64位系統下載連結：

http://edr.sangfor.com.cn/tool/SfabAntiBot_X64.7z


32位系統下載連結：

http://edr.sangfor.com.cn/tool/SfabAntiBot_X86.7z


3、深信服安全感知、下一代防火牆、EDR使用者，建議及時升級最新版本，並接入安全雲腦，使用雲查服務以及時檢測防禦新威脅；


4、深信服安全產品整合深信服SAVE安全智慧檢測引擎，擁有對未知病毒的強大泛化檢測能力，能夠提前精準防禦未知病毒；


5、深信服推出安全運營服務，透過以“人機共智”的服務模式幫助使用者快速提高安全能力。針對此類威脅，安全運營服務提供安全裝置策略檢查、安全威脅檢查、相關漏洞檢查等服務，確保第一時間檢測風險以及更新策略，防範此類威脅。


0x5 IOC


C&C地址：

119.28.1.135

103.27.42.84

礦池地址：

50.116.37.115:443

178.128.108.158:443

134.209.249.49:443

103.195.4.139:443

68.183.182.120:443

樣本MD5：

17028FABB703AD98E44691DEDC7C3D1F

cfde21dc48f06da5688e81b1cdeb2b3e

d146612bed765ba32200e0f97d0330c8


0x6 參考連結


https://blog.netlab.360.com/ddg-upgrade-to-new-p2p-hybrid-model/

https://www.freebuf.com/column/232333.html

相關文章