黑产团伙利用Apache Struts 2漏洞及SQL爆破控制服务器挖矿

0

一、概述

腾讯安全御见威胁情报中心监测到团伙利用Apache Struts 2远程命令执行漏洞(CVE-2017-5638)攻击windows服务器,从团伙使用的文件列表来看,主要通过爆破或漏洞利用进行攻击,且针对windows服务器,已控制服务器270台左右,被下发挖矿木马的服务器有44台,该团伙挖取门罗币已赚得3.5万元。

二、详细分析

查看团伙HFS服务器文件列表,可以看到多个扫描爆破工具、漏洞利用工具、密码抓取工具、远程控制工具及端口转发工具。

1579055008123894-1

爆破扫描模块:

黑客使用1433扫描工具,配合密码表对sqlserver服务器进行爆破:

1579055024188734-1

3389爆破工具NLBrute 1.2

1579055032214057-1

S扫描器

1579055042942823-1

Apache Struts2远程命令执行漏洞(CVE-2017-5638)利用

1579055048129705-1

1579055057102833-1

对服务器入侵成功后,则下发挖矿挖矿模块2020.exe

1579055067720363-1

矿池:xmr.f2pool.com:13531

钱包:448aZSQhyDBCZokwmVd5HG5Gp7UrAeLVuVmZbKcs4rTZTx1UXGECxbePXha3qncffYYhJjG5FRGxM1scV9dbN62VCGiPdtQ

1579055074133918-1

目前已经挖到90个XMR,市值约35886人民币

1579055108143259-1

端口转发工具ok.exe

黑客服务器上的端口转发工具已经被ramnit感染,入口点被修改在最后一个.text节

1579055115937453-1

Ramnit C2: 82.112.184.197:447,45.55.36.236:447,8.7.198.46:80

去掉ramnit感染代码后,实际上是一个端口转发工具

1579055120828123-1

所以被入侵的windows服务器也同样会被感染Ramnit蠕虫病毒。Ramnit蠕虫病毒是影响 Windows 系统的计算机蠕虫。Ramnit感染可移动媒体,如USB驱动器,也隐藏在主引导记录中。 主要感染.exe、.dll、.htm 和 .html 扩展名的文件。2015年高峰时期,Ramnit曾经感染过超过300万台电脑。

三、同源分析

根据钱包地址进行关联,可以关联到F5研究团队在去年3月公布的“CryptoSink”行动中批量的钱包一样,当时已经挖掘到70个门罗币,可见这次挖矿攻击活动仍然跟“CryptoSink”关系较大。

1579055129171695-1

四、安全建议

1、 建议修改远程桌面默认端口,或限制允许访问的IP;

2、 升级Apache Struts 2至最新版,受影响版本Struts 2.3.5 – Struts 2.3.31, Struts 2.5 – Struts 2.5.10;

3、 修改sqlserver密码,不要使用弱密码;

IOCs

矿池:

xmr.f2pool.com:13531

钱包:
448aZSQhyDBCZokwmVd5HG5Gp7UrAeLVuVmZbKcs4rTZTx1UXGECxbePXha3qncffYYhJjG5FRGxM1scV9dbN62VCGiPdtQ

URL

hxxp://183.63.127.227:808/

MD5

fabd73f8bf2bc803703778457c068936

81c965ac62471ab62e85ca441d0031e6

头像

Focus On The Network Information Security.

作者主页 邮箱 微博 腾讯微博 QQ Twitter Facebook Google+

发表评论

您的邮箱不会公开,当您的评论有新的回复时,会通过您填写的邮箱向您发送评论内容。 必填字段 *

返回顶部