H2Miner 黑产团伙利用 SaltStack 漏洞控制服务器挖矿，已获利 370 万元
感谢腾讯御见威胁情报中心来稿！
原文链接：https://mp.weixin.qq.com/s/eLnQxa_hXxhNhyquOThW7Q
一、概述
腾讯安全威胁情报中心于2020年05月03日检测到H2Miner木马利用SaltStack远程命令执行漏洞（CVE-2020-11651、CVE-2020-11652）入侵企业主机进行挖矿。通过对木马的核心脚本以及可执行文件的对比分析，我们确认了此次攻击行动属于挖矿木马家族H2Miner。
H2Miner是一个linux下的挖矿僵尸 *** ，通过hadoop yarn未授权、docker未授权、confluence RCE、thinkphp 5 RCE、Redis未授权等多种手段进行入侵，下载恶意脚本及恶意程序进行挖矿牟利，横向扫描扩大攻击面并维持C&C通信。
腾讯安全威胁情报中心大数据统计结果显示，H2Miner利用SaltStack漏洞的攻击自5月3日开始，目前呈快速增长趋势。H2Miner挖矿木马运行时会尝试卸载服务器的安全软件，清除服务器安装的其他挖矿木马，以独占服务器资源。目前，H2Miner黑产团伙通过控制服务器进行门罗币挖矿已非法获利超370万元。
二、样本分析
Saltstack是基于python开发的一套C/S自动化运维工具。近日，SaltStack被爆存在认证绕过漏洞（CVE-2020-11651）和目录遍历漏洞（CVE-2020-11652），其中：
CVE-2020-11651：为认证绕过漏洞，攻击者可构造恶意请求，绕过Salt Master的验证逻辑，调用相关未授权函数功能，达到远程命令执行目的。
CVE-2020-11652：为目录遍历漏洞，攻击者可构造恶意请求，读取服务器上任意文件，获取系统敏感信息信息。
漏洞影响版本
SaltStack < 2019.2.4
SaltStack < 3000.2
安全研究人员在得到企业授权后，对中招机器进行排查，在/var/log/salt/minion日志中发现攻击时的恶意文件下载行为：
该下载行为正是利用SaltStack漏洞攻击成功后执行的远程命令，命令通过curl或wget下载和执行脚本sa.sh（http[:]//217.12.210.192/sa.sh），脚本sa.sh具有以下功能：
1、卸载防御软件阿里云骑士、腾讯云镜。
2、通过端口、文件名、进程名、钱包地址匹配匹配找到竞品挖矿木马，删除对应的进程和文件，杀死正在运行的竞争对手的Docker容器并删除其镜像。
3、检查文件/tmp/salt-store是否存在，md5是否为“8ec3385e20d6d9a88bc95831783beaeb”。
4、salt-store不存在或md5不正确则下载该文件至tmp目录下。
下载得到的salt-store采用Golang编写，被编译为Linux平台可执行程序，主要有以下功能：
- 下载文件并执行
- 启动和维持挖矿程序
- 与C&C服务器通信，接收并执行远程命令
- 利用masscan对外扫描
- 针对redis服务进行爆破攻击
salt-store从http[:]//206.189.92.32/tmp/v下载XMRig挖矿木马，保存为/tmp/salt-minions，然后启动连接矿池xmr-eu1.nanopool.org挖矿，配置中使用门罗币钱包为：
46V5WXwS3gXfsgR7fgXeGP4KAXtQTXJfkicBoRSHXwGbhVzj1JXZRJRhbMrvhxvXvgbJuyV3GGWzD6JvVMuQwAXxLZmTWkb
目前该钱包已挖矿获得8236个门罗币，获利折合人民币超过370万元。该黑产团伙的战果显示：入侵控制Linux服务器挖矿已是黑产生财之道，采用Linux服务器的企业万不可掉以轻心。
三、关联家族分析
此次攻击中sa.sh（e600632da9a710bba3c53c1dfdd7bac1）与h2miner使用的
ex.sh（a626c7274f51c55fdff1f398bb10bad5）脚本内容呈现高度相似：
上述标记中sa.sh对比ex.sh唯一缺少的代码是通过crontab定时任务设置持久化。
而sa.sh和ex.sh主要的任务为下载木马salt-store（8ec3385e20d6d9a88bc95831783beaeb）和kinsing（a71ad3167f9402d8c5388910862b16ae），这两个木马都时采样Golang语言编写，并编译为Linux平台可执行程序，两个样本代码结构高度相似、并且完成的功能几乎相同，因此我们认为两者属于同一家族。
四、安全建议
腾讯安全专家建议企业采取以下措施强化服务器安全，检查并清除服务器是否被入侵安装H2Miner挖矿木马。
1.将Salt Master默认监听端口（默认4505 和 4506）设置为禁止对公网开放，或仅对可信对象开放。将SaltStack升级至安全版本以上，升级前建议做好快照备份，设置SaltStack为自动更新，及时获取相应补丁。
2.Redis 非必要情况不要暴露在公网，使用足够强壮的Redis口令。
3.参考以下步骤手动检查并清除H2Miner挖矿木马：
- kill掉进程中包含salt-minions和salt-store文件的进程，文件hash为a28ded80d7ab5c69d6ccde4602eef861、8ec3385e20d6d9a88bc95831783beaeb；
- 删除文件/tmp/salt-minions、/tmp/salt-store；
- 将恶意脚本服务器地址217.12.210.192、206.189.92.32进行封禁；
- 升级SaltStack到2019.2.4或3000.2，防止病毒再次入侵。
IOCs
MD5
e600632da9a710bba3c53c1dfdd7bac1
a28ded80d7ab5c69d6ccde4602eef861
8ec3385e20d6d9a88bc95831783beaeb
a626c7274f51c55fdff1f398bb10bad5
a71ad3167f9402d8c5388910862b16ae
IP
217.12.210.192
206.189.92.32
144.217.117.146
URL
hxxps[:]//bitbucket.org/samk12dd/git/raw/master/salt-store
hxxp[:]//217.12.210.192/salt-store
hxxp[:]//217.12.210.192/sa.sh
hxxp[:]//206.189.92.32/tmp/v
hxxp[:]//206.189.92.32/tmp/salt-store
hxxp[:]//144.217.117.146/ex.sh
hxxp[:]//144.217.117.146/kinsing2
参考链接
通告：针对SaltStack远程命令执行漏洞（CVE-2020-11651、CVE-2020-11652）植入挖矿木马的应急响应
https://mp.weixin.qq.com/s/CtZbXD0CXCemWyAwWhiv2A
https://developer.aliyun.com/article/741844
“H2Miner 黑产团伙利用 SaltStack 漏洞控制服务器挖矿，已获利 370 万元” 的相关文章
Microsoft Defender 导致 Windows 11 Build 22581 遇到视频播放问题
尽管未能赢得 AV-TEST 的最高防病毒（AV-Comparatives）等级评价，但 Microsoft Defender 仍是市面上最合适的产品之一。尴尬的是，在 Windows 11 Build 22581 编译版本中，许多人发现遇到了媒体播放问题。由 Reddit 网友的讨论可知，问题与系...
黑客称入侵了微软：拿到 Bing 和 Cortana 项目源代码
近日，据Reddit上的帖子和Cyber Kendra上的一份报告显示，LAPSUS$ (Lapsus) 组织入侵了微软的DevOps帐户，该组织此前入侵了NVIDIA和三星。 下面的截图由Lapsus发布，但很快被删除，由Cyber Kendra保存了下来。该组织声称可以访问微软的一些DevOps...
Adafruit 披露了前员工 GitHub 储存库中的数据泄露
Hackernews 编译，转载请注明出处： Adafruit 披露了一个数据泄露事件，这个事件是由于一个可公开查看的 GitHub 存储库引起的。 该公司怀疑这可能允许攻击者对2019年或之前对某些用户的信息进行“未经授权的访问”。 Adafruit 总部位于纽约市，自2005年以来一直是开源硬...
微软捣毁 ZLoader 犯罪僵尸网络
微软今天宣布近日捣毁了一个名为 ZLoader 的主要犯罪僵尸网络，这也是使用 XLM 宏作为攻击面的僵尸网络之一。微软的最新行动包括技术和法律活动，以破坏利用 ZLoader 作为恶意软件即服务（malware-as-a-service）的犯罪集团的运作。 在本次捣毁行动中，微软还锁定了一位开发...
微软警告 NOBELIUM 攻击技术愈加泛滥 谨防 HTML 代码夹带恶意软件
早在 5 月，微软就认定有俄罗斯背景的 NOBELIUM 黑客组织要对持续数月的 SolarWinds 网络攻击事件负责，并同企业、政府和执法机构达成了合作，以遏制此类网络攻击的负面影响。早些时候，微软更进一步地剖析了 NOBELIUM 使用的一套更加复杂的恶意软件传送方法。可知其用于造成破坏，并获...
黑客 Gary Bowser 对盗版指控认罪 同意向任天堂支付 450 万美元
名为Gary Bowser的Team-Xecuter黑客组织成员已经承认了与销售硬件和软件有关的指控，这些硬件和软件允许人们在各种游戏机上玩未经授权或盗版的游戏，包括任天堂的几种游戏机。此前，美国任天堂公司在今年早些时候对该黑客发起了诉讼。 被司法部描述为世界上最臭名昭著的电子游戏盗版集团之一的T...
评论列表
发表评论
