一、背景

在征得客户同意后对客户机器进行远程取证，并结合御界的关键日志进行分析，我们发现这是一起针对SSH服务器弱口令爆破攻击事件，由于发现及时，工程师及时协助客户进行隔离及杀毒，并未造成损失。

腾讯安全御见威胁情报中心展开事件调查，结果发现，这是由大型挖矿僵尸网络WannaMine发起的攻击事件：攻击者利用SSH弱口令爆破成功后会植入shell后门以及brootkit后门程序，并通过SSH在内网横向传播，受害机器接收远程指令安装（包括但不限于）挖矿木马、DDoS攻击模块。

SSH代表安全外壳(Secure Shell)，它现在是通过互联网访问网络设备和服务器的主要协议之一。SSH主要用在所有流行的操作系统上，比如Unix、Solaris、Red-Hat Linux、CentOS和Ubuntu等。SSH默认情况使用端口号22，我们通过zoomeye查找开放22端口的设备，发现全球有超过1亿台设备开放了该端口，这意味着超过1亿台设备有被爆破攻击的可能。

(参考链接：77fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2*7L8$3!0E0k6i4W2W2i4K6u0W2L8%4u0Y4i4K6u0r3M7$3g2S2M7X3y4Z5f1X3g2K6N6h3I4@1i4K6y4r3M7g2)9K6c8s2m8G2M7Y4c8Q4x3U0f1K6b7e0t1J5)

根据腾讯安全御见威胁情报中心的监测数据，WannaMine自2019年6月开始在国内呈现新的快速增长趋势，目前已影响近14万台设备。

病毒感染地区分布前三名分别为：广东（20.3%）、江苏（7.7%）、浙江（7%）。

WannaMine病毒受害者分布

受WannaMine病毒影响的主要行业为工业企业（34.11%），其次为互联网企业（10.85%）和教育行业（10.08%）。

WannaMine挖矿木马影响的主要行业

二、详细分析

2、检测中招机器上的“安全狗”、“安骑士”、“云锁”、“悬镜卫士”等12种服务器防护软件，针对每一款软件进行退出及删除；

3、将守护脚本代码添加至Linux启动项、定时任务，以达到持久化；最后清除挖矿竞争对手，开启挖矿，并尝试利用Linux内核提权漏洞CVE-2016-5195获取系统Root权限；

4、植入Linux平台DDoS木马“BillGates”，该木马伪装成Linux系统工具“ps”，“lsof”和”netstat”等进行隐藏，具有远程shell、作为客户端或服务器运行的功能。“BillGates”接收远程指令，对目标进行多种类型的DDoS攻击。

WannaMine攻击Linux系统

Shell

指定木马远程地址和目录、以及文件hash:
temp_remote_host: 远程地址
sodd_info_arr: DDoS木马
tiktoor_info_arr: brootkit后门
pxe_info_arr: CVE-2016-5195内核提权

指定木马执行路径、进程名及相关参数：
下载文件保存目录：DownloadPath="/usr/lib/..."
Shell进程名：ShellProce
DDoS木马进程名：soddProce
Shell进程权限：shell_privilege=1
系统类型：OsType=1
校验方法：verify_method="md5sum"
Shell参数：ShellArg=$1
当前版本：Ver=1.0

对抗杀软

通过ls -l /etc/init.d/$servicename检测以下防护服务：
Safedog：安全狗
aegis：安骑士
yunsuo：云锁
clamd：ClamAV
avast：Avast
avgd：AVG
cmdavd：COMODO Antivirus
cmdmgd：COMODO Antivirus
drweb-configd：Dr.Web
drweb-spider-kmod：Dr.Web
esets：ESET NOD32 Antivirus
xmirrord：悬镜服务器卫士

然后针对每一款防护软件进行清理，包括停止服务、杀死进程、删除文件、卸载软件等操作。

function BasicInit(){}执行基础的初始化。

使用ping命令检查remote_host中的第一个地址是否能连接，如果不能则使用第二个；

通过查看$UID、$EUID的值来确定当前的权限，高权限则设置下载目录为"/home/$USER/..."，低权限设置为"/usr/lib/..."；

检查当前是否具有md5校验功能；检查当前系统属于CentOS/Ubantu/Debian中的哪一种，默认为CentOS。

内核提权

(名称在$ShellProceName名称变量中指定)，然后将脚本尝试使用nohup实用程序重新运行，或在未安装nohup时仅在后台运行。

function GetRootAccess(){}利用漏洞CVE-2016-5195获取系统Root权限。

参考链接：1f4K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6V1K9i4u0@1P5h3y4G2N6#2)9J5c8X3c8A6M7Y4c8&6j5$3!0%4i4K6u0W2k6$3W2@1K9s2g2T1i4K6u0W2K9h3!0Q4x3V1k6%4K9h3E0A6i4K6u0r3g2Y4g2D9L8X3g2J5j5h3u0A6L8r3W2@1P5f1c8W2N6r3q4A6L8s2x3`.

CVE-2016-5195（脏牛漏洞）是因为Linux内核的内存子系统在处理写入时复制（copy-on-write, COW）时产生了竞争条件

（race condition），攻击者利用此漏洞对只读内存映射进行写访问，从而可获得Linux设备的root权限。

清除挖矿竞品

持久化攻击

守护脚本1：

守护脚本2：

将guarderText2写入etc/cron.hourly/gcc4lef.sh，并安装为crontab定时任务运行

brootkit后门

function rootkit(){}安装brootkit后门(github: 61aK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6U0L8r3!0#2k6s2y4W2j5#2)9J5c8X3u0J5L8$3!0@1K9$3W2@1i4K6t1&6i4@1g2r3i4@1u0o6i4K6S2o6i4@1f1^5i4@1q4r3i4@1p5#2i4@1f1#2i4K6V1H3i4K6S2q4i4@1f1&6i4K6V1%4i4@1p5^5i4@1f1#2i4K6R3#2i4@1t1%4i4@1f1$3i4K6W2o6i4K6R3&6i4@1f1#2i4K6R3#2i4@1t1%4i4@1f1$3i4K6W2o6i4K6R3&6i4@1f1%4i4K6W2n7i4K6V1%4i4@1f1#2i4K6S2r3i4K6V1$3M7X3!0G2N6q4!0q4y4#2)9&6y4q4!0m8z5q4!0q4y4W2)9^5z5q4!0n7y4#2!0q4y4g2!0m8c8W2)9^5y4W2!0q4y4#2!0m8x3q4)9^5x3g2!0q4x3#2)9^5x3q4)9^5x3g2!0q4z5g2)9&6b7g2)9&6x3q4!0q4z5q4)9&6y4#2)9^5c8W2!0q4y4W2)9&6y4W2)9^5y4#2!0q4y4q4!0n7b7W2!0n7y4W2!0q4y4g2)9&6x3W2)9^5b7#2!0q4y4#2)9&6b7W2!0m8c8g2!0q4y4g2!0n7c8q4)9&6y4g2!0q4x3#2)9^5x3q4)9^5x3g2!0q4z5g2)9&6b7g2)9&6x3q4!0q4z5q4)9&6y4#2)9^5c8W2!0q4z5q4!0n7c8W2)9&6b7W2!0q4y4#2!0m8z5q4)9^5b7W2!0q4x3#2)9^5x3q4)9^5x3g2!0q4z5g2)9&6b7g2)9&6x3q4!0q4z5q4)9&6y4#2)9^5c8W2!0q4y4#2!0n7c8q4)9&6x3b7`.`.

络连接、反连后门、多线程端口扫描、HTTP下载、多线程SSH爆破等功能。

横向移动

们，以便将自身传播到更多的系统。

DDoS木马

function Guard(){}中下载DDoS病毒”BillGates”。

依次使用4中下载方法尝试下载("wget" "curl" "python" "tcp")。

下载完成后后使用md5sum计算文件md5并进行校验，验证md5值是否为

6a971a24a418ce99e9a0cd65ba14078d/4e117357b8a5bf51aaba6e939cace26b。

BillGates（作者疑似比尔盖兹的粉丝）

系统工具'ps'，'lsof'和'netstat'等进行隐藏自身、远程shell、作为客户端或服务器运行等特点。

木马早期大规模扫描和利用漏洞感染Elasticsearch服务器（ElasticSearch是一个基于Lucene的搜索服务器，是最受欢迎的企业搜索引擎）从而

组成强大的僵尸网络。

木马首先建立一个包含文件名和路径的全局变量“监视”文件。监视文件代表初步安装的BillGates处于运行状态下。接下来通过

CSysTool::CheckGatesType来确定当前处于哪种运行状态下，判断返回的全局变量g_iGatesType标识0至3共四种状态：

0代表当前进程的映像符合监控文件名和路径

1代表当前进程的映像不符合监控文件名和路径，并且不属于其他任何类型

2代表当前进程的映像符合/usr/bin/

3代表当前进程的映像符合下列系统工具之一

/bin/netstat
/bin/lsof
/bin/ps
/bin/ss
/usr/bin/netstat
/usr/bin/lsof
/usr/bin/ps
/usr/bin/ss
/usr/sbin/netstat
/usr/sbin/lsof
/usr/sbin/ps
/usr/sbin/ss

匹配到每个标识后都以不同的目的运行，这样使得BillGates作为单个实体可以运作四种不同的模式，执行多个独特的功能，从而其成为一个复

杂的的多功能木马。

模式0

式）产生的进程正在运行。

模式1

MainProcess是BillGates在Host或Backdoor模式下运行时的核心功能。MainProcess首先初始化五个全局对象：

Host或backdoor模式下的BillGates支持7种不同的管理控制命令：

其中DDoS攻击类型如下：

模式2

MainProcess，在这之后执行代码与Host模式的行为相同。

模式3

三、总结

管IP与IP解析到的域名可以发现，跨时期、跨版本的攻击代码又存在使用相同的托管域名(标红域名)的情况，因此推测该病毒团伙存在在向其他

团伙提供攻击武器的可能。

从攻击对象与手法上来看，WannaMine不断拓宽其攻击覆盖面，从最初的利用“永恒之蓝”漏洞、Powershell攻击Windows系统，到后来利用各

类Web漏洞(Weblogic、PHPMyAdmin、Drupal)攻击Windows上搭建的服务器，到最后通过MsSQL爆破攻击SQL服务器，以及SSH爆破攻击

Linux服务器。

在木马类型上，开始以植入挖矿和远控类型木马为主，后来逐渐加入DDoS木马(包括Windows平台和Linux平台)，其目标在于组建庞大的挖矿僵

尸网络以及DDoS僵尸网络，使该病毒团伙具有不断更新、内网横向移动、持久化获利的能力。

四、安全建议

删除启动项

/etc/rc.d/init.d/diskmanagerd
/etc/rcS.d/S90diskmanagerd

删除定时任务
*/3 * * * * root /etc/cron.hourly/gcc4lef.sh

删除文件
/tmp/.../brootkit.sh
/tmp/.../install.sh
/tmp/.../just4root
/tmp/.../pxe

关闭进程
/usr/lib/diskmanagerd
/home/$USER/diskmanagerd
/usr/lib/kacpi_notify
/home/$USER/kacpi_notify


5、修复漏洞(Dirty COW:CVE-2016-5195)
各操作系统供应商下载Linux kernel 4.8.3、Linux kernel 4.7.9和Linux kernel 4.4.26 LTS，为用户提供稳定版渠道更新。

软件开发人员可以通过
effK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Q4x3X3g2C8k6i4u0F1k6h3I4Q4x3X3g2G2M7X3N6Q4x3V1k6U0k6$3W2@1i4K6u0r3L8r3W2F1N6i4S2Q4x3V1k6C8k6i4u0F1k6h3I4Q4x3V1k6Y4K9i4c8Q4x3V1k6@1L8%4u0$3j5h3I4V1M7#2)9J5c8X3I4A6L8Y4g2^5i4K6u0W2k6$3W2@1i4K6u0r3j5$3!0E0L8h3W2@1i4K6u0r3i4K6y4r3K9h3c8Q4x3@1b7I4z5h3u0W2x3r3g2S2k6X3k6S2x3$3q4U0y4$3b7^5k6h3t1$3y4K6R3@1j5h3b7&6j5X3c8T1j5K6N6V1y4U0N6W2k6o6S2W2y4U0p5&6

重新编译Linux修复此漏洞。


6、ssh非交互方式登录到远程服务器时，设置主机公钥确认StrictHostKeyChecking的值为ask或yes，避免历史SSH登录记录被病毒利用，形成

内网扩散。

（注：StrictHostKeyChecking=no 最不安全的级别,连接server的key在本地不存在，就自动添加到文件中（默认是known_hosts）。

StrictHostKeyChecking=ask 默认的级别,如果连接和key不匹配，给出提示，并拒绝登录。

StrictHostKeyChecking=yes最安全的级别，如果连接与key不匹配，就拒绝连接，不会提示详细信息。）


7、使用腾讯御界高级威胁检测系统检测未知黑客的各种可疑攻击行为。御界高级威胁检测系统，是基于腾讯反病毒实验室的安全能力、依托腾

讯在云和端的海量数据，研发出的独特威胁情报和恶意检测模型系统。

IOCs

MD5
1db902385b4480a76e4527605eb9f825（Shell）
6a971a24a418ce99e9a0cd65ba14078d（BillGates）
4e117357b8a5bf51aaba6e939cace26b（BillGates）
c04dceb4c769b2c8823cbf39f3055e6d（Brootkit）
ad593f6a17598bdd12fd3bd0f3b2a925（Brootkit）
20788d837f33f5e735bdc99d68fc71b1（Dirtycow）
d9bbb758e3831839558d80f381f9d4b1（Dirtycow）
795acc900cb55882629e7ce3f65130c4（Dirtycow）
1195ea4886acf3a857913c448af78d11（Dirtycow）

参考资料：
7a7K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2X3M7X3g2W2j5Y4g2X3i4K6u0W2j5$3!0E0i4K6u0r3j5i4u0@1K9h3y4D9k6i4y4Q4x3V1k6%4k6h3u0Q4x3V1j5I4y4K6f1$3x3U0k6Q4x3X3g2Z5N6r3#2D9
c0dK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6E0M7q4)9J5k6i4N6W2K9i4S2A6L8W2)9J5k6i4q4I4i4K6u0W2j5$3!0E0i4K6u0r3M7#2)9J5c8W2f1K6M7@1!0p5h3V1y4E0b7#2m8u0k6V1k6I4K9W2q4Y4d9s2m8S2x3p5p5`.
d0cK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6*7K9s2g2S2L8X3I4S2L8W2)9J5k6i4A6Z5K9h3S2#2i4K6u0W2j5$3!0E0i4K6u0r3M7q4)9J5c8U0j5^5y4U0p5J5z5o6V1@1
931K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2F1L8%4k6W2N6s2c8S2i4K6u0W2j5$3!0E0i4K6u0r3N6%4m8Q4x3X3c8U0L8$3&6@1k6h3&6@1i4K6u0r3N6i4m8D9L8$3q4V1M7#2)9J5c8U0t1H3x3e0g2Q4x3V1j5H3y4W2)9J5c8V1&6f1f1V1N6Q4y4h3k6q4L8r3q4K6N6r3W2U0b7X3!0@1L8X3g2@1f1X3g2H3L8%4u0@1i4K6g2X3x3o6j5I4x3o6t1H3x3e0g2Q4x3X3g2H3k6r3j5`.
d59K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2S2K9$3q4E0j5h3W2Q4x3X3g2U0L8$3#2Q4x3V1k6#2M7#2)9J5c8X3g2F1i4K6u0r3L8i4g2D9N6r3W2E0k6h3c8A6j5g2)9J5c8X3c8G2j5%4g2E0k6h3&6@1M7#2)9J5c8Y4y4@1j5i4c8W2i4K6u0V1L8$3k6Q4x3X3c8@1K9r3g2Q4x3X3c8A6L8Y4c8W2M7X3&6W2N6q4)9J5c8X3u0A6L8r3I4Q4x3X3c8Y4j5i4c8W2M7#2)9J5k6r3u0G2N6r3&6W2N6q4)9J5k6s2c8Z5M7X3g2S2N6q4)9J5k6r3q4V1N6X3W2K6L8%4u0&6i4K6u0W2M7r3c8X3