一、背景

近期腾讯安全威胁情报中心检测到一例跨平台挖矿木马SysupdataMiner。该挖矿木马利用SSH免密登录的漏洞在内网传播，然后利用扫描工具扫描外网Redis服务器并进行弱口令爆破攻击。

在感染的机器上，SysupdataMiner会检测阿里云骑士和腾讯云镜并进行卸载，会通过多种特征检测其他挖矿木马并进行清除，然后下载门罗币挖矿木马sysupdata并启动。为保证挖矿程序在系统长久驻留，该木马会下载守护模块sysguerd，实时检测挖矿进程是否存活，发现失活则重新启动，若挖矿程序文件不存在，会重新下载运行。

SysupdataMiner具有针对Windows系统和Linux系统进行攻击的两套脚本和木马文件，可进行跨平台攻击，其使用的漏洞攻击模块networkservics会针对全网段IP的Weblogic(7001)、Redis(6379/6380)、Spring(8080)、SqlServer(1433)、Hadoop(8088)、Elasticsearch(9200)等多个服务器组件的漏洞进行扫描和攻击。

SysupdataMiner挖矿木马的攻击流程

二、样本分析

1.核心脚本Updata.sh

SysupdataMiner在感染机器执行shell脚本init.sh，后续攻击过程中会通过定时任务反复下载执行updata.sh。updata.sh目前与init.sh相同，是攻击过程中的主要脚本，负责下载启动挖矿模块、漏洞攻击模块、进程守护模块，以及利用Pnscan和Masscan扫描Redis服务并进行弱口令爆破攻击。

updata.sh检查进程中是否存在载阿里云骑士和腾讯云镜，如存在则下载对应卸载程序进行卸载。

通过匹配预先搜集的矿池地址、端口、进程路径、文件名、钱包地址的方式，检测其他挖矿进程并清除。

安装Crontab定时任务每30分钟执行一次脚本updata.sh

配置/root/.ssh/authorized_keys使得当前Linux机器可以免密登陆SSH

挖矿模块sysupdata

核心脚本updata.sh下载门罗币挖矿木马sysupdata，该木马由开源挖矿程序XMRig编译，并通过添加UPX壳进行保护。

挖矿时使用矿池：

xmr.f2pool.com:13531

randomxmonero.hk.nicehash.com:3380

钱包：

43zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR

3HVQkSGfvyyQ8ACpShBhegoKGLuTCMCiAr

其中第一个钱包已挖矿获得门罗币90个，当前市价折合人民币42000余元。

脚本继续下载启动守护模块sysguerd，该模块负责实时检测挖矿进程是否存活，发现进程不存在则重新下载攻击脚本执行，重启挖矿和攻击进程。

攻击模块networkservics

核心脚本下载启动扫描攻击模块networkservics，针对Weblogic(7001)、Redis(6379/6380)、Spring(8080)、SqlServer(1433)、Hadoop(8088)、Elasticsearch(9200)等多个服务器组件的漏洞进行扫描和攻击。

待扫描的IP列表为http[:]//178.157.91.26/ec8ce6ab/ips_cn.txt，覆盖1.0.1.0~223.255.253.255全网段的IP地址

针对存在漏洞的目标机器，使用对应组件的远程代码执行漏洞进行攻击。

updata.sh本身还会利用本机登录使用SSH其他Linux系统产生的记录/root/.ssh/known_hosts和/root/.ssh/id_rsa.pub重新登录目标系统，并在登录后执行脚本is.sh进行感染。

is.sh接着安装扫描工具Pnscan和Masscan针对全网段IP范围进行6379端口(Redis服务)扫描，并尝试使用以下弱口令进行爆破登录：

redis
root
oracle
password
p@aaw0rd
abc123
abc123!
123456
admin

三、跨平台攻击

对木马服务器178.157.91.26上存放的文件进行分析，可以发现SysupdataMiner会针对Windows系统与Linux系统执行相似流程的攻击，只是将Linux系统的Shell脚本替换为了相应的Powershell脚本，可执行样本文件由ELF文件替换为PE文件，持久化攻击时由安装crontab定时任务变为安装SchTasks.exe计划任务。