一、概述

腾讯安全威胁情报中心检测到Sysrv-hello僵尸网络对云上NexusRepository Manager 3存在默认帐号密码的服务器进行攻击。得手后再下载门罗币矿机程序挖矿，同时下载mysql、Tomcat弱口令爆破工具，Weblogic远程代码执行漏洞（CVE-2020-14882）攻击工具进行横向扩散。其攻击目标同时覆盖Linux和Windows操作系统。

Sysrv-hello僵尸网络挖矿前，恶意脚本还会尝试结束占用系统资源较多的进程，以独占系统资源，这一行为可能造成企业正常业务中断。CVE-2020-14882漏洞由Oracle 2020年10月21日发布公告修复，属于较新的漏洞攻击工具，因部分企业漏洞修复进度较慢，使得该团伙的攻击成功率较高。

该僵尸网络于2020年12月首次被国内安全研究人员发现，由于具备木马、后门、蠕虫等多种恶意软件的综合攻击能力，使用的漏洞攻击工具也较新，仅仅用了一个多月时间，该僵尸网络已具有一定规模，对政企机构危害较大。

排查加固

文件：

Linux:

/tmp/network01

/tmp/sysrv

/tmp/flag.txt

Windows:

%USERPROFILE%\appdata\loacal\tmp\network01.exe

%USERPROFILE%\appdata\loacal\tmp\sysrv.exe

进程：

network01

sysrv

定时任务：

排查下拉执行(hxxp://185.239.242.71/ldr.sh)的crontab项

加固

Nexus，mysql，tomcat使用强密码

weblogic升级到最新版本

腾讯安全全系列安全产品具备在多个环节阻止该僵尸网络入侵扩散的能力

针对Sys-hello僵尸网络最新攻击活动的完整响应清单如下：

二、样本分析

腾讯云防火墙检测到Sysrv_hello僵尸网络针对使用NexusRepository Manager 3默认账户密码资产发起攻击，下图为攻击过程中产生的恶意payload。

恶意payload执行后Nexus将添加名为t的task脚本执行任务，该任务触发执行后（“action":"coreui_Task","method":"run"...）进一步下拉恶意脚本执行，恶意脚本地址（hxxp://185.239.242.71/ldr.sh）

ldr.sh恶意脚本首先会尝试卸载云主机安全软件（aliyun，yunjing），停止部分服务(安全软件，挖矿木马)，同时删除部分docker挖矿镜像。

清理高CPU占用进程达到资源独占目的(对CPU占用达到50%的进程进行清理)

尝试下载矿机命令执行，进程名为network01，矿池，钱包地址如下：

Pool.minexmr.com

49dnvYkWkZNPrDj3KF8fR1BHLBfiVArU6Hu61N9gtrZWgbRptntwht5JUrXX1ZeofwPwC6fXNxPZfGjNEChXttwWE3WGURa

xmr.f2pool.com

49dnvYkWkZNPrDj3KF8fR1BHLBfiVArU6Hu61N9gtrZWgbRptntwht5JUrXX1ZeofwPwC6fXNxPZfGjNEChXttwWE3WGURa

下载sysrv蠕虫扩散模块、下载挖矿守护进程功能模块执行

最后将其自身写入计划任务，并删除本地相关对应文件

该木马不仅攻击Linux系统，同时发现针对Windows平台的恶意载荷，攻击Windows系统成功后会植入powershell恶意脚本，脚本会进一步拉取Windows平台的相同模块到tmp目录执行。

Linux系统下sysrv模块通过使用52013端口作为互斥量，端口开启状态判定为已感染环境直接退出，否则打开本地该端口进行占用。

sysrv通过检测进程，判断network01进程（矿机进程）是否正常运行，如果未正常运行，就在tmp目录进一步释放出文件内嵌的elf文件，并命名为network01将其执行。

network01模块为门罗币矿机程序，该团伙通过清理可能的竞品挖矿进程或其他占CPU资料较多的进程实现独占CPU资源挖矿。

sysrv确认挖矿行为正常运行后，会开始进行蠕虫式的攻击传播：进行随机IP的端口扫描与漏洞利用，会尝试对mysql，Tomcat服务进行爆破攻击，尝试对Weblogic服务使用CVE-2020-14882漏洞（该漏洞公告由Oracle官方于2020年10月21日公开）进行远程代码执行攻击，这一横向扩散行为使该团伙控制的肉鸡规模迅速增大。

hello_src_exp爆破，漏洞利用组合攻击

攻击mysql服务使用的弱口令爆破字典

攻击Tomcat服务使用的爆破口令

对Weblogic组件利用CVE-2020-14882 远程代码执行漏洞攻击，该安全漏洞为2020年10月Oracle官方公告修复，属于相对比较新的漏洞攻击武器。

IOCs

MD5:

33c78ab9167e0156ff1a01436ae39ca1

6db4f74c02570917e087c06ce32a99f5

750644690e51db9f695b542b463164b9

d708a5394e9448ab38201264df423c0a

bc2530a3b8dc90aca460a737a28cf54b

236d7925cfafc1f643babdb8e48966bf

URL:

hxxp://185.239.242.71/ldr.sh

hxxp://185.239.242.71/ldr.ps1

hxxp://185.239.242.71/xmr64

hxxp://185.239.242.71/xmr32

hxxp://185.239.242.71/xmr32.exe

hxxp://185.239.242.71/xmr64.exe

hxxp://185.239.242.71/sysrv

hxxp://185.239.242.71/sysrv.exe

IP:

185.239.242.71

矿池&钱包

pool.minexmr.com

xmr.f2pool.com

49dnvYkWkZNPrDj3KF8fR1BHLBfiVArU6Hu61N9gtrZWgbRptntwht5JUrXX1ZeofwPwC6fXNxPZfGjNEChXttwWE3WGURa

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课