DDG最新变种v5028,警惕沦为挖矿“肉鸡”

2020-06-23 5,959

近期,深信服安全团队捕获到DDG挖矿木马最新变种5028,较之前的变种5023,新版本的DDG挖矿木马更新了C&C地址及挖矿地址,同时已弃用传统的i.sh驻留方式。经深信服云脑数据反馈,该木马在短短一个月时间已有大量拦截数据,且每日攻击次数还呈递增的趋势。

0x0 威胁数据

根据云脑数据显示,截止2020年6月20号,全网已监测到近大量来自DDG v5028变种的流量攻击。

图片1.png


攻击数据拦截地区的分布大致如下,其中天津和北京的拦截数据量最大。

image.png

0x1 版本简介

自2020年开始,DDG已开始启用v5版本号,从以往的Memberlist开源P2P通信方式改为了自研的P2P通信方式。

在v5023中有较大更新,木马会在 /var/lib/ 或 /usr/local/下生成随机名目录,用于存放P2P通信中获取到的文件及数据,以及新增jobs配置文件来进行一些较高级的清除异己操作。

本次v5028的更新在于弃用了i.sh的驻留方式。 

0x2 木马分析

中毒后的主机现象如下,存在一个挖矿进程playstation及随机名母体进程cqhzxp。

图片3.png


主机上无发现恶意定时任务,通过ssh特征匹配确认该木马为DDG家族。

图片4.png

 

本次DDG家族为最新的5028版本,其恶意组件在/var/lib/的一个随机名目录下。

图片5.png

 

重定向域名中,较5025版本新增了www.minpop.com,经过威胁关联确认这是一个名为shellbot的perl恶意软件。

图片6.png

 

借助P2P僵尸网络,DDG挖矿木马运行后会随机从其他失陷主机中拉取slave或jobs配置文件,slave里配置的是攻击组件的信息,jobs配置的是清除异己家族的信息。

图片7.png

 

slave配置文件的核心内容如下,使用了2个挖矿程序,MD5分别为cfde21dc48f06da5688e81b1cdeb2b3e和d146612bed765ba32200e0f97d0330c8,新增了2个矿池地址,50.116.37.115和134.209.249.49。同时,slave配置中去掉了i.sh部分的内容,也说明5028变种已弃用i.sh的传播&驻留方式。

图片8.jpg

 

使用开源工具https://github.com/0xjiayu/DDGBotnetTracker解密出目前失陷的主机列表如下。

图片9.png

 

代码部分没有太大变化,新增了killLowCpuMiner函数,用于清除一些智能挖矿的进程。

图片10.png

 

传播方式还是沿用了以下4个漏洞进行攻击:

1.SSH密码暴破

2.Redis未授权访问漏洞

3.Nexus Repository Manager 3 RCE漏洞(CVE-2019-7238)

4.Supervisord RCE漏洞(CVE-2017-11610)

0x3 加固建议

1、Linux恶意软件以挖矿为主,一旦主机被挖矿了,CPU占用率高,将会影响业务,所以需要实时监控主机CPU状态。

2、定时任务是恶意软件惯用的持久化攻击技巧,应定时检查系统是否出现可疑定时任务。

3、部分企业还存在ssh弱密码的现象,应及时更改为复杂密码,且检查在/root/.ssh/目录下是否存在可疑的authorized_key缓存公钥。

4、定时检查Web程序是否存在漏洞,特别关注Redis未授权访问等RCE漏洞。

0x4 IOC

C&C地址:

119.28.1.135

103.27.42.84


矿池地址:

50.116.37.115:443

178.128.108.158:443

134.209.249.49:443

103.195.4.139:443

68.183.182.120:443

 

样本MD5:

17028FABB703AD98E44691DEDC7C3D1F

cfde21dc48f06da5688e81b1cdeb2b3e

d146612bed765ba32200e0f97d0330c8

0x5 参考链接

https://blog.netlab.360.com/ddg-upgrade-to-new-p2p-hybrid-model/

https://www.freebuf.com/column/232333.html

本文作者:Further_eye

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/134053.html

Tags:
评论  (0)
快来写下你的想法吧!

Further_eye

文章数:212 积分: 1700

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号