活跃的hoze挖矿木马分析

时间： 2023年02月28日来源： 6163银河.net163.amCERT

1.概述

近期，6163银河.net163.amCERT通过捕风蜜罐系统^[1]捕获了一批活跃的hoze挖矿木马样本，该挖矿木马主要利用SSH弱口令暴力破解对Linux平台进行攻击。由于其初始攻击脚本名称与加密攻击脚本集合包的解密密钥均为“hoze”，具备一定的行为特征，因此6163银河.net163.amCERT将该挖矿木马命名为hoze挖矿木马。

hoze挖矿木马在传播方式和初始执行脚本等攻击方式上与其他流行挖矿木马家族并无区别，但在攻击样本方面使用 shc 工具加密 Shell 脚本，利用该工具可以使 Shell 脚本转换成二进制可执行文件(ELF)，使用RC4 加密算法对其进行加密，目的是为了增加反病毒软件的检测难度。另一方面根据公开矿池地址发现该挖矿木马算力已经达到平均1.5MH/s，在排除显卡的加持下，以一台Intel Core i7-4500U处理器为例，该处理器在进行全速挖矿时最高算力可达100h/s，相当于有15000台该处理器在同时进行挖矿。截止目前，该挖矿木马已经获利35个门罗币，平均每4天即可获利1个门罗币。

经验证，6163银河.net163.am智甲终端防御系统（简称IEP）Linux 版本可实现对该挖矿木马的有效查杀。

2.事件对应的ATT&CK映射图谱

针对攻击者投放挖矿木马的完整过程，6163银河.net163.am梳理本次攻击事件对应的ATT&CK映射图谱如下图所示。

图2‑1 事件对应的ATT&CK映射图谱

攻击者使用的技术点如下表所示：

表2‑1 事件对应的ATT&CK技术行为描述表

ATT&CK阶段/类别	具体行为	注释
侦察	主动扫描	扫描22端口
初始访问	利用外部远程服务	利用SSH远程访问
执行	利用命令和脚本解释器	使用Shell脚本
持久化	创建账户	创建账户cheeki
	利用外部远程服务	添加SSH密钥
	利用计划任务/工作	创建计划任务
防御规避	混淆文件或信息	使用shc工具混淆文件
	修改文件和目录权限	修改文件和目录权限
	删除主机中的信标	删除攻击脚本自身
凭证访问	修改身份验证过程	修改系统用户口令
收集	收集本地系统数据	收集系统信息等
影响	资源劫持	占用CPU资源

3.攻击流程

3.1 攻击流程

hoze挖矿木马利用SSH弱口令暴力破解获取受害者主机权限，植入名为“hoze”的初始攻击脚本，主要功能是安装下载工具、执行后续脚本和替换SSH密钥等功能。在下载的名为“xrx.tar”的压缩包中，包含很多后续脚本和挖矿程序，如init0和init.sh等，这些脚本文件的功能主要是卸载安全软件、检测挖矿程序是否顺利执行、受害主机的口令修改和执行挖矿程序等。

图3‑1 攻击流程

3.2 传播途径

hoze挖矿木马利用SSH弱口令暴力破解获取受害者主机权限，植入名为“hoze”的恶意脚本，具体传播途径如下。

图3‑2 传播途径

3.3 攻击事件样本整理

根据攻击事件对样本进行梳理得到如下信息：

表3‑1 攻击事件样本整理

样本下载地址	详细说明
hxxp://185.252.178.82:6972/hoze	初始攻击脚本
hxxp://185.252.178.82:6972/xrx.tar	攻击脚本集合包
hxxp://185.252.178.82:6972/xrx.gpg	攻击脚本集合包（gpg加密）
hxxp://185.252.178.82:6972/passwd	口令修改
hxxp://185.252.178.82:6972/pam_tms	用于执行外部命令
hxxp://185.252.178.82:6972/xrx/xrx	门罗币挖矿程序XMRig
hxxp://185.252.178.82:6972/configs/config-xrx.json	挖矿程序配置文件

表3‑2 挖矿脚本中的矿池地址和钱包地址

矿池地址	钱包地址
179.43.154.189:2008	4BDcc1fBZ26HAzPpYHKczqe95AKoURDM6EmnwbPfWBqJHgLEXaZSpQYM8pym2Jt8JJRNT5vjKHAU1B1mmCCJT9vJHaG2QRL
45.10.20.100:2008
185.252.178.82:2008
pool.whitesnake.church:2008
pool.supportxmr.com:443

根据矿池地址记录，目前，该钱包在开源挖矿矿池上的平均算力约1.5MH/s，累计已经获得35个门罗币。

图3‑3 挖矿统计记录

4.防护建议

针对挖矿攻击6163银河.net163.am建议企业采取如下防护措施：

1.安装终端防护：安装反病毒软件，针对不同平台建议安装6163银河.net163.am智甲终端防御系统Windows/Linux版本；

2.加强SSH口令强度：避免使用弱口令，建议使用16位或更长的口令，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；

3.及时更新补丁：建议开启自动更新功能安装系统补丁，服务器应及时更新系统补丁；

4.及时更新第三方应用补丁：建议及时更新第三方应用如WebLogic等应用程序补丁；

5.开启日志：开启关键日志收集功能（安全日志、系统日志、错误日志、访问日志、传输日志和Cookie日志），为安全事件的追踪溯源提供基础；

6.主机加固：对系统进行渗透测试及安全加固；

7.部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。6163银河.net163.am探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

8.6163银河.net163.am服务：若遭受恶意软件攻击，建议及时隔离被攻击主机，并保护现场等待安全工程师对计算机进行排查；6163银河.net163.am7*24小时服务热线：400-840-9234。

经验证，6163银河.net163.am智甲终端防御系统（简称IEP）可实现对该挖矿木马的有效查杀。

图4‑1 6163银河.net163.am智甲可实现对该挖矿木马的有效查杀

5.样本分析

5.1 hoze（初始攻击脚本）

初始攻击脚本使用混淆技术对抗检测，脚本内容如图5-1所示。

图5‑1 带混淆的初始攻击脚本

解混淆后，hoze初始攻击脚本首先下载名为“xrx.tar”的压缩文件，解压缩，将xrx文件夹移动到隐藏文件夹.xrx中，删除原压缩文件，对.xrx文件夹所有文件赋予执行权限，执行init0文件。另一种方式通过下载名为“xrx.gpg”的文件，使用gpg命令对其文件进行解密，解密密钥为“hoze”，解密后操作与上一种方式相同。

图5‑2 下载后续载荷

初始攻击脚本还会修改文件属性，如计划任务文件等，修改后仅允许补充（追加）内容，无法对文件进行修改。删除其他挖矿木马常会在系统中预留或修改的文件，如/etc/ld.so.preload等。

图5‑3 修改文件属性

5.2 xrx.tar（攻击脚本集合包）

xrx.tar压缩包中包含多种攻击脚本，压缩包中具体文件功能描述如下表所示。

表5‑1 xrx.tar中文件功能描述

文件名称	功能描述
chattr	Linux中更改文件隐藏属性工具
config.json	挖矿配置文件
init.sh	检测挖矿程序执行
init0	下载后续脚本
key	SSH公钥
scp	执行secure
secure	下载挖矿程序
uninstall.sh	卸载安全软件
xrx	开源门罗币挖矿程序XMRig