新型挖矿病毒借助“海啸”僵尸网络发动DDOS攻击

近期一直处于低迷状态的挖矿病毒有复苏迹象，不仅“驱动人生”挖矿病毒出现频繁更新，而且还出现了多个新型挖矿病毒。近日，亚信安全截获一系列shell脚本与ELF文件，其隐藏在受感染Linux设备的计划任务中，通过定时任务的方式下载并执行挖矿程序和后门程序。

详细分析

Shell样本分析

文件名：update.sh

MD5:66881d8da46aca98e0c2aa2flaf530c0

文件大小：1372字节

格式：Linux Shell

该样本首先获取当前用户ID，用于后续判断是否为管理员组；获取CPU架构，以下载相匹配的恶意程序；获取设备公网IP地址，用于后续判断下载何种恶意程序。

hxxp://pw.pwndns.pw/servers/server.txt中总计列出8458条公网IP地址。当受感染设备的公网地址匹配到server.txt的列表，将下载后门程序、提升执行权限。如果脚本运行的用户属于Root组，还会进一步打开SSH服务；当受感染设备未匹配到server.txt中列出的地址时，将下载挖矿程序、提升执行权限。

下图是此脚本的运行逻辑

下载的挖矿程序分析

文件名：x86_64_miner

MD5：812C64B55D4A28D902BF155530930B68

文件大小：2556332 字节

格式：ELF

是否有壳：UPX3.95

该挖矿程序带有UPX3.95壳，脱壳后发现其是根据Xmrig程序编写的挖矿程序，带有pwnRig字符串。

其通过访问/proc/hwloc-nofile-info和/proc/cpuinfo，获取CPU相关信息。

通过抓包获取到钱包地址为：

46VfQmxKRmjSsMRYux3r6qJvxwdVCmZfUFkPqt1uUfikSSy2wJFbcDzdX2ZuH4hDzs7xS8Nsy5orNTMtQUJADuavC2vV1Rp

下载的后门程序分析

文件名：x86_64

MD5：4FF3BA68D0F154E98222BAD4DAF0F253

文件大小：188648 字节

格式：ELF

是否有壳：UPX3.95

该后门程序同样带有UPX3.95壳，脱壳后发现其是多功能后门程序，其可以连接到IRC中继聊天C&C服务器。

通过PID，PPID和Time组成nick昵称，区分不同用户。

通过发送指令，可以对客户端执行如下操作：

指令	功能
376	加入频道
433	生成一个新的nick name
NICK	修改客户端Nick
Tsunami	发起DDOS攻击
KILLALL	中止DDOS攻击
Pan	发起SYN flood
UDP	发起UDP flood
Enable	允许从此客户端发出的所有packet
Disable	禁止从此客户端发出的所有packet
GET	下载文件