黑产团伙利用Apache Struts 2漏洞及SQL爆破控制服务器挖矿
一、概述
腾讯安全御见威胁情报中心监测到团伙利用Apache Struts 2远程命令执行漏洞(CVE-2017-5638)攻击windows服务器,从团伙使用的文件列表来看,主要通过爆破或漏洞利用进行攻击,且针对windows服务器,已控制服务器270台左右,被下发挖矿木马的服务器有44台,该团伙挖取门罗币已赚得3.5万元。
二、详细分析
查看团伙HFS服务器文件列表,可以看到多个扫描爆破工具、漏洞利用工具、密码抓取工具、远程控制工具及端口转发工具。
爆破扫描模块
黑客使用1433扫描工具,配合密码表对sqlserver服务器进行爆破:
3389爆破工具NLBrute 1.2
S扫描器
漏洞利用模块
Apache Struts2远程命令执行漏洞(CVE-2017-5638)利用
门罗币挖矿模块
对服务器入侵成功后,则下发挖矿挖矿模块2020.exe
矿池:xmr.f2pool.com:13531
钱包:
8aZSQhyDBCZokwmVd5HG5Gp7UrAeLVuVmZbKcs4rTZTx1UXGECxbePXha3qncffYYhJjG5FRGxM1scV9dbN62VCGiPdtQ
目前已经挖到90个XMR,市值约35886人民币
端口转发工具ok.exe被ramnit蠕虫病毒感染
黑客服务器上的端口转发工具已经被ramnit感染,入口点被修改在最后一个.text节
Ramnit C2: 82.112.184.197:447,45.55.36.236:447,8.7.198.46:80
去掉ramnit感染代码后,实际上是一个端口转发工具
所以被入侵的windows服务器也同样会被感染Ramnit蠕虫病毒。Ramnit蠕虫病毒是影响 Windows 系统的计算机蠕虫。Ramnit感染可移动媒体,如USB驱动器,也隐藏在主引导记录中。主要感染.exe、.dll、.htm 和 .html 扩展名的文件。2015年高峰时期,Ramnit曾经感染过超过300万台电脑。
三、同源分析
根据钱包地址进行关联,可以关联到F5研究团队在去年3月公布的“CryptoSink”行动中批量的钱包一样,当时已经挖掘到70个门罗币,可见这次挖矿攻击活动仍然跟“CryptoSink”关系较大。
四、安全建议
针对该黑产团伙的特点,我们建议企业用户参考以下方法解除风险:
1、建议修改远程桌面默认端口,或限制允许访问的IP地址;
2、升级Apache Struts 2至最新版,以修复安全漏洞。受影响版本Struts 2.3.5 – Struts 2.3.31, Struts 2.5 – Struts 2.5.10;
3、修改sqlserver密码,不要使用弱密码,弱密码非常容易被爆破入侵。SQL服务器被攻陷还可能导致严重的信息泄露风险。
IOCs
矿池:xmr.f2pool.com:13531 钱包: 48aZSQhyDBCZokwmVd5HG5Gp7UrAeLVuVmZbKcs4rTZTx1UXGECxbePXha3qncffYYhJjG5FRGxM1scV9dbN62VCGiPdtQ
URL hxxp://183.63.127.227:808/
MD5 fabd73f8bf2bc803703778457c068936 81c965ac62471ab62e85ca441d0031e6
来源:腾讯御见威胁情报中心
比推快讯
更多 >>- Magic Eden:将于4月25日扩展至Base网络
- 距比特币第四次减半已不足8个小时,剩余49区块
- 半小时前Coinbase Institutional地址转出超150万枚UNI
- Coinbase:MNI-USD交易对已处于全面交易模式
- 今日9支现货比特币ETF减持472枚 BTC,价值约3044万美元
- Pyth Network推出MERL/USD价格源服务
- Coinbase Custody将于5月停止对Unifi Protocol DAO (UNFI) 和PlayDapp (PLA)的支持
- Polygon Staking地址转入4000万枚MATIC,价值超2700万美元
- UniSat:Runes上线7天内,etch和铸造可获得三倍积分奖励
- Telegram Wallet发布五项更新,支持用户直接向其 Telegram 联系人发送代币和 NFT
- 50 分钟前 Tether 向 Cumberland DRW 出售 9000 万枚 USDT
- MyShell推出基于EigenDA与Optimism的AI消费者L2网络,测试网将于下周上线
- BTC短线跌破64000美元
- 数字资产市场服务提供商Skynet Trading完成新一轮融资,Edessa Capital等参投
- 美股数字货币板块走高
- 路透社:美国债务负担恶化引发投资者关注比特币和黄金
- Lambda完成180万美元天使轮融资
- Runestone总成交额突破2500枚BTC
- HTX Ventures战略投资Merkle 3s Capital
- 贝莱德IBIT持仓超27.3万枚比特币
- 新加坡加密支付公司Triple-A新增PYUSD支持
- 美SEC:孙宇晨频繁赴美,美法院已具备相应管辖权
- 韩国监管机构推迟批准Crypto.com当地部门领导层变动
- 新加坡支付公司Triple-A 推出对PayPal稳定币的支持
- Base发布2024年第6轮Base建设者资助名单
- PADO与ArweaveAO合作发起可验证机密计算VCC
- 基于以太坊区块链的影视支付平台FilmChain完成280万欧元融资,Holt InterXion领投
- 企业忠诚度平台Superlogic完成760万美元战略轮融资,Amex Ventures等参投
- 俄罗斯国家杜马金融市场委员会主席:数字金融资产可能取代法定货币用于国际支付
- RWA及证券型代币服务提供商Cspro完成战略轮融资,Taisu Ventures参投
- SolanaAI项目gm.ai发布gmID
- ETH跌破2900美元
- BTC跌破60000美元
- 美联储Bostic重申预计今年将进行一次降息
- 美联储Kashkari:可能要等到2025年才能降息
- 隐私优先移动运营商Cape完成6100 万美元融资,A-Star 和 a16z 共同领投
- 10x Research联创:比特币在未来几周内可能会跌至 50,000 美元
比推专栏
更多 >>观点
项目
比推热门文章
- Magic Eden:将于4月25日扩展至Base网络
- 距比特币第四次减半已不足8个小时,剩余49区块
- 半小时前Coinbase Institutional地址转出超150万枚UNI
- Coinbase:MNI-USD交易对已处于全面交易模式
- 今日9支现货比特币ETF减持472枚 BTC,价值约3044万美元
- Pyth Network推出MERL/USD价格源服务
- Coinbase Custody将于5月停止对Unifi Protocol DAO (UNFI) 和PlayDapp (PLA)的支持
- Polygon Staking地址转入4000万枚MATIC,价值超2700万美元
- UniSat:Runes上线7天内,etch和铸造可获得三倍积分奖励
- Telegram Wallet发布五项更新,支持用户直接向其 Telegram 联系人发送代币和 NFT