厉害了!Linux加密货币挖矿机可删除杀毒软件

ang010ela 系统安全 2018年11月26日发布
Favorite收藏

导语:Doctor Web安全研究人员发现了一种专门用于提取加密货币的木马,它可以感染其他网络设备并删除系统中运行的防病毒软件。

Doctor Web安全研究人员发现了一种专门用于提取加密货币的木马,它可以感染其他网络设备并删除系统中运行的防病毒软件。该木马被命名为Linux.BtcMine.174,是一个用shell语言编写的脚本,包含1000多行代码。

恶意软件由多个组件组成。在启动时,木马首先会检查C2服务器的可用性,然后从C2服务器下载其他需要的模块,并在磁盘上搜索具有写入权限的文件夹,然后加载这些模块。之后,脚本将移动到先前选择的名为diskmanagerd的文件夹,并作为守护程序重新启动。该木马会使用nohup程序。如果nohup不在系统中,木马就会自动下载并安装包含nohup的coreutils实用程序包。

在设备上的安装成功后,恶意脚本会下载一个特洛伊木马程序Linux.BackDoor.Gates.9。该系列的后门允许执行来自攻击者的命令并发起DDoS攻击。

 

后门安装后,恶意软件会在系统中检查是否存在其他加密货币挖矿软件,检测到后执行其他流程。如果没有具有root权限的用户启动该木马,就会使用一组漏洞利用来进行权限提升。Doctor Web分析师发现了至少两个被该攻击者利用的漏洞:CVE-2016-5195(又名DirtyCow)和CVE-2013-2094。同时,木马会直接从网上下载DirtyCow的漏洞利用代码,并在受感染的计算机上编译。

恶意软件会尝试寻找名为safedog,aegis,yunsuo,clamd,avast,avgd,cmdavd,cmdmgd,drweb-configd,drweb-spider-kmod,esets和xmirrord的防病毒服务。如果检测到这些进程,恶意软件不仅会终止防病毒进程,还会在程序包管理器中删除其文件以及安装防病毒产品的目录。

该木马在启动时会进行注册,在受感染的设备上下载并启动rootkit。在rootkit模块的功能中,您可以突出显示用户提供的su命令密码被盗,隐藏文件系统中的文件,网络连接和运行进程。该木马收集有关先前通过ssh协议连接并尝试感染它们的网络节点的信息。

完成所有以上步骤后,特洛伊木马最终在系统中启动了Monero加密货币(XMR)挖矿机。恶意软件每隔一分钟会检查此挖机机是否处于运行状态,并在必要时自动重启。木马还以连续循环方式连接到管理服务器,并从那里下载更新。

本文翻译自:https://xakep.ru/2018/11/20/linux-btcmine-174/如若转载,请注明原文地址: http://www.4hou.com/system/14712.html
点赞 1
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论