“挖矿僵尸”利用SaltStack漏洞入侵服务器:多家企业中招、已获利370万
2020-05-07 11:43:53  出处:快科技 作者:朝晖 编辑:朝晖     评论(0)点击可以复制本篇文章的标题和链接

日前,腾讯御见威胁情报中心通报了一起H2Miner黑产团伙利用SaltStack漏洞控制服务器挖矿的入侵案例。

据悉,腾讯安全威胁情报中心于2020年05月03日检测到H2Miner木马利用SaltStack远程命令执行漏洞(CVE-2020-11651、CVE-2020-11652)入侵企业主机进行挖矿。通过对木马的核心脚本以及可执行文件的对比分析,确认了此次攻击行动属于挖矿木马家族H2Miner

据了解,H2Miner是一个linux下的挖矿僵尸网络,通过hadoop yarn未授权、docker未授权、confluence RCE、thinkphp 5 RCE、Redis未授权等多种手段进行入侵,下载恶意脚本及恶意程序进行挖矿牟利,横向扫描扩大攻击面并维持C&C通信。

腾讯安全威胁情报中心大数据统计结果显示,H2Miner利用SaltStack漏洞的攻击自5月3日开始,目前呈快速增长趋势。H2Miner挖矿木马运行时会尝试卸载服务器的安全软件,清除服务器安装的其他挖矿木马,以独占服务器资源。目前,H2Miner黑产团伙通过控制服务器进行门罗币挖矿已非法获利超370万元。

Saltstack是基于python开发的一套C/S自动化运维工具。近日,SaltStack被爆存在认证绕过漏洞(CVE-2020-11651)和目录遍历漏洞(CVE-2020-11652),其中:

CVE-2020-11651:为认证绕过漏洞,攻击者可构造恶意请求,绕过Salt Master的验证逻辑,调用相关未授权函数功能,达到远程命令执行目的。

CVE-2020-11652:为目录遍历漏洞,攻击者可构造恶意请求,读取服务器上任意文件,获取系统敏感信息信息。

“挖矿僵尸”利用SaltStack漏洞入侵服务器:多家企业中招、已获利370万

快科技了解到,此次入侵导致不少CDN平台服务商平台出现故障,进而导致多家网站访问受到影响

腾讯安全专家建议企业采取以下措施强化服务器安全,检查并清除服务器是否被入侵安装H2Miner挖矿木马:

1、将Salt Master默认监听端口(默认4505 和 4506)设置为禁止对公网开放,或仅对可信对象开放。将SaltStack升级至安全版本以上,升级前建议做好快照备份,设置SaltStack为自动更新,及时获取相应补丁。

2、Redis 非必要情况不要暴露在公网,使用足够强壮的Redis口令。

3、参考以下步骤手动检查并清除H2Miner挖矿木马:

kill掉进程中包含salt-minions和salt-store文件的进程,文件hash为a28ded80d7ab5c69d6ccde4602eef861、8ec3385e20d6d9a88bc95831783beaeb;

删除文件/tmp/salt-minions、/tmp/salt-store;

将恶意脚本服务器地址217.12.210.192、206.189.92.32进行封禁;

升级SaltStack到2019.2.4或3000.2,防止病毒再次入侵。

“挖矿僵尸”利用SaltStack漏洞入侵服务器:多家企业中招、已获利370万

- THE END -

转载请注明出处:快科技

#服务器#僵尸

责任编辑:朝晖

文章价值打分
当前文章打分0 分,共有0人打分
文章观点支持

+0
+0

  • 最热文章

  • 关注我们

快科技 关注快科技 微信公众号,每日及时查 看最新手机、电脑、汽车、智能硬件信息
  • 微博

    微博:快科技官方

    快科技(原驱动之家)官方微博
  • 今日头条

    今日头条:快科技

    带来硬件软件、手机数码最快资讯!
  • 抖音

    抖音:快科技mydrivers

    科技快讯、手机开箱、产品体验、应用推荐...