报告编号：B6-2022-081502

报告来源：360CERT

报告作者：360CERT

更新日期：2022-08-16

0x01   事件简述

近日，360安全大脑监测到一个挖矿僵尸网络正在持续活跃中。经过溯源分析，该病毒最早可以追溯到思科公司于2020年底的相关报告，称名为“Xanthe”的僵尸网络正在利用错误配置的Docker API进行挖矿活动。将近两年时间过去后，Xanthe木马除了继续从事挖矿的“老本行”外，新版本中还添加了投递名为“brickerbotv2”的Mirai僵尸网络bot程序的功能，攻击者可以借此实现对外发起DDoS攻击的目的。

0x02   技术分析

Xanthe挖矿僵尸网络的恶意功能分别集成在各个恶意脚本中，主要分为以下3个模块：

hxxp://209.141.34.37/fczyo

hxxp://209.141.34.37/alduro

hxxp://209.141.34.37/sesa.txt

fczyo 模块的头部包含如下信息：

脚本中主要执行以下函数：

qbot函数将hxxp://45.61.184.81/x86文件下载到本地并执行：

x86文件是一个ELF可执行程序，基于开源Mirai代码修改编译而成，跟以往的Mirai僵尸网络样本相比相差不大。x86样本内自定义的key修改为0xDEDEFFBA：

通过从低到高逐字节异或的方式对样本内的硬编码字符串进行了加密：

硬编码字符串在table_init函数中进行解密后，可以看到样本自称为“brickerbotv2”。x86文件保留了Mirai僵尸网络的反调试、单例运行、阻止watchdog重启设备等功能，且在运行后会自删除，通过连接45.61.184.81:81来接收攻击者下发的DDoS指令。支持的攻击方式包括

回到fczyo模块。persistgo函数负责往cron和/etc//rc.local写入恶意代码，实现下载执行木马各模块的定时启动以及开机自启：

filerungo函数在配置好环境后尝试启动/tmp/bbp/bbp、/var/tmp/bbp/bbp、/opt/bbp/bbp挖矿进程。bbp程序由后面的alduro模块负责从C&C 下载到本地。

securitygo函数中删除sandfly-filescan安全工具，关闭ufw防火墙，并清除所有iptables规则，为木马运行扫清障碍。

alduro 模块中共定义了9个函数，执行流程如下：

各函数的功能大致概述如下：

部分功能代码片段如下。SSH横向移动：

下载bbp挖矿程序并校验：

localgo函数中下载了hxxp://209.141.34.37/check文件，该文件的作用为判断是否为root用户、是否有bbp进程正在运行，进而从C&C下载alduro、adnckil文件执行。

adnckil文件同样是一个ELF可执行文件，采用了UPX加壳，脱壳后可以看到它是编译于2022.7.13日的开源XMRig矿机6.18.0版本。

矿机中包含了攻击者的矿池信息：

截至目前，该钱包地址共有100余名矿工正在同时作业。

sesa.txt模块的主要功能包括：

1.修改/etc//hosts文件阻断竞争对手、安全软件的网络连接

2.删除本机安装的安全软件

3.清理竞争对手：阻断IP连接与端口、结束其进程，实现独占设备资源的目的

4.清理无关的竞争对手的docker镜像，释放资源

5.禁用AppArmor

6.清理竞争对手crontab，写入攻击者自己的恶意计划任务

0x03   IOCs

IP

- 209.141.34.37

- 45.61.184.81

URL

- hxxp://209.141.34.37/fczyo

- hxxp://209.141.34.37/alduro

- hxxp://209.141.34.37/sesa.txt

- hxxp://209.141.34.37/check

- hxxp://209.141.34.37/adnckil

- hxxp://45.61.184.81/x86

- hxxps://iplogger.org/1hZji7

- hxxps://iplogger.org/1Rzyr7

- hxxps://iplogger.com/109S93

MD5

矿池

pool.hashvault.pro:80

钱包地址

87xLz6mbtukECRgsdrvh9m4iVS7E5MCDtEbrXMBVQ4qtdUMWjqSRABfdrDimKtTUSPR6uhw9DEXJXZKZrdbzoexH2vavdcb

SSH公钥

AAAAB3NzaC1yc2EAAAADAQABAAABAQDJHcNVNDmblG/GHzMCixbagQRIUbjOvaKxTKoEE/Cs2gwLQsiD2raUNQBRttIeWfdDL4L+VqhEj47mFCCRzjSN+k6nx1wZ50r3F9FhpzzTYwbWOi5JJistZBec4K2ZbHKocCTiI7hzrpi0jfgBF1P0BSeyvjFE3NqqIky4E2IVQpnHl6tu48jNYOJXWUBL7bt6pfm3ZIBa7gi3q700Mm/FIY5l1xWDzBAdG0u44eXKO8p0i+OROPNhODQgmfpU4a2tM/6+FMukfDPV3S2OnbnlmYItnzvUbfyPDxpbE/tw1ivkun0tCPeDgqfqcR0OM64K0NZaFFeQNPQvNEUviF4z root@localhost

0x04   参考资料