一、背景

腾讯主机安全（云镜）捕获一个新的挖矿木马LoggerMiner，该木马在云上主机中攻击传播，会利用当前主机上的ssh账号信息对其他主机发起攻击，以控制更多系统。并且，LoggerMiner还会尝试对当前主机上的docker容器进行感染。

该木马代码中大量使用了logger字符串作为系统账号名、文件路径、通信域名等，腾讯安全团队据此将其命名为“LoggerMiner”挖矿木马。该木马存在多个模块具备以下恶意行为：

利用ssh爆破感染其他云主机、修改ssh配置，关闭安全设置，留置后门，方便攻击者远程登录；向docker容器发送恶意命令，进行感染；木马的部分攻击代码尚未完工。

木马还会尝试卸载云服务器安全软件、结束竞品挖矿木马进程、停止系统日志、修改系统安全设置，删除其他竞品挖矿木马创建的帐户、添加自己的新帐号，安装定时任务实现持久化等功能。

腾讯安全系列产品应对LoggerMiner挖矿木马的响应清单如下：

更多产品信息，请参考腾讯安全官方网站3d9K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6K6i4K6u0W2N6r3g2F1j5$3g2F1N6q4)9J5k6h3y4G2L8g2)9J5c8R3`.`.

二、详细分析

首先解释一下为什么起名LoggerMiner，原因是该木马的代码中大量使用了logger字符串作为系统账号名、文件路径、通信域名等。

LoggerMiner挖矿木马感染主机后会通过cron定时任务实现持久化，从定时任务里可以看到，LoggerMiner挖矿木马会执行3个恶意脚本，我们把这3个脚本定义为3个模块：xanthe、xesa、fczyo，然后逐个分析。

首先看下xanthe模块，该模块有14个函数，大体功能如下：

具体函数执行步骤如下：

总结起来，xanthe模块大体执行流程如下：

1、xanthe模块首先会检查感染标识文件/tmp/.firstrun-update_ivan1.pid是否存在，如果不存在则进行感染，下载并执行xesa和fczyo模块；

2、尝试下载挖矿程序java_c、进程隐藏模块libprocesshider.so、以及配置文件config.json并启动java_c挖矿程序；

3、尝试重新挂载/var/tmp、/tmp目录；

4、修改ssh配置文件，启用22和33768端口进行连接，允许root账号通过密码登录，允许密钥登录，关闭GSSAPI 认证等；

5、重启ssh服务；

6、尝试搜索当前主机的known_hosts、bash_history等配置文件，从里面获取用户名、主机地址、ssh密码/密钥信息，然后利用ssh执行感染模块xanthe。

部分功能代码片段如下：

1、感染判断：

2、利用当前主机上保存的ssh账号信息尝试感染其他机器：

除了以上功能外，该模块代码里有几个函数正在编写中，在此并未启用，从代码上看，该代码功能如下：

1、尝试搜索当前主机上的known_hosts文件，利用里面保存的ssh登录信息尝试登录并执行恶意代码；

2、安装masscan后，尝试扫描当前主机上开启2375端口的docker容器，然后利用命令行向容器内部发送恶意命令，实现docker容器感染；

3、还会尝试下载zgrab扫描器，下载后并未有其他动作，应该是代码没有完成。

相关代码片段如下：

1、利用当前主机上保存的ssh账号信息进行横向感染：

2、利用masscan扫描docker容器，并尝试感染docker容器：

3、下载zgrab扫描器

接下来分析xesa模块，该模块的8个函数功能大致如下：

从以上函数功能可以看出，xesa模块主要负责安全对抗，大致功能总结如下：

1、卸载阿里云等安全监控服务

2、停止系统常用的日志监控服务syslog等

3、结束其他挖矿木马进程

4、修改系统安全设置等

部分功能代码片段如下：

最后我们分析下fczyo模块，该模块函数功能大致如下：

从上面函数功能可以看到，该模块功能主要集中在持久化安装方面，大致功能如下：

1、通过cron安装定时任务，实现恶意代码执行；

2、通过/etc/rc.d/rc.local 实现开机自启动，实现恶意代码执行；

3、修改防火墙策略；

4、修改ssh配置文件，添加ssh密钥，实现免密码登录：

/opt/autoupdater/.ssh/authorized_keys

/opt/system/.ssh/authorized_keys

/opt/logger/.ssh/authorized_keys

5、添加后门账号，删除其他挖矿木马的后门账号：

添加的账号列表：sysall、system、logger、autoupdater

删除的账号列表：darmok、cokkokotre1、akay、o、phishl00t、opsecx12

部分功能代码片段如下：

1、修改防火墙配置

2、ssh配置文件修改

3、系统账号添加及修改

IOCs

URL

ff3K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0x3@1i4K6u0W2z5e0u0Q4x3X3f1I4y4U0k6Q4x3X3f1I4y4e0S2Q4x3@1p5^5x3o6R3H3i4K6u0r3k6X3W2D9k6i4y4Q4x3V1k6^5j5h3&6@1K9r3f1`.

9b5K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0x3@1i4K6u0W2z5e0u0Q4x3X3f1I4y4U0k6Q4x3X3f1I4y4e0S2Q4x3@1p5^5x3o6R3H3i4K6u0r3k6X3W2D9k6i4y4Q4x3V1k6X3j5%4A6&6L8H3`.`.

62dK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0x3@1i4K6u0W2z5e0u0Q4x3X3f1I4y4U0k6Q4x3X3f1I4y4e0S2Q4x3@1p5^5x3o6R3H3i4K6u0r3k6X3W2D9k6i4y4Q4x3V1k6^5k6i4y4S2i4K6u0W2N6s2S2@1

79bK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0x3@1i4K6u0W2z5e0u0Q4x3X3f1I4y4U0k6Q4x3X3f1I4y4e0S2Q4x3@1p5^5x3o6R3H3i4K6u0r3k6X3W2D9k6i4y4Q4x3V1k6B7j5i4k6S2i4K6g2X3j5H3`.`.

22eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0x3@1i4K6u0W2z5e0u0Q4x3X3f1I4y4U0k6Q4x3X3f1I4y4e0S2Q4x3@1p5^5x3o6R3H3i4K6u0r3k6X3W2D9k6i4y4Q4x3V1k6U0L8$3&6X3K9h3N6Q4x3X3g2B7M7$3!0F1

4d4K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0x3@1i4K6u0W2z5e0u0Q4x3X3f1I4y4U0k6Q4x3X3f1I4y4e0S2Q4x3@1p5^5x3o6R3H3i4K6u0r3k6X3W2D9k6i4y4Q4x3V1k6D9K9h3u0H3M7X3!0U0k6i4y4K6K9r3W2V1k6i4u0Q4x3X3g2K6L8H3`.`.

21aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0p5$3x3W2)9J5k6e0p5J5y4q4)9J5k6e0t1%4i4K6y4m8z5o6l9^5x3q4)9J5c8X3k6A6L8r3g2K6i4K6u0r3P5r3q4F1N6r3S2W2

66cK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0p5$3x3W2)9J5k6e0p5J5y4q4)9J5k6e0t1%4i4K6y4m8z5o6l9^5x3q4)9J5c8X3k6A6L8r3g2K6i4K6u0r3k6X3y4*7P5h3)9`.

818K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0p5$3x3W2)9J5k6e0p5J5y4q4)9J5k6e0t1%4i4K6y4m8z5o6l9^5x3q4)9J5c8X3k6A6L8r3g2K6i4K6u0r3P5r3g2K6j5g2)9J5k6i4c8^5N6l9`.`.

93aK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0p5$3x3W2)9J5k6e0p5J5y4q4)9J5k6e0t1%4i4K6y4m8z5o6l9^5x3q4)9J5c8X3k6A6L8r3g2K6i4K6u0r3K9X3q4$3j5g2)9#2k6X3x3`.

d4eK9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0p5$3x3W2)9J5k6e0p5J5y4q4)9J5k6e0t1%4i4K6y4m8z5o6l9^5x3q4)9J5c8X3k6A6L8r3g2K6i4K6u0r3j5$3!0F1k6X3W2Y4i4K6u0W2K9Y4y4G2L8R3`.`.

e13K9s2c8@1M7q4)9K6b7g2)9J5c8W2)9J5c8U0p5K6z5g2)9J5k6e0p5$3x3W2)9J5k6e0p5J5y4q4)9J5k6e0t1%4i4K6y4m8z5o6l9^5x3q4)9J5c8X3k6A6L8r3g2K6i4K6u0r3L8r3W2T1M7s2u0G2j5$3g2K6M7$3S2A6k6r3g2J5i4K6u0W2M7$3)9`.

b24K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6M7r3I4G2k6$3N6W2M7W2)9J5k6h3!0J5k6#2)9J5c8U0p5I4M7%4S2E0

787K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6M7r3I4G2k6$3N6W2M7W2)9J5k6h3!0J5k6#2)9J5c8U0p5%4b7%4m8Z5y4H3`.`.

Domain

iplogger.org

IP

34.92.166.158

139.162.124.27

MD5

776227b07b2f1b82ffcc3aa38c3fae09

70b3ad8f1ce58203c18b322b1d00dd9a

7309b0f891a0487b4762d67fe44be94a

7633912d6e1b62292189b756e895cdae

025685efeb19a7ad403f15126e7ffb5a

83acf5a32d84330bbb0103f2169e10bb

钱包地址

47TmDBB14HuY7xw55RqU27EfYyzfQGp6qKmfg6f445eihemFMn3xPhs8e1qM726pVj6XKtyQ1zqC24kqtv8fXkPZ7bvgSPU

47E4c2oGb92V2pzMZAivmNT2MJXVBj4TCJHad4QFs2KRjFhQ44Q81DPAjPCVc1KwoKQEp1YHdRMjGLUe6YdHPx5WEvAha1u

ssh密钥

AAAAB3NzaC1yc2EAAAADAQABAAABAQDLVZNrAJ1uzR7d2bm1iUQPAgjuBlyLQQNaEHVmACWtGwwiOKMPiFBfBjuNJIyZFnGkkFgJP5fi8v1eqliaBgqERUDDtW/RZDDIz8DovDrA4/MGlxpCHLeViN+F62W/jgeufiQ7NiPTlPB3Fuh7E7QXXpXqQ6EmVlV0iWdzqRvSiDIB3cIL6E2CrK47pY6Rp6rY2YKYzUhiZRqAMHViMR+2MARL2jERfF3CsG6ZXo/7UVVx+tqoKQDHPmz21mrulOF6RW5hh04dE2q1+/w6xmX8AxUSGmPdpwQa8GuV7NHHZmYO26ndTVi2ES472tJdkXVHmLX8B9Un42JLNVXwPU/Hlinux@linux.com

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课