如何解析基于Linux和Window双平台新型挖矿病毒
如何解析基于Linux和Window双平台新型挖矿病毒
这期内容当中小编将会给大家带来有关如何解析基于Linux和Window双平台新型挖矿病毒，文章内容丰富且以专业的角度为大家分析和叙述，阅读完这篇文章希望大家可以有所收获。
这是一款近期非常流行的挖矿病毒，基于Linux和Windows双平台，主体程序都是使用GO语言进行编写的，并通过多个漏洞进行传播，估计国内已经有不少服务器被感染,笔者最近一段时间发现它更新了，并捕获到它的最新的脚本,通过分析，下载服务器URL地址为：
https://us.gsearch.com.de/api/sysupdate
http://209.182.218.161:80/363A3EDC10A2930D/sysupdate
https://us.gsearch.com.de/api/update.sh
http://209.182.218.161:80/363A3EDC10A2930D/update.sh
https://us.gsearch.com.de/api/config.json
http://209.182.218.161:80/363A3EDC10A2930D/config.json
https://us.gsearch.com.de/api/networkservice
http://209.182.218.161:80/363A3EDC10A2930D/networkservice
https://us.gsearch.com.de/api/sysguard
http://209.182.218.161:80/363A3EDC10A2930D/sysguard
相应的配置文件挖矿地址和钱包地址，如下所示：
cryptonightr.usa.nicehash.com:3375
1NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.usa
cryptonightr.eu.nicehash.com:3375
1NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.eu
cryptonightr.jp.nicehash.com:3375
1NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.jp
cryptonightr.hk.nicehash.com:3375
1NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.hk
cryptonightr.br.nicehash.com:3375
1NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.br
cryptonightr.in.nicehash.com:3375
1NYTak57oEYJwzTrG9wwAtM9Q44DwMBFLq.in
xmr.f2pool.com:13531
43zqYTWj1JG1H1idZFQWwJZLTos3hbJ5iR3tJpEtwEi43UBbzPeaQxCRysdjYTtdc8aHao7csiWa5BTP9PfNYzyfSbbrwoR.nice
脚本的功能主要是结束其它挖矿程序，然后从服务器上下载三个主要的程序:sysupdate、networkservice、sysguard，分别对这三个Linux下64位主程序进行详细分析，
sysupdate详细分析
sysupdate是门罗币挖矿程序，如下所示：
版本号为：2.15.1-beta，如下所示：
加载config.json配置程序矿池和钱包地址等，如下所示：
开始挖矿，如下所示：
config.json配置文件信息，如下所示：
矿池地址：xmr.f2pool.com:13531
钱包地址：
84wSxADJuSCEPGu7FyRPa2UAgs2YkTad1izUTLWJNmyvNFLU9PpTnwYUCn66cSK5v6cfRAvDdxMzpPdirw6njjt5AcRwReU.xmrxmr2019
运行截图如下所示：
捕获到了网络流量包，如下所示：
networkservice详细分析
networkservice漏洞扫描传播程序，如下所示：
1.初始化扫描IP地址段，如下所示：
从远程服务器下载相应的IP段数据，服务器地址：https://23.175.0.142/api/download/I9RRye，下载回来的IP地址段是数字整型，文件名为ips_cn.txt，如下所示：
数字转化为IP地址，如下所示：
16909568 16909823 –> 1.2.5.0 1.2.5.255
737878016 737879039 –> 43.251.32.0 43.251.35.255
1733261312 1733262335 –> 103.79.120.0 103.79.123.255
2525131776 2525132799 –> 150.130.116.0 150.130.119.255
3670879488 3670879999 –> 218.205.45.0 218.205.46.255
2.从内存中解密出相应的PowerShell脚本，如下所示：
解密出来的PowerShell脚本地址http://43.245.222.57:8667/6HqJB0SPQqbFbHJD/init.ps1，如下所示：
可以在windows执行相应的传播、挖矿程序，如下所示：
3.创建计划任务，进行更新操作，如下所示：
4.更新执行挖矿程序，如下所示：
5.执行扫描、传播程序，如下所示：
6.同时还可以下载自清除脚本进行自清除操作，如下所示：
7.执行各种扫描主机操作，如下所示：
8.redis未授权访问漏洞扫描，如下所示：
9.Drupal框架CVE-2018-7600漏洞扫描，如下所示：
10.Hadoop未授权漏洞扫描，如下所示：
11.Spring框架CVE-2018-1273漏洞扫描，如下所示：
12.thinkphp框架TP5高危漏洞扫描，如下所示：
13.WebLogic框架CVE-2017-10271漏洞扫描，如下所示：
14.SQLServer框架xcmd_shell、SP_OACreate注入提权漏洞扫描，如下所示：
15.Elasticsearch框架CVE-2015-1427、CVE-2014-3120远程代码执行漏洞扫描，如下所示：
sysguard详细分析
sysguard根据操作系统的版本下载执行不同的payload代码，如下所示：
1.内存解密出PowerShell脚本，如下所示：
然后拼接PowerShell脚本，如下所示：
2.将上面的PowerShell脚本进行Base64编码，如下所示：
判断是否为windows平台，如果为windows平台执行上面的PowerShell脚本，如下所示：
调用执行PowerShell脚本，如下所示：
3.如果为Linux平台，获取主机root权限:
4.然后通过判断不同的操作系统版本，与远程服务器CC通信执行下载Payload、扫描、持久化驻留主机、更新等操作，如下所示：
5.判断不同的操作系统，执行不同的扫描程序，如下所示：
在windows操作系统下，启动扫描程序networkservice，如下所示：
并把相应的payload命令写入到%temp%目录下的随机文件名的BAT脚本中，如下所示：
启动扫描程序，如下所示：
捕获到相应的流量包，如下所示：
6. 不同的操作系统执行不同的持久化操作，如下所示：
在windows操作系统下，创建相应的计划任务，如下所示：
创建的计划任务，如下所示：
在Linux操作系统下，创建相应的crontab自启动，如下所示：
7.检测各个文件，进行更新操作，如下所示：
执行更新Payload，调用任务计划中的PowerShell脚本执行更新，如下所示：
8.与远程服务器进行通信，如下所示：
获取的CC服务器URL，如下所示：
http:///6HqJB0SPQqbFbHJD/pi?module=account&action=txlist&address=0xb017eFb3339FfE0EB3dBF799Db6cb065376fFEda&star
tblock=0&endblock=99999999&sort=asc&apikey=ADQAMwAuADIANAA1AC4AMgAyADIALgA1ADcAOgA4ADYANgA3AC8ANgBIAHEASgBCADAAUwBQAFEAcQBiAEYAYgBIAEoARAAvAGkAbgBpAHQALgBwAHMAMQAnACkA
执行下载payload对应的PowerShell脚本，并写入到%temp%目录下，相应的PowerShell脚本，如下所示：
执行完Payload，如下所示：
上述就是小编为大家分享的如何解析基于Linux和Window双平台新型挖矿病毒了，如果刚好有类似的疑惑，不妨参照上述分析进行理解。如果想知道更多相关知识，欢迎关注高防服务器网行业资讯频道。
[微信提示：高防服务器能助您降低 IT 成本，提升运维效率，使您更专注于核心业务创新。
[图文来源于网络，不代表本站立场，如有侵权，请联系高防服务器网删除]
[