yayaya Miner挖矿木马分析

大家好，我是讯享网，很高兴认识大家。

1. 活跃yayaya挖矿木马概览

表 1‑1 活跃挖矿概览

活跃挖矿概览

说明

—|—

挖矿木马名称

yayaya Miner

挖矿木马主要传播方式

利用SSH弱口令暴力激活成功教程

出现时间

2022年11月底

活跃时间

2023年4月活跃

挖矿币种

门罗币

针对系统

Linux

主要技术特点

加密初始脚本；删除竞品挖矿；删除系统日志；使用开源工具隐藏内核模块等

2. 样本功能与技术梳理

2.1 yayayaxxxxxxxx（初始攻击脚本，X表示随机字符）

样本初始攻击脚本整体流程以及核心技术如下：

初始文件实际为脚本文件，经过shc工具加密初始攻击脚本，可以把Shell脚本文件转换成二进制可执行文件（ELF）。该脚本首先会删除其他挖矿木马配置文件以及系统日志。
使用防火墙命令查找并删除其他挖矿木马挖矿所创建的网络连接，删除后下载自身zip (挖矿程序)。
使用开源工具 Dia******** 对Linux 内核模块和进程进行隐藏， 具体为隐藏指定目录前缀“yayaya”，只要带有“yayaya”前缀的目录在系统中均不可见。将挖矿进程标记为隐藏，即在进程列表中不显示。指定内核模块名称为“nonono”。
将当前进程的用户和组ID都设置为0，以此实现获取root权限的功能。
编译内核模块ko并加载，使用kill命令向进程号为的进程发送信号-63，触发模块的钩子函数。使用kill命令向指定进程发送信号-31，使其暂停执行。执行成功后删除/tmp/a目录中的所有文件及其子目录。

2.2 p.zip(挖矿程序)

p.zip压缩文件中包含一个名为“dsm_sa_ip”的文件，经判定，该文件为开源门罗币挖矿程序XMRig，采用加密通信的方式进行交互挖矿，矿池地址如下。

表 2‑1 矿池地址

矿池地址

example.amax.fun:443

example.amax.fun:80

example.amax.fun:3333

—|—|—|—

example.gengzi.site:443

example.gengzi.site:80

example.gengzi.site:3333

example.inspur.gay:443

example.inspur.gay:80

example.inspur.gay:3333

example.sugon.store:443

example.sugon.store:80

example.sugon.store:3333

dasan.one:443

dasan.one:80

dasan.one:3333

172.104.170.240:443

172.104.170.240:80

172.104.170.240:3333

3. 挖矿木马落地排查与清除方案

3.1 yayaya Miner落地识别

```
 文件（x表示随机字符） 
```
讯享网

文件名及路径：

/usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx

/etc/sysconfig/yayaya/dsm_sa_ip

```
讯享网 网络侧排查 
```

146.190.193.147:80（文件下载）

157.245.16.79:443（矿池连接）

```
 服务执行路径 
```

ExecStart=/usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx

```
讯享网 进程名称 
```

八位随机字符串

```
 内核模块名称 
```

nonono

3.2 清除方案

```
讯享网 将隐藏内核模块可见 
```

kill -63 0

```
 查看隐藏的内核模块nonono 
```

cat /proc/modules |head -n 10

```
讯享网 删除内核模块 
```

rmmod nonono

```
 结束挖矿进程 
```

```
讯享网 删除服务 
```

rm -rf /usr/lib/systemd/system/yayayaxxxxxxxx.service

```
 删除恶意文件 
```

rm -rf /usr/lib/x86_64-linux-gnu/yayayaxxxxxxxx

rm -rf /etc/sysconfig/yayaya

4. 防护建议

针对挖矿攻击安天建议企业采取如下防护措施：

安装终端防护：安装反病毒软件，针对不同平台安装相应的产品；
加强SSH口令强度：避免使用弱口令，建议使用16位或更长的口令，包括大小写字母、数字和符号在内的组合，同时避免多个服务器使用相同口令；
及时更新补丁：建议开启自动更新功能安装系统补丁，服务器应及时更新系统补丁；
及时更新第三方应用补丁：建议及时更新第三方应用如WebLogic等应用程序补丁；
开启日志：开启关键日志收集功能（安全日志、系统日志、错误日志、访问日志、传输日志和Cookie日志），为安全事件的追踪溯源提供基础；
主机加固：对系统进行渗透测试及安全加固；
部署入侵检测系统（IDS）：部署流量监控类软件或设备，便于对恶意代码的发现与追踪溯源。安天探海威胁检测系统（PTD）以网络流量为检测分析对象，能精准检测出已知海量恶意代码和网络攻击活动，有效发现网络可疑行为、资产和各类未知威胁；

讯享网

图 4‑1 安天智甲可实现对该挖矿木马的有效查杀

5. 事件对应的ATT&CK映射图谱

针对攻击者投放挖矿木马的完整过程，安天梳理本次攻击事件对应的ATT&CK映射图谱如下图所示。

图 5‑1 事件对应的ATT&CK映射图谱

攻击者使用的技术点如下表所示：

表 5‑1 事件对应的ATT&CK技术行为描述表

ATT &CK 阶段 / 类别

具体行为

注释

—|—|—

侦察

主动扫描

扫描22端口

初始访问

利用外部远程服务

利用SSH远程服务访问

执行

利用命令和脚本解释器

使用Shell脚本

持久化

创建或修改系统进程

创建服务

提权

滥用提升控制权限机制

修改uid和gid提升权限

防御规避

使用Rootkit

使用LKM Rootkit

隐藏行为

隐藏进程

删除信标

删除恶意文件自身

混淆文件或信息

使用shc工具混淆文件

命令与控制

使用加密信道

使用SSL加密信道

影响

资源劫持

占用CPU资源

6. IoCs

IoCs

172.104.170.240

example.amax.fun

example.gengzi.site

example.inspur.gay

example.sugon.store

dasan.one

hxxp://example.established.site/p.zip

hxxp://w.amax.fun/p.zip

hxxp://172.104.170.240/p.zip

参考资料

典型挖矿家族系列分析二 | TeamTNT挖矿组织

https://www.antiy.cn/research/notice&report/research_report/20221207.html

Shc Linux Malware Installing CoinMiner

https://asec.ahnlab.com/en/45182/

ple.inspur.gay

example.sugon.store

dasan.one

hxxp://example.established.site/p.zip

hxxp://w.amax.fun/p.zip

hxxp://172.104.170.240/p.zip

参考资料

典型挖矿家族系列分析二 | TeamTNT挖矿组织

https://www.antiy.cn/research/notice&report/research_report/20221207.html

Shc Linux Malware Installing CoinMiner

https://asec.ahnlab.com/en/45182/

接下来我将给各位同学划分一张学习计划表！

学习计划

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

Python编程学习，学习内容包含：语法、正则、文件、网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

yayaya Miner挖矿木马分析

1. 活跃yayaya挖矿木马概览

2. 样本功能与技术梳理

2.1 yayayaxxxxxxxx（初始攻击脚本，X表示随机字符）

2.2 p.zip(挖矿程序)

3. 挖矿木马落地排查与清除方案

3.1 yayaya Miner落地识别

3.2 清除方案

4. 防护建议

5. 事件对应的ATT&CK映射图谱

6. IoCs

参考资料

参考资料

学习计划

阶段一：初级网络安全工程师

阶段二：中级or高级网络安全工程师（看自己能力）

阶段三：顶级网络安全工程师

学习资料分享

相关推荐